Check Fields nedir; WAF isteği hangi yedi bölüme ayırarak inceler?

Kısa cevap

Check Fields, bir sayfa tipinin (WAF kuralının) isteği hangi kurallarla denetlediğini gösteren detay panelidir; isteği Path, Query, Header, JSON, Xml, Form ve Raw olmak üzere yedi bölüme ayırır ve her sekme yalnızca kendi bölümünün denetimlerini gösterip düzenletir (sekmeler ve denetledikleri bölüm). İmza taraması bilinen saldırı desenlerini ararken Check fields pozitif güvenlik tarafını taşır: path'e gelen isteğin hangi parametreleri taşıyabileceğini, bunların uzunluğunu, sayısını ve biçimini tanımlar. Her yapısal ihlal 24 puandır; bu puan en gevşek OWASP Protection Level eşiğine de eşit olduğundan Blocking modunda tek bir ihlal isteği engeller. Yapısal denetimler yalnızca Blocking ve Monitor modlarında çalışır; denetimler çoğunlukla Analysis & Learning ile öğrenilir.

Nasıl Çalışır?

1. İstek geldiğinde isteğin path'i Page Types listesindeki kurallarla eşleştirilir; istek eşleşen kuralın denetimleriyle incelenir.
2. Kuralın Path denetimleri (izinli metotlar, path uzunluğu ve derinliği) ile sorgu ve başlık denetimleri gövdeden bağımsız olarak her istekte uygulanır.
3. Gövdesi olan istekte hangi gövde sekmesinin devreye gireceğini Content-Type belirler: …/json ya da …+json biçimindeki türler JSON, …/xml ya da …+xml biçimindeki türler Xml, application/x-www-form-urlencoded ve multipart/form-data Form sekmesinin denetimlerinden geçer. Bunlar dışındaki türler Raw sekmesinin denetimlerinden geçer; çözümlenemeyen JSON ve XML gövdesi ile Block Invalid Form Contents kapalıyken çözümlenemeyen form gövdesi Raw sekmesinin imza taramasına kalır. Raw Body Size sınırı gövde türünden bağımsız olarak her gövdeye uygulanır (Raw sekmesi ne inceler; parse edilemeyen içerik ne olur?).
4. Her ihlal isteğin saldırı puanına 24 puan ekler ve Event Logs kaydının Attacks sekmesinde kuralın adı (ör. Query value length) ve ihlal ayrıntısıyla görünür.

Yedi Bölüm

Sekme etiketleri arayüzdeki yazımıyla verilmiştir (sekmeler ve denetledikleri bölüm).

Sekme	Denetlediği bölüm	Değişken kuralı birimi	Başlıca alanlar
Path	İstek satırı	Yok (yalnızca kuralın kendisi)	Allowed methods, Path length, Path depth, OWASP check
Query	Sorgu dizesi	Parametre adı	Allowed Query Parameters, Required Query Parameters, Query Value Length, Query Value Pattern
Header	İstek başlıkları	Başlık adı	Total Header Size, Required headers, Header Value Count
JSON	JSON gövde	Anahtar yolu (user.name)	Allowed JSON Keys, JSON depth, Block Invalid JSON Contents
Xml	XML gövde	Eleman ya da attribute yolu (user._attr.type)	Allowed XML Keys, XML depth, Block All XML Contents
Form	Form gövdesi ve dosya yükleme	Alan adı	Required Form Fields, Allowed Upload Mime Types, OWASP Check in Upload
Raw	Ham gövde	Yok (yalnızca ortak kural)	Raw Body Size, Block Unparsed Contents, Allowed Raw Body Mime Types

• Query, Header, JSON, Xml ve Form sekmelerinde iki katman vardır: bölümün bütün alanlarına uygulanan ortak kural ve tek bir ada açılan değişken kuralı (iki katman). Path ve Raw sekmelerinde değişken tablosu bulunmaz.
• Kuralın kendi denetimini tanımladığı sekmeler panelde belirgin, tanımlamadıkları soluk görünür; soluk sekmenin denetimleri path'e uyan glob kuraldan ya da Any Paths kuralından devralınmış olabilir (Kurallarda devralma ve "Rule Source" nasıl çalışır?).

TR7'de Check Fields

• Nerede görülür: Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → host grubunun N page types satırı → listedeki kurala tıklanır; detay paneli sağda açılır (panele erişim). Page Types listesindeki Check Fields sütunu kuralın kendi tanımladığı bölümleri listeler.
• Ana anahtarlar: Denetimlerin çoğu vService genelindeki Structure Checks ve Argument Checks anahtarlarına bağlıdır; ikisi de WAF açıldığında açık gelir (Structure Checks ve Argument Checks ana anahtarları ne yapar; kapatırsam ne olur?).
• Path değerleri: Path sekmesindeki değerler ayrı bir parça değil kuralın kendisidir; Edit Common Rule for Path butonu kuralın Edit formunu açar.
• Uygulama: Kayıtla birlikte değişiklik ayrı bir dağıtım adımı olmadan uygulanır; cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir, Manual Sync Mode açıksa eş cihaza elle gönderilir.

Sık Karıştırılan Noktalar

• "Check fields imza listesidir." İmzalar Signature & Rule Library'dedir; Check fields isteğin beklenen şeklini tanımlayan pozitif denetimlerdir. Her sekmedeki OWASP Check alanı yalnızca o bölümde imza taramasının açık olup olmadığını belirler.
• "Soluk sekmede denetim yoktur." Kuralın o bölüm için kendi tanımı yoktur; glob kuraldan ya da Any paths kuralından gelen denetim çalışır.
• "Learning modunda da yapısal ihlaller engellenir." Learning modunda yapısal denetimler çalıştırılmaz, imza isabetleri puana eklenmez ve engelleme kararı verilmez; Monitor modunda ihlal kaydedilir ama istek geçirilir (WAF modları).

Dokümantasyonda nasıl yapılır

• Path Check Fields · Sekmeler ve denetledikleri bölüm
• Path Check Fields · İki katman
• Path Check Fields · Denetimlerin ana anahtarları
• WAF Rules · Çalışma anı kural eşleşmesi

İlgili sorular

• TR7 WAF'ın temel yapı taşları nelerdir (WAF Mode, Virtual Host Group, Page Types, Any Paths, Check Fields, Signature)?
• Negatif güvenlik modeli (imza tarama) ile pozitif güvenlik modeli arasındaki fark nedir?
• Saldırı puanı (attack score) nedir, nasıl hesaplanır?