Belirli bir parametrede OWASP taramasını kapatabilir miyim?

Kısa cevap

Evet; tarama iki incelikte kapatılabilir. Parametreye özel bir değişken kuralında OWASP Check kutusu kaldırılırsa parametrenin adı ve bütün değerleri imza taramasından tümüyle çıkar; kutu açık bırakılıp OWASP Exclusions listesine yalnızca false positive üreten imzalar eklenirse diğer imzalar taranmaya devam eder, önerilen yol budur. Her iki ayar yalnızca o parametreye uygulanır. Aynı istisna Event Logs'ta saldırı seçilip Allow ya da Teach ile öğretilerek de eklenir. Bir parametre ya da bölüm için tanımlı istisna sayısı Max. OWASP Exclusions değerini (varsayılan 25) aşarsa o parametrenin ya da bölümün imza taraması uygulanmaz. Learning modunda tarama her parametrede yapılır; bu ayarlar Monitor ve Blocking modlarında geçerlidir.

Sorun: Bir Parametre Sürekli False Positive Üretiyor

Serbest metin, kod parçası ya da kodlanmış veri taşıyan bir parametre (yorum alanı, arama kutusu, şablon içeriği) imzaları tetikliyor ve meşru istekler engelleniyor. İmzayı bütün sitede kapatmadan yalnızca bu parametrede susturmak gerekiyor.

Çözüm: Dört Yöntem

Yöntemler birbirinin alternatifidir; aynı parametre için biri seçilir.

Durumunuz	Uygun yöntem
Parametrede yalnızca belirli imzalar false positive üretiyor	Yöntem 1: OWASP exclusions
Parametrenin içeriği hiç taranmamalı	Yöntem 2: OWASP check kapalı
False positive'i kayıttan öğretmek istiyorum	Yöntem 3: Event Logs'tan öğretme
Komut satırıyla taramayı kapatmak istiyorum	Yöntem 4: WEB-CLI

Yöntem 1: OWASP Exclusions Önerilen

• Nasıl çalışır Parametrenin değişken kuralında seçilen imzalar atlanır; diğer imzalar taranmaya devam eder.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → N page types → kural → sekme → Add Argument Rule for …
• Gereksinim İstisna sayısı Max. OWASP Exclusions değerini aşmaz
• vService tipi WAF açık HTTP vService
• Bölümler Query, Header, JSON, Xml, Form; Path ve Raw sekmelerinde istisnalar ortak kurala yazılır

Adım adım yapılandırma

1

Adım 1 Page Types listesini aç

Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesinde host grubunun N page types satırına tıklanır (Page Types ekranına erişim).

2

Adım 2 Sayfa tipini seç

Parametrenin geldiği path'in sayfa tipine tıklanır; detay paneli sağda açılır (panele erişim). Hangi kuralın uygulandığı Event Logs kaydının Attacks sekmesindeki Corresponding Rule satırında görülür.

3

Adım 3 Sekmeyi aç

Parametrenin bulunduğu bölümün sekmesine (ör. Query) tıklanır.

4

Adım 4 Değişken kuralı formunu aç

Değişken tablosunun üstündeki Add Argument Rule for … tıklanır. Parametrenin kendi değişken kuralı zaten varsa (tabloda kalın satır) satıra tıklanıp Edit kullanılır. Form Any paths kuralının o bölümdeki ortak değerleriyle dolu açılır.

5

Adım 5 Adı gir

Argument Name kutusuna parametrenin adı yazılır (ör. comment).

6

Adım 6 İmzaları seç

OWASP Check işaretli bırakılır; altında görünen OWASP Exclusions çoklu seçiminden false positive üreten imzalar seçilir. İmzanın adı ve kimliği Event Logs kaydının Attacks sekmesinde (Attack Name, Attack ID) görülür. Formdaki diğer değer alanları (… value length, … value count, … value pattern) da bu parametre için geçerli olur; boş bırakılan alan o denetim için kısıt yok demektir.

7

Adım 7 Kaydet

Add (düzenlemede Edit) tıklanır; değişiklik ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1Detay paneliTR7 tarafı

Değişken tablosunda parametrenin satırına tıklanıp OWASP check satırına bakılır.

Beklenen✓ ve yanında istisna sayısı

2Tekrar istekİstemci tarafı

False positive üreten aynı değerle istek gönderilir ve Event Logs listesine bakılır.

BeklenenSeçilen imza için yeni kayıt yok

Yöntem 2: OWASP Check Kapalı

• Nasıl çalışır Parametrenin adı ve değerleri hiçbir imzayla taranmaz; yapısal denetimler (uzunluk, desen, tekrar) sürer.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → N page types → kural → sekme → Add Argument Rule for …
• Gereksinim Parametrenin içeriğinin başka denetimlerle (ör. … value pattern) sınırlanması önerilir
• vService tipi WAF açık HTTP vService

Adım adım yapılandırma

1

Adım 1 Değişken kuralı formunu aç

Yöntem 1'deki 1–4. adımlarla parametrenin değişken kuralı formu açılır.

2

Adım 2 Adı gir

Argument Name kutusuna parametrenin adı yazılır.

3

Adım 3 OWASP check'i kaldır

OWASP Check kutusunun işareti kaldırılır; OWASP Exclusions alanı formdan kalkar.

4

Adım 4 Kaydet

Add (düzenlemede Edit) tıklanır.

Doğrulama

1Detay paneliTR7 tarafı

Değişken tablosunda parametrenin satırına tıklanıp OWASP check satırına bakılır.

Beklenen-

Yöntem 3: Event Logs'tan Öğretme

• Nasıl çalışır False positive kaydı öğretilir; imza, parametrenin değişken kuralı varsa ona, yoksa bölümün ortak kuralına istisna olarak yazılır. Rule Creation Policy gerektiriyorsa öğretme yeni bir sayfa tipi oluşturur; sonuç Learning suggestion satırında önceden görülür.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → Event Logs → kayıt → Attacks sekmesi
• Gereksinim Kaydın Monitor ya da Blocking modunda oluşmuş olması
• vService tipi WAF açık HTTP vService
• Kapsam farkı Parametreye özel değişken kuralı yoksa istisna ortak kurala yazılır ve bölümdeki bütün parametreleri kapsar; yalnızca bir parametreyi kapsaması isteniyorsa önce Yöntem 1 ile değişken kuralı açılır

Adım adım yapılandırma

1

Adım 1 Event Logs ekranını aç

Left Monitor Panel → WAF-Protected vServices → vService → Event Logs sekmesi açılır.

2

Adım 2 Kaydı aç

False positive kaydının satırına tıklanır; önizleme penceresi açılır.

3

Adım 3 Saldırıyı işaretle

Attacks sekmesinde öğretilecek saldırının satır başındaki kutu işaretlenir; Learning suggestion satırı istisnanın hangi kurala yazılacağını gösterir.

4

Adım 4 Öğret

Tablonun üstündeki Allow (engellenmiş kayıtta) ya da Teach (izlenen kayıtta) butonu tıklanır. Ayrıntı: Yanlışlıkla engellenen bir isteğe nasıl izin veririm?

Doğrulama

1Attacks sekmesiTR7 tarafı

Aynı kaydın Attacks sekmesine yeniden bakılır.

BeklenenLearning suggestion: Already learned

Yöntem 4: WEB-CLI

• Nasıl çalışır Parametrenin değişken kuralı WEB-CLI ile --argOwasp false verilerek eklenir.
• Nerede açılır WEB-CLI → waf rule-parts add
• Gereksinim WEB-CLI erişimi
• vService tipi WAF açık HTTP vService
• Ön dolum farkıadd yazılmayan alanlara komutun varsayılanlarını yazar; valueLength 0–1024 olarak gelir, uzun değer taşıyan parametrelerde komutta değiştirilir. İmza istisnaları (OWASP exclusions) arayüzden ya da Event Logs'tan eklenir.

Adım adım yapılandırma

1

Adım 1 Kural kimliğini bul

Varsayılan host grubunun kimliği defaultHost'tur; kural kimlikleri id sütununda listelenir:

waf fw-rules list poolId <vService> hostGroupId defaultHost

2

Adım 2 Değişken kuralını ekle

Değer uzunluğu sınırı kaldırılarak taramasız değişken kuralı eklenir. Aynı adla kural varsa komut reddedilir; o durumda waf rule-parts list ile parçanın kimliği bulunup update … id <parça> --argOwasp false kullanılır:

waf rule-parts add poolId <vService> hostGroupId defaultHost ruleId <kural> loc query --arg comment --argOwasp false --valueLength.op none

Doğrulama

1Parça listesiTR7 tarafı

Kuralın parçaları listelenir.

Komut: waf rule-parts list poolId <vService> hostGroupId defaultHost ruleId <kural>

Beklenenquery: comment

Sık Yapılan Hatalar

• Bütün bölümün OWASP check'ini kapatmak. Ortak kuralda kutunun kaldırılması bölümdeki, kendi değişken kuralı olmayan bütün parametreleri tarama dışı bırakır; ayar yalnızca sorunlu parametrenin değişken kuralında yapılır.
• Değişken kuralında diğer değer alanlarını gözden kaçırmak. Değişken kuralı o parametre için ortak kuralın değer denetimlerinin yerine geçer; boş bırakılan … value count ya da … value length o sınırı kaldırır (Kurallarda devralma ve "Rule Source" nasıl çalışır?).
• Learning modunda test edip "hâlâ tetikleniyor" demek. Learning modunda imza taraması bütün parametrelerde istisnasız yapılır ve isabetler öğrenme kaydına yazılır; istisnanın etkisi Monitor ya da Blocking modunda görülür.
• Max. owasp exclusions sınırını aşmak. Bir parametre ya da bölümdeki istisna sayısı sınırı aşarsa o parametrenin ya da bölümün imza taraması uygulanmaz ("Max. Owasp Exclusions" ayarı ne işe yarar; sınır aşılırsa ne olur?).
• İmzayı bütün sitede kapatmak. Tek parametre için istisna yeterliyken imzanın kapatılması bütün path'leri etkiler (Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?).

Dokümantasyonda nasıl yapılır

• Query · OWASP Check
• Query · OWASP Exclusions
• OWASP Protection Level · Max. OWASP Exclusions
• Event Logs · Attacks sekmesi

İlgili sorular

• Yanlışlıkla engellenen bir isteğe nasıl izin veririm?
• Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?
• Kurallarda devralma ve "Rule Source" nasıl çalışır?