False positive nedir?

Kısa cevap

False positive, meşru bir isteğin WAF tarafından saldırı olarak işaretlenmesidir. Başlıca iki kaynaktan doğar: bir imza isteğin kendi verisinde eşleşir (ör. bir yorum alanındaki select kelimesi, bir JSON değerindeki < karakteri) ya da istek sayfa tipinin öğrenilmiş sınırlarının dışına taşar (parametre uzunluğu, izinli metot, izinli parametre listesi). İmza isabetleri 2 ile 8 (yerleşik üç kuralda 9), yapısal ihlaller 24 puan alır (ihlal puanları); toplam puan OWASP Protection Level'ın engelleme eşiğine ulaşınca istek Blocking modunda engellenir, Monitor modunda yalnızca kaydedilir. Learning modunda imza isabetleri puana eklenmez ve istek engellenmez. Kurumsal bir VPN adresinin kara listede bulunması ve Blocking modunda taramanın süre sınırı içinde tamamlanamaması da meşru bir isteği durdurabilir. False positive WAF Event Logs ekranında okunur: kaydın Attacks sekmesindeki Description isteğin imzayla eşleşen bölümünü vurgular. Aynı ekrandaki Allow / Teach imzayı kapatmaz; isteğin eşleştiği sayfa tipine istisna yazar ya da ilgili sınırı genişletir.

Nasıl Çalışır?

WAF bir isteği tek bir kurala göre değil, toplam puana göre değerlendirir: her ihlal puana eklenir, istek bütünüyle taranır ve karar taramanın sonunda verilir (nasıl çalışır). Meşru bir isteğin puanı eşiğe ulaşırsa false positive oluşur.

Tür	Nasıl oluşur	Puan	Tipik düzeltme
İmza isabeti	Bir imza uygulamanın meşru verisinde eşleşir	2–8 (yerleşik üç kuralda 9)	İlgili alana OWASP istisnası (Allow / Teach yaptığımda arka planda hangi kural değişir (Learning Suggestion)?)
Yapısal ihlal	Değer uzunluğu, izinli metot, izinli parametre listesi gibi bir sınır aşılır	24	İlgili sınırın genişletilmesi
Kara liste isabeti	Kaynak adres IP itibar kara listesinde (ör. kurumsal VPN çıkışı)	100	Kara liste istisnası (Event Logs'taki "Add to Whitelist (vService)" bir IP'yi WAF incelemesinden muaf tutar mı, yoksa yalnızca kara liste istisnası mı ekler?)
Tarama süre sınırı	Blocking modunda taraması süre sınırı içinde tamamlanamayan istek engellenir; Event Logs kaydı oluşmaz	-	Gövde ve tarama yükünün azaltılması; bu engeller hizmeti etkiliyorsa Request Body Limits penceresindeki Fail-open (açıkken bu istekler taranmadan geçer) (Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?)

Eşik, OWASP Protection Level ile belirlenir; düzey sıkılaştıkça tek bir düşük puanlı imza bile engellemeye yetebilir (Koruma düzeyini sıkılaştırmak false positive'leri nasıl etkiler?).

TR7'de False Positive Yönetimi

Yüzey	Ne işe yarar
WAF Event Logs → Attacks sekmesi	Eşleşen imzayı, eşleşen bölümü (Description), eşleşen kuralı (Corresponding Rule) ve öğretme işleminin ne değiştireceğini (Learning Suggestion) gösterir (Meşru bir isteğin WAF tarafından engellendiğini nasıl anlarım?)
Allow / Teach	Kaydı kural setine öğretir (Yanlışlıkla engellenen bir isteğe nasıl izin veririm?)
Edit Corresponding Rule	Eşleşen kuralı log üzerinden elle düzenler ("Edit Corresponding Rule" ile eşleşen kuralı log üzerinden nasıl düzenlerim?)
Monitor modu	Kural setini engellemeden gerçek trafikte dener (Monitor modunu false positive ayıklamak için nasıl kullanırım?)
Teacher ve AI Learning	False positive'leri belirli dönemlerde otomatik öğretir (Teacher, false positive'leri azaltmak için nasıl kullanılır?)
OWASP Rules	Sorunlu imzayı vService'te Monitor ya da Disabled durumuna alır (Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?)
Whitelist Condition	Belirli istekleri WAF denetiminin tümüyle dışında tutar

Önerilen sıra docs'taki tipik devreye alma akışıdır: Learning modunda öğrenme, Monitor modunda false positive ayıklama, ardından Blocking.

Sık Karıştırılan Noktalar

• "False positive'i düzeltmek imzayı kapatmaktır." Allow / Teach yalnızca eşleşen sayfa tipine ya da alana istisna yazar; imza diğer sayfa ve alanlarda çalışmaya devam eder.
• "Monitor modunda false positive oluşmaz." Oluşur ama istek engellenmez; kayıt Event Logs'a düşer ve oradan öğretilir.
• "Learning modunda Event Logs boşsa false positive yoktur." Learning modunda Event Logs kaydı üretilmez; false positive'ler host grubu Monitor ya da Blocking moduna geçince görünür.

Dokümantasyonda nasıl yapılır

• WAF · Engelleme eşiği
• WAF · İhlal puanları
• Event Logs · Attacks sekmesi
• WAF · Tipik devreye alma akışı

İlgili sorular

• Meşru bir isteğin WAF tarafından engellendiğini nasıl anlarım?
• Yanlışlıkla engellenen bir isteğe nasıl izin veririm?
• Koruma düzeyini sıkılaştırmak false positive'leri nasıl etkiler?