Yanlışlıkla engellenen bir isteğe nasıl izin veririm?

Kısa cevap

Engellenen isteğin kaydı WAF Event Logs ekranında açılır; önizlemenin Attacks sekmesinde her saldırının Description alanı isteğin eşleşen bölümünü vurgular. Yalnızca false positive olan saldırılar işaretlenip tablonun üstündeki Allow / Teach butonu tıklanır; buton engellenmiş kayıtta Allow, izlenen ya da Teacher tarafından geçirilen kayıtta Teach adını alır. Learning Suggestion satırı yapılacak değişikliği önceden yazar: imza isabetinde imza, eşleşen sayfa tipi kuralının ilgili alanında OWASP Exclusions listesine eklenir, o parametre için bir değişken kuralı varsa oraya yazılır; yapısal ihlalde ilgili sınır genişletilir; imza kapatılmaz. Are you sure? onayından sonra değişiklik ayrı bir dağıtım adımı olmadan uygulanır ve aynı istek bugünkü kurallarla artık engellenmez. Değişikliği elle belirlemek için aynı kuralın formu Page Types ekranından açılıp OWASP Exclusions listesine imza eklenir. İmza vService'in her sayfasında aynı meşru içerikle çakışıyorsa vService'in OWASP Rules ekranında durumu Monitor yapılır. Allow / Teach ile yapılan öğrenmeler Log zaman çizelgesindeki Revert Learning ile geri alınır.

Sorun: Meşru Bir İstek Engellendi

Event Logs'ta meşru bir isteğin WAF tarafından engellendiği görüldü (Meşru bir isteğin WAF tarafından engellendiğini nasıl anlarım?). Aynı isteğin bir daha engellenmemesi, korumanın geri kalanının ise sürmesi gerekiyor.

Çözüm: 3 Yöntem

Durumunuz	Uygun yöntem
Kaydın tetiklediği saldırıyı en dar kapsamda öğretmek istiyorum	Yöntem 1: Allow / Teach
Yazılacak istisnayı ya da sınırı kendim belirlemek istiyorum	Yöntem 2: Kural formunda OWASP Exclusions
İmza bu vService'in her yerinde aynı meşru içerikle çakışıyor	Yöntem 3: OWASP Rules → Change State

Yöntem 1: Allow / Teach Önerilen

• Nasıl çalışır Seçilen saldırı için isteğin Host değerine göre host grubu, path'ine göre sayfa tipi kuralı bulunur ve değişiklik o kurala yazılır (Allow / Teach yaptığımda arka planda hangi kural değişir (Learning Suggestion)?). İmza isabetinde imza o alanın istisna listesine eklenir; imza diğer alanlarda ve sayfalarda çalışmaya devam eder.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → Event Logs sekmesi → kayıt → Attacks
• Gereksinim WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Event Logs ekranını aç

Left Monitor Panel → WAF-Protected vServices → vService → Event Logs sekmesi açılır.

2

Adım 2 Logları çek

Sunucu filtresinde Date Range seçilir, kayıt biliniyorsa Request Unique ID alanına isteğin kimliği yazılır ve Save & Get Logs tıklanır.

3

Adım 3 Kaydı aç

Engellenen isteğin satırına tıklanır; sağda önizleme açılır.

4

Adım 4 Saldırıyı incele

Önizlemenin Attacks sekmesinde bir saldırı satırına tıklanır. Description isteğin eşleşen bölümünü vurgular, Corresponding Rule değişikliğin yazılacağı sayfa tipi kuralını (varsa parametre adıyla), Learning Suggestion yapılacak değişikliği gösterir. Vurgulanan bölüm uygulamanın kendi verisi değilse saldırı gerçektir ve öğretilmez. Saldırı adı yeşil görünüyor ve öneri Already learned diyorsa öğretilecek bir şey kalmamıştır.

5

Adım 5 False positive saldırıları işaretle

Attacks tablosunda yalnızca false positive olan saldırıların kutuları işaretlenir. Tek bir saldırı öğretilecekse onun satırı seçili bırakılıp detay bloğundaki buton da kullanılabilir.

6

Adım 6 Öğret

Tablonun üstündeki buton tıklanır; adı kaydın kararına göre Allow (engellenmiş kayıt) ya da Teach (izlenen ya da Teacher tarafından geçirilen kayıt) olur.

7

Adım 7 Onayla

Are you sure? penceresinde Yes tıklanır. Değişiklik ayrı bir dağıtım adımı olmadan uygulanır; değişikliğin ayrı bir önizleme ekranı yoktur. Cluster'da değişiklik varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa Synchronize ile elle gönderilir.

Aynı öğretme işlemi başka yerlerden de başlatılabilir; hepsi aynı değişikliği yazar, yalnızca kapsadıkları saldırılar farklıdır:

Giriş noktası	Kapsam
Event Logs araç çubuğundaki Allow / Teach	Seçili satırların görünen bütün saldırıları; filtre şeridinde saldırı bazlı bir seçim (ör. Signature) varsa yalnızca seçime uyanlar (Birden fazla logu tek seferde Allow / Teach yapabilir miyim; filtreyle gizlenen saldırılar da öğretilir mi?)
Satırın sağ tık menüsü	Yalnızca tıklanan satır
Önizleme başlığındaki buton	Önizlenen kaydın görünen bütün saldırıları
Global WAF Event Log	Farklı vService'lerin seçili satırları; her vService kendi kural setine yazar ve onay her vService için ayrı sorulur

Doğrulama

1Attacks kolonuTR7 tarafı

Öğretilen satırın Attacks kolonuna bakılır; imleçle üzerine gelindiğinde … of … would still be blocked by today's rules ipucu görünür.

Beklenen0 / N · satır soluk yeşil

Satırın kararı değişmez: kayıt geçmişte verilen kararı gösterir, kolon ise aynı isteğin bugünkü kurallarla kaç saldırı üreteceğini sayar.

2İsteğin tekrarıİstemci tarafı

Kullanıcıdan aynı işlemi tekrarlaması istenir.

BeklenenEngelleme sayfası yerine uygulamanın yanıtı

Yöntem 2: Kural Formunda OWASP Exclusions

• Nasıl çalışır İstisna, sayfa tipi kuralının ilgili alanına elle yazılır; hangi alana ve hangi imzanın yazılacağı kullanıcı tarafından belirlenir. Event Logs'taki Edit Corresponding Rule aynı formu kayıttan doğrudan açar ("Edit Corresponding Rule" ile eşleşen kuralı log üzerinden nasıl düzenlerim?).
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → host grubunun mod kartındaki N page types → kural → detay paneli
• Gereksinim WAF alanında değiştirme yetkisi; Event Logs kaydındaki imzanın Attack ID değeri ve Corresponding Rule bilgisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Page Types ekranını aç

Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesinde, isteğin düştüğü host grubunun mod kartı altındaki N page types satırına tıklanır.

2

Adım 2 Kuralı seç

Listede Event Logs kaydının Corresponding Rule satırında yazan kurala tıklanır; sağda kuralın detay paneli açılır. Kayıt Any Paths kuralını gösteriyorsa istisna, bu alan için kendi kuralı olmayan bütün sayfalara uygulanır; yalnızca bir sayfa için istisna isteniyorsa önce o path için kural eklenir (Yeni bir page type'ı elle nasıl eklerim?).

3

Adım 3 Alanın sekmesini seç

Detay panelinde saldırının yakalandığı alanın sekmesi seçilir: Path, Query, Header, JSON, Xml, Form ya da Raw.

4

Adım 4 Formu aç

Alanın bütün parametreleri için sekmenin üst tablosundaki Edit Common Rule for <alan> (kuralın bu alanda kendi denetimi yoksa Add Common Rule for <alan>) tıklanır. Yalnızca tek bir parametre için Argument tablosunda parametrenin satırı seçilip kalem ikonlu Edit tıklanır; parametrenin kuralı yoksa Add Argument Rule for <alan> ile eklenir (Belirli bir parametrede OWASP taramasını kapatabilir miyim?). Path sekmesinde panel başlığındaki Edit kullanılır.

5

Adım 5 İstisnayı seç

OWASP Check işaretli bırakılır; altında görünen OWASP Exclusions çoklu seçiminde Event Logs kaydındaki imza seçilir. OWASP Check kutusunun işareti kaldırılırsa alan bütün imzaların taramasından çıkar.

6

Adım 6 Kaydet

Formun Edit butonu (yeni kuralda Add) tıklanır; ek bir onay ya da dağıtım adımı yoktur. Cluster'da değişiklik varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa Synchronize ile elle gönderilir.

Doğrulama

1Detay paneliTR7 tarafı

Kuralın detay panelinde alanın OWASP Check satırına bakılır.

Beklenen✓ ve yanında istisna sayısı

2Event LogsTR7 tarafı

Engellenen isteğin Event Logs satırındaki Attacks kolonuna bakılır.

Beklenenİlk sayı düşer

Yöntem 3: OWASP Rules → Change State

• Nasıl çalışır İmzanın durumu yalnızca bu vService için değiştirilir. Monitor durumundaki imza taranır ve kaydedilir ama risk puanına eklenmez; Disabled durumundaki imza hiç taranmaz (Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?).
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → imza özeti şeridindeki OWASP Rules
• Gereksinim WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 OWASP Rules ekranını aç

Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesinde imza özeti şeridindeki OWASP Rules bağlantısına tıklanır; kural görünümü yeni bir sekmede açılır (nasıl erişilir).

2

Adım 2 İmzayı bul

Arama kutusuna Event Logs kaydındaki Attack ID ya da imzanın adı yazılır.

3

Adım 3 Change State penceresini aç

İmzanın satırı seçilip araç çubuğundaki Change State tıklanır.

4

Adım 4 Yeni durumu seç

New State = Monitor seçilir; imza bu vService'te kesin olarak gereksizse Disabled seçilir. Alan her açılışta Enabled ile gelir.

5

Adım 5 Kaydet

Accept tıklanır; ayrı bir onay penceresi görüntülenmez ve değişiklik uygulanır. Ayrıntılar: Bir imzayı tüm cihazda değil yalnızca tek bir vService'te kapatabilir miyim?

Doğrulama

1İmza satırıTR7 tarafı

OWASP Rules ekranında imzanın State kolonuna bakılır.

BeklenenMonitor · satır renkli

Monitor durumundaki imza tek başına tetiklendiğinde istek geçer; host grubu Blocking modundaysa Event Logs'ta "Not blocked — Below the blocking threshold", Monitor modundaysa "Not blocked — Monitor mode" kararıyla kaydedilir.

Sık Yapılan Hatalar

• Description'ı okumadan öğretmek. Vurgulanan bölüm uygulamanın kendi verisi değilse kayıt gerçek bir saldırıdır; öğretmek saldırıyı da geçirir.
• Bütün kaydı öğretmek. Aynı istekte gerçek bir saldırı da varsa araç çubuğundaki buton onu da öğretir; Attacks sekmesinden yalnızca false positive saldırılar işaretlenir.
• "will be disabled" önerisini gözden kaçırmak. Değer deseni (regex) ihlalinde öğretme deseni daraltmaz, tümüyle kaldırır; deseni korumak için kural Yöntem 2'deki formdan elle düzeltilir.
• Learning modundaki host grubunda istisnanın çalışmasını beklemek. Learning modunda imza taraması istisnaları uygulamaz; istisna grup Monitor ya da Blocking modundayken etkilidir.
• Bir alana sınırsız istisna yığmak. Bir alanın istisna sayısı Max. OWASP Exclusions değerini (varsayılan 25) aşarsa o alanın imza taraması uyarı vermeden kapanır ("Max. Owasp Exclusions" ayarı ne işe yarar; sınır aşılırsa ne olur?).
• Kaynağın hiç denetlenmemesi gerekirken öğretmeye çalışmak. Güvenilen bir kaynağın WAF dışında tutulması için Whitelist Condition kullanılır (Belirli IP'leri veya istekleri WAF incelemesinden tamamen muaf tutabilir miyim (Whitelist Condition)?).

Dokümantasyonda nasıl yapılır

• Event Logs · Attacks sekmesi
• Event Logs · Allow / Teach butonu
• Query · OWASP Exclusions
• AI Learning & Teacher Tracking · Öğrenmeyi geri alma

İlgili sorular

• Allow / Teach yaptığımda arka planda hangi kural değişir (Learning Suggestion)?
• Belirli bir parametrede OWASP taramasını kapatabilir miyim?
• Öğrenilen bir kuralı geri alabilir miyim?