Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?

Kısa cevap

Varsayılan tercih istisnadır. OWASP Exclusions imzayı yalnızca bir sayfa tipi kuralının belirli bir alanında ya da parametresinde susturur; imza aynı vService'in diğer alanlarında ve sayfalarında taranmaya devam eder. İmzanın durumunu Disabled yapmak onu bir vService'in (OWASP Rules) ya da cihazın (Signature & Rule Library) tamamında taramadan çıkarır: eşleşme aranmaz, kayıt üretilmez, Learning modunda da taranmaz. Ara adım Monitor durumudur: imza taranır ve kaydedilir ama risk puanına eklenmez, dolayısıyla tek başına bir isteği engellemez (State değerleri). False positive tek bir uygulama akışından geliyorsa istisna eklenir. İmza vService'in her yerinde aynı meşru içerikle eşleşiyorsa önce o vService'te Monitor yapılır, kayıtlar imzanın gereksiz olduğunu gösterirse Disabled yapılır. Cihaz genelinde kapatma yalnızca imzanın bütün uygulamalarda meşru trafikle çakıştığı görüldüğünde seçilir. İmzanın yalnızca bir istek bölümünde (ör. Query) sorun çıkardığı durumda Edit ile tarandığı bölümler daraltılabilir; global katmanda tanımlı bir özel kuralın puanı ve kapsamı vService ekranından değiştirilemez, yalnızca durumu (Change State) değiştirilir.

Nasıl Çalışır?

	OWASP Exclusions	İmza durumu: Monitor	İmza durumu: Disabled
Kapsam	Tek host grubu → tek sayfa tipi kuralı → tek alan ya da parametre	vService (OWASP Rules) ya da cihaz (Signature & Rule Library)	vService ya da cihaz
Tarama	Yapılır; istisnadaki imzanın eşleşmesi yok sayılır	Yapılır; eşleşme kaydedilir, puana eklenmez	Yapılmaz
Event Logs	Eşleşme görünmez	Eşleşme görünür; tek başına tetiklenmişse karar Blocking modundaki host grubunda Not blocked — Below the blocking threshold, Monitor modundakinde Not blocked — Monitor mode	Eşleşme görünmez
Learning modunda	İstisna uygulanmaz; eşleşme öğrenme kaydında görünür	Taranır	Taranmaz
Nasıl yapılır	Allow / Teach, Edit Corresponding Rule ya da kuralın formu	Change State ya da Edit (global özel kuralda vService ekranında yalnızca Change State)	Change State ya da Edit (global özel kuralda vService ekranında yalnızca Change State)
Geri alma	Formdan silme ya da Revert Learning	Change State → Enabled ya da Restore to Default	Aynı
Dikkat	Bir alanın istisna sayısı Max. OWASP Exclusions değerini (varsayılan 25) aşarsa o alanın imza taraması kapanır ("Max. Owasp Exclusions" ayarı ne işe yarar; sınır aşılırsa ne olur?)	-	İmzanın koruduğu bütün alanlar o kapsamda korumasız kalır

İmza kütüphanesi katmanlıdır: vService katmanındaki durum, global katmandaki durumu yalnızca o vService için ezer (Kural katmanları nelerdir (yerleşik kütüphane, global katman, vService katmanı); hangisi öncelikli?). İstisnalar ise her zaman bir vService'in host grubuna ve sayfa tipi kuralına aittir; cihaz genelinde bir istisna listesi yoktur.

İki ara yol daha vardır:

• Tarama bölümünü daraltmak: İmza Edit penceresinde Inspection Scopes = Change seçilip sorun çıkaran bölüm (ör. Query) kaldırılır; imza diğer bölümlerde taranmaya devam eder. Global katmanda tanımlı bir özel kural vService'in OWASP Rules ekranında Edit ile kaydedilemez; puanı ve kapsamı Signature & Rule Library ekranında düzenlenir, vService'te yalnızca Change State kullanılır.
• Puanı düşürmek: İmzanın risk puanı düşürülürse eşleşmesi birikime daha az katkı verir. Low puanlı imzalar yalnızca Aggressive koruma düzeyinde tetiklendiğinden, puanı Low'a çekmek diğer düzeylerde imzayı fiilen devre dışı bırakır (Bir imzanın puanını (Low / Medium / High / Very High) değiştirebilir miyim?).

TR7'de Seçenekler

• İstisna: Event Logs kaydının Attacks sekmesinden Allow / Teach ya da Edit Corresponding Rule (Yanlışlıkla engellenen bir isteğe nasıl izin veririm?); parametre düzeyinde: Belirli bir parametrede OWASP taramasını kapatabilir miyim?
• vService'te Monitor ya da Disabled: Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → imza özeti şeridindeki OWASP Rules → imza seçilir → Change State → New State → Accept (Bir imzayı tüm cihazda değil yalnızca tek bir vService'te kapatabilir miyim?).
• Cihaz genelinde: Sol alttaki TR7 logosu → Configuration Menu → WAF → Signature & Rule Library → imza seçilir → Change State (Aynı false positive'i birden fazla vService'te tek seferde nasıl çözerim (global katman)?).
• Monitor'u izlemek: Monitor yapılan imzanın kayıtları Event Logs'ta filtre şeridinin Signature sekmesiyle süzülür; kayıtlar yalnızca meşru isteklerden geliyorsa imza Disabled yapılabilir (Yeni bir imzayı canlıda risksiz nasıl denerim (Monitor durumu)?).

Sık Karıştırılan Noktalar

• "İmzayı kapatmak daha az bakım ister." Kapatma imzanın bütün alanlardaki korumasını kaldırır; istisna yalnızca sorunlu alanı susturur.
• "Monitor durumu imzayı kapatır." Tarama ve kayıt sürer; yalnızca puana eklenmez.
• "Host grubunun Monitor modu ile imzanın Monitor durumu aynıdır." Host grubunun modu bütün isteklerin engellenip engellenmeyeceğini, imza durumu tek bir imzanın puana katılıp katılmayacağını belirler.
• "Learning modunda istisnalı imza görünmez." Learning modunda istisnalar uygulanmaz; istisna Monitor ve Blocking modlarında etkilidir.

Dokümantasyonda nasıl yapılır

• Signature & Rule Library · State değerleri
• OWASP Rules · Kural katmanları ve bu ekranın yeri
• Query · OWASP Exclusions

İlgili sorular

• Bir imzanın durumu (Enabled / Monitor / Disabled) ne anlama gelir?
• Belirli bir parametrede OWASP taramasını kapatabilir miyim?
• "Max. Owasp Exclusions" ayarı ne işe yarar; sınır aşılırsa ne olur?