Monitor modunu false positive ayıklamak için nasıl kullanırım?

Kısa cevap

Host grubu Monitor modunda çalışırken kural seti Blocking modundakiyle aynı denetimleri yapar (imza taraması, yapısal ve parametre denetimleri, puanlama) ama istek engellenmez; Blocking modunda engellenecek her istek WAF Event Logs ekranına Not blocked — Monitor mode kararıyla yazılır. Grup, mod kartındaki Edit penceresinde WAF Mode = Monitor Mode yapılarak Monitor'a alınır ve bütün iş akışlarını kapsayacak bir süre bekletilir. Ardından Event Logs'ta filtre şeridinin Learn Status sekmesinde No ve Partly seçilerek öğretilmemiş kayıtlar, Signature ve Path sekmeleriyle en çok tekrar eden imzalar ve sayfalar bulunur; her kaydın Attacks sekmesinde eşleşen bölüm okunur ve false positive olanlar Teach ile öğretilir. Dashboard'daki WAF Inspection Distribution panelinin Monitor dilimi sıfıra yaklaştığında grup Blocking Mode'a alınır. Yalnızca bir alan adı denenecekse o alan adı için ayrı bir Virtual Host Group açılıp yalnızca o grup Monitor'a alınır. Learning modundan farkı: yapısal denetimler Learning modunda çalışmadığı için uzunluk, metot ve izinli liste kaynaklı false positive'ler yalnızca Monitor modunda görünür.

Sorun: Blocking Moduna Geçmeden False Positive'ler Görülmek İsteniyor

Kural seti hazır, ancak Blocking moduna geçmeden önce hangi meşru isteklerin engelleneceğinin görülmesi ve bu kayıtların temizlenmesi gerekiyor (Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?).

Çözüm: 3 Yöntem

Durumunuz	Uygun yöntem
Host grubunun bütünü denenecek	Yöntem 1: Mod kartı
Yalnızca bir alan adı denenecek	Yöntem 2: Ayrı Virtual Host Group
Mod komut satırından değiştirilecek	Yöntem 3: WEB-CLI

Yöntem 1: Mod Kartı Önerilen

• Nasıl çalışır Host grubu Monitor'a alınır, grup Monitor modunda kaldığı sürece kayıtlar ayıklanır, false positive kalmadığında grup Blocking'e alınır. Mod değişikliği kurallara dokunmaz.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → host grubunun mod kartı → Edit · aynı vService'in Event Logs ve Dashboard sekmeleri
• Gereksinim WAF alanında değiştirme yetkisi; host grubunun Learning modunda kural setini öğrenmiş olması
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Mod penceresini aç

Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesinde host grubunun mod kartında, başlık şeridinin sağ alt köşesindeki Edit tıklanır (WAF Mode Edit ekranı).

2

Adım 2 Monitor modunu seç

WAF Mode = Monitor Mode seçilir.

3

Adım 3 Kaydet

Penceredeki Edit tıklanır; ek bir onay sorulmaz ve değişiklik trafiği kesmeden uygulanır. Cluster'da değişiklik varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa Synchronize ile elle gönderilir.

4

Adım 4 Monitor süresini bekle

Grubun Monitor modunda kalacağı süre uygulamanın bütün iş akışlarını (ay sonu işlemleri, dönemsel kampanyalar gibi) kapsayacak kadar tutulur.

5

Adım 5 Kayıtları çek

Aynı vService'in Event Logs sekmesinde sunucu filtresinin Date Range alanı Monitor modunda geçen süreyi kapsayacak biçimde seçilir ve Save & Get Logs tıklanır (sunucu filtresi).

6

Adım 6 Öğretilmemiş kayıtları süz

Filtre şeridinin Learn Status sekmesinde No ve Partly seçilir; Signature sekmesi en çok tetiklenen imzaları, Path sekmesi en çok etkilenen sayfaları üstte gösterir (filtrelenebilir bilgiler).

7

Adım 7 Kayıtları incele

Bir kayda tıklanır; önizlemenin Attacks sekmesinde Description eşleşen bölümü vurgular. Monitor modundaki grupta kayıtların hepsi Not blocked — Monitor mode kararıyla yazılır (action değerleri); yalnızca durumu Monitor olan bir imzanın tetiklendiği kayıtlar da bu kararla görünür, ancak bu istekler Blocking modunda engellenmez.

8

Adım 8 False positive'leri öğret

Yalnızca false positive olan saldırılar işaretlenip Teach tıklanır ve Are you sure? penceresinde Yes seçilir (Yanlışlıkla engellenen bir isteğe nasıl izin veririm?). Aynı imzanın birçok kaydı, Signature sekmesinde imza seçiliyken satırlar işaretlenip araç çubuğundaki Teach ile birlikte öğretilir (Birden fazla logu tek seferde Allow / Teach yapabilir miyim; filtreyle gizlenen saldırılar da öğretilir mi?).

9

Adım 9 Monitor dilimini izle

vService'in Dashboard sekmesinde WAF Inspection Distribution panelinin Monitor dilimi izlenir (WAF Inspection Distribution'daki Whitelisted, Clean, Blocked, Monitor, Teacher, Learning kategorileri ne anlama gelir?).

10

Adım 10 Blocking moduna geç

Monitor dilimi sıfıra yakınsa ve yeni kayıtlar yalnızca gerçek saldırılardan geliyorsa mod kartındaki Edit penceresinde WAF Mode = Blocking Mode seçilip Edit tıklanır.

Doğrulama

1Mod kartıTR7 tarafı

WAF Management sekmesinde host grubunun mod kartına bakılır.

BeklenenMonitor Mode · sarı kart

2Kayıtların kararıTR7 tarafı

Event Logs'ta yeni kayıtların Action ikonunun cümlesine bakılır.

BeklenenNot blocked — Monitor mode

Yöntem 2: Ayrı Virtual Host Group

• Nasıl çalışır Denenecek alan adı kendi host grubuna alınır ve yalnızca bu grup Monitor modunda çalışır; diğer alan adları kendi gruplarının modunda kalır (Aynı vService'te farklı domainler için farklı modlar kullanabilir miyim?).
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → Virtual Host Groups bandı
• Gereksinim WAF alanında değiştirme yetkisi; alan adının ayrı bir Host değeriyle gelmesi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Grup penceresini aç

WAF Management sekmesinde Virtual Host Groups bandının sağ üstündeki ikonla yeni grup penceresi açılır (Host Group nasıl eklenir; Virtual Host Patterns alanına ne yazılır?).

2

Adım 2 Grubu tanımla

Virtual Host Group Name girilir, WAF Mode = Monitor Mode seçilir ve Virtual Host Patterns alanına alan adı yazılır (ör. shop.example.com).

3

Adım 3 Kaydet

Add tıklanır.

4

Adım 4 Kural setini taşı (gerekiyorsa)

Yeni grup başka bir grubun kurallarını almaz, varsayılan kural setiyle başlar. Mevcut grubun öğrenilmiş kuralları denenecekse kaynak grubun Page Types ekranında Export, yeni grubunkinde Import yapılır (Bir host group'un kural setini JSON olarak dışa aktarıp başka bir ortama taşıyabilir miyim; hangi ayarlar bu dosyaya girmez?).

5

Adım 5 Ayıkla ve geç

Yöntem 1'in 4–10. adımları bu grup için uygulanır.

Doğrulama

1Grup kaydıTR7 tarafı

Alan adına gelen bir isteğin Event Logs kaydında önizlemenin Request & Location sekmesindeki Host Group satırına bakılır.

BeklenenYeni grubun adı · Not blocked — Monitor mode

Yöntem 3: WEB-CLI

• Nasıl çalışır Host grubunun modu waf host-groups update komutunun --mode alanıyla değiştirilir (isteğe bağlı alanlar).
• Nerede açılır TR7 WEB-CLI
• Gereksinim WEB-CLI erişimi ve WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Grubun kimliğini bul

vService'in host grupları ve kimlikleri listelenir:

waf host-groups list poolId <vService>

2

Adım 2 Modu değiştir

Grubun modu Monitor yapılır:

waf host-groups update poolId <vService> id <grup-kimliği> --mode monitor

Monitor süresi bittiğinde aynı komut --mode blocking ile çalıştırılır. Kayıtların ayıklanması Yöntem 1'in 5–9. adımlarındaki gibi arayüzden yapılır.

Doğrulama

1Grup kaydıTR7 tarafı

Grup kaydı görüntülenir.

Komut: waf host-groups show poolId <vService> <grup-kimliği>

Beklenenmode alanında monitor

Sık Yapılan Hatalar

• Monitor süresini kısa tutmak. Grup Monitor modundayken çalışmayan dönemsel akışlar kayda düşmez ve Blocking modunda engellenir.
• Durumu Monitor olan imzanın kayıtlarını false positive sanmak. Monitor modundaki grupta bu kayıtlar da Not blocked — Monitor mode kararıyla görünür; istek Blocking modunda da engellenmez, Blocking modunda aynı kayıt Not blocked — Below the blocking threshold kararıyla yazılır.
• Learning modundan doğrudan Blocking'e geçmek. Yapısal denetimler Learning modunda çalışmadığı için bu denetimlerin false positive'leri ilk kez canlı trafikte görülür (önerilen yaşam döngüsü).
• Host grubunun Monitor modu ile imzanın Monitor durumunu karıştırmak. Grubun modu bütün istekleri, imzanın durumu yalnızca o imzayı etkiler (Yeni bir imzayı canlıda risksiz nasıl denerim (Monitor durumu)?).

Dokümantasyonda nasıl yapılır

• WAF Mode · Monitor Mode
• WAF Mode · Önerilen yaşam döngüsü
• Event Logs · Operasyonel en iyi uygulamalar

İlgili sorular

• Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?
• Yeni bir imzayı canlıda risksiz nasıl denerim (Monitor durumu)?
• Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?