Teacher, false positive'leri azaltmak için nasıl kullanılır?

Kısa cevap

Teacher, güvenilen bir kaynağın (test ekibinin IP adresi ya da TR7-LEARN adlı header'ı veya cookie'yi taşıyan tarayıcı ya da otomasyon) trafiğini meşru sayar. Bu kaynaktan gelen istekler normal biçimde denetlenir ama hiçbir modda engellenmez; engelleme eşiğine ulaşan ya da durumu Monitor olan bir imzayı tetikleyen istekler WAF Event Logs ekranına Teacher kararıyla yazılır. Teaching Frequency ile seçilen her dönemin sonunda bu kayıtlar, yaygınlık eşiği aranmadan (tek bir kayıt yeter) kural setine öğretilir. Kullanmak için Learning Methods penceresinde Teacher açılır, Teacher IP, Teacher Cookie ya da Teacher Header kimliği girilir ve dönem seçilir; test ekibi uygulamanın bütün akışlarını gerçek verilerle gezer. Teacher Tracking sekmesinin (AI Learning da açıksa sekmenin adı AI Learning & Teacher Tracking olur) Teacher Tracking görünümü sıradaki dönemde ne öğrenileceğini, Teacher History görünümü ne öğrenildiğini gösterir. İş bitince kimlik alanları ayrı bir kayıtla boşaltılır, ardından Teacher kapatılır. Host grubu Monitor ya da Blocking modunda olmalıdır; Learning modunda Event Logs kaydı oluşmadığı için öğretilecek bir şey birikmez. Kimlik ele geçirilirse WAF saldırganın trafiğini de öğrenir; kimlik gizli ve tanım dar tutulur.

Sorun: Test Ekibinin Gezdiği Akışlarda False Positive Çıkıyor

Test ekibi yeni sürümün akışlarını gezerken engelleniyor. Bu false positive'lerin, ekip engellenmeden ve kayıtlar tek tek öğretilmeden kural setinden temizlenmesi gerekiyor.

Çözüm: 3 Yöntem

Durumunuz	Uygun yöntem
Test ekibinin trafiği her dönem sonunda otomatik öğretilsin	Yöntem 1: Learning Methods
Teacher kayıtları dönemi beklemeden öğretilsin	Yöntem 2: Event Logs'tan Teach
Teacher komut satırından açılsın	Yöntem 3: WEB-CLI

Yöntem 1: Learning Methods Önerilen

• Nasıl çalışır Teacher kimliğiyle gelen istekler engellenmez (taraması süre sınırını aşan istek de geçirilir); dönem sonunda Teacher kayıtları kendiliğinden kural setine yazılır (Teacher trafiği ne kadar sürede kurala dönüşür; tek bir istek yeterli mi?). Cluster'da öğretme yalnızca birinci cihazda çalışır; iki cihazın kayıtları ayrı ayrı değerlendirilip öneriler birleştirilir, kanıtlar toplanmaz.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → Learning & Reporting bölümündeki Learning Methods kartı
• Gereksinim WAF alanında değiştirme yetkisi; host grubu Monitor ya da Blocking modunda; test ekibinin sabit bir IPv4 adresi ya da TR7-LEARN header'ını veya cookie'sini ekleyebilen bir tarayıcısı ya da otomasyonu
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Learning Methods penceresini aç

Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesinde, Learning & Reporting bölümündeki Learning Methods kartının sağ üstündeki kalem ikonu tıklanır.

2

Adım 2 Teacher'ı aç

Pencerenin sonundaki Teacher anahtarı açılır.

3

Adım 3 Kimliği gir

Kimliklerden en az biri doldurulur (Teacher nedir; hangi kaynakları Teacher olarak tanımlayabilirim (IP, header, cookie)?):

Alan	Değer
Teacher IP	Test ekibinin IPv4 adresleri ya da blokları, boşlukla ayrılarak (ör. 198.51.100.25); IPv6 adresleri yok sayılır
Teacher Cookie	Test ekibinin isteklerinde taşınacak TR7-LEARN cookie'sinin değeri
Teacher Header	Test ekibinin isteklerinde taşınacak TR7-LEARN header'ının değeri

Cookie ve header değerleri tahmin edilemeyecek, uzun bir değer olarak belirlenir ve yalnızca test ekibiyle paylaşılır.

4

Adım 4 Dönemi seç

Teaching Frequency listesinden Teacher kayıtlarının işlenme dönemi seçilir (ör. 5 minutes). None seçilirse kayıtlar yazılır ama kurala dönüştürülmez.

5

Adım 5 Kaydet

Penceredeki Edit tıklanır. Cluster'da değişiklik varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa Synchronize ile elle gönderilir.

6

Adım 6 Uygulamayı gez

Test ekibi bütün formları ve akışları gerçek verilerle gezer; cookie ya da header kullanılıyorsa her istekte taşındığı doğrulanır.

7

Adım 7 Öğrenilecekleri izle

vService'in Teacher Tracking sekmesinde (AI Learning da açıksa sekmenin adı AI Learning & Teacher Tracking olur) sol üstteki görünüm listesinden Teacher Tracking seçilir ve Refresh tıklanır; bu görünüm açılışta veri çekmez. Sıradaki dönemde öğretilecek değişiklikler listelenir. Description kolonunda eklenen ya da genişletilen değerler yeşil, zorunlu listeden çıkarılan değerler ve kapatılan denetimler kırmızı yazılır (operasyonel en iyi uygulamalar).

8

Adım 8 Uygulananları kontrol et

Görünüm listesinden Teacher History seçilir; dönem sonunda uygulanan öğrenmeler burada görünür (Teacher History ekranı). İstenmeyen bir öğrenme, Dashboard ya da WAF Management sekmesinin sağındaki WAF - WAAP Data Flow Panel'in Log sekmesinde, kaynağı Teacher olan öğrenme kaydının altındaki Revert Learning butonuyla geri alınır; buton yalnız WAF alanında tam yetkisi olan kullanıcılarda görünür (Öğrenilen bir kuralı geri alabilir miyim?).

9

Adım 9 Teacher'ı kapat

İş bitince Learning Methods penceresi yeniden açılır; Teacher anahtarı kapatılır ve Edit tıklanır. Anahtar kapalıyken kayıtlı Teacher kimlikleri eşleşmez. Kimliklerin kayıttan da silinmesi için alanlar, anahtar kapatılmadan önce ayrı bir kayıtla boşaltılır; anahtar kapatıldığında alanlar formdan gizlenir ve gizli alanlardaki değişiklik kaydedilmez.

Doğrulama

1Event LogsTR7 tarafı

Test ekibinin engelleme eşiğine ulaşan bir isteğinin kaydında Action ikonunun cümlesine bakılır.

BeklenenNot blocked — Teacher IP matched

Kimlik cookie ya da header ile tanındıysa cümlede eşleşen kaynağın adı yazar. Eşiğin altında kalan ve Monitor durumlu imza tetiklemeyen Teacher istekleri kayıt üretmez.

2Teacher HistoryTR7 tarafı

Seçilen dönem geçtikten sonra Teacher History görünümüne bakılır.

BeklenenÖğrenme satırı · Event Logs'ta kaydın Attacks kolonu 0 / N

Yöntem 2: Event Logs'tan Teach

• Nasıl çalışır Teacher kayıtları dönem beklenmeden, kayıt kayıt incelenerek öğretilir; Teaching Frequency None iken de kullanılır.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → Event Logs sekmesi
• Gereksinim WAF alanında değiştirme yetkisi; Yöntem 1'in 1–5. adımlarıyla tanımlanmış Teacher kimliği
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Kayıtları çek

Event Logs sekmesinde sunucu filtresinin Date Range alanı test dönemini kapsayacak biçimde seçilir ve Save & Get Logs tıklanır.

2

Adım 2 Teacher kayıtlarını süz

Filtre şeridinin Client IP sekmesinden test ekibinin adresi seçilir; Teacher kayıtlarının Action ikonu Teacher kararını gösterir (action değerleri).

3

Adım 3 İncele

Kayıtların Attacks sekmesinde Description ve Learning Suggestion okunur.

4

Adım 4 Kayıtları seç

Öğretilecek kayıtların satır başındaki kutuları işaretlenir.

5

Adım 5 Öğret

Araç çubuğundaki Teach tıklanır ve Are you sure? penceresinde Yes seçilir (Yanlışlıkla engellenen bir isteğe nasıl izin veririm?).

Doğrulama

1Attacks kolonuTR7 tarafı

Öğretilen satırın Attacks kolonuna bakılır.

Beklenen0 / N · satır soluk yeşil

Yöntem 3: WEB-CLI

• Nasıl çalışır Teacher ve kimlik alanları waf options update komutuyla yazılır (güvenilir kaynaklar). Teaching Frequency alanının değer biçimi WEB-CLI dokümanında tanımlı olmadığından dönem Yöntem 1'in 4. adımındaki gibi arayüzden seçilir. --syncWithDefaultFwRules saklanan bir ayar değil, bir yazma tetiğidir: yalnız true yazıldığında Any Paths kuralı varsayılan tanımıyla yeniden kurulur; komutta yazılmazsa kural setine dokunulmaz. Komutlardaki false bunu açıkça belirtir (Sync with Default WAF Rules).
• Nerede açılır TR7 WEB-CLI
• Gereksinim WEB-CLI erişimi ve WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Teacher'ı aç

Teacher açılır ve test ekibinin adresi tanımlanır:

waf options update poolId <vService> --syncWithDefaultFwRules false --smartLearning true --smartLearning_ip 198.51.100.25

2

Adım 2 Teacher'ı kapat

İş bitince Teacher kapatılır:

waf options update poolId <vService> --syncWithDefaultFwRules false --smartLearning false

Doğrulama

1Ayar kaydıTR7 tarafı

vService'in WAF ayarları görüntülenir.

Komut: waf options show poolId <vService>

BeklenensmartLearning alanında true · smartLearning_ip alanında 198.51.100.25

Sık Yapılan Hatalar

• Teacher'ı Learning modundaki host grubunda kullanmak. Learning modunda Event Logs kaydı oluşmaz; öğretilecek kayıt birikmez.
• Eşiğin altında kalan isteklerin de öğretileceğini sanmak. Yalnızca engelleme eşiğine ulaşan ya da durumu Monitor olan bir imzayı tetikleyen Teacher istekleri kayda düşer ve öğretilir.
• Geniş bir IP bloğu ya da paylaşılan bir NAT adresi tanımlamak. O adresten gelen herkes Teacher sayılır ve trafiği engellenmeden öğretilir (Yanlış tanımlanmış bir Teacher'ın riski nedir?).
• İş bitince Teacher'ı açık bırakmak. Kimlik açık kaldıkça bu kimlikle gelen istekler engellenmez ve kural setine öğretilir.

Dokümantasyonda nasıl yapılır

• Learning Methods · Teacher
• AI Learning & Teacher Tracking · Teacher Tracking ekranı
• AI Learning & Teacher Tracking · AI öğrenmesi ile öğretici arasındaki fark

İlgili sorular

• Teacher nedir; hangi kaynakları Teacher olarak tanımlayabilirim (IP, header, cookie)?
• Teacher trafiği ne kadar sürede kurala dönüşür; tek bir istek yeterli mi?
• Yanlış tanımlanmış bir Teacher'ın riski nedir?