Aynı false positive'i birden fazla vService'te tek seferde nasıl çözerim (global katman)?

Kısa cevap

İki farklı yol vardır. İmza cihazdaki uygulamaların çoğunda aynı meşru içerikle eşleşiyorsa global katman kullanılır: Signature & Rule Library ekranında imza seçilip Change State ile önce Monitor, kayıtlar imzanın gereksiz olduğunu gösterirse Disabled yapılır. Değişiklik WAF korumalı bütün vService'lere uygulanır; bir vService kendi OWASP Rules ekranında imzanın durumunu yine kendisi için değiştirebilir (kural katmanları). False positive yalnızca birkaç vService'in belirli sayfalarındaysa Global WAF Event Log kullanılır: filtre şeridinin Signature sekmesinde imza seçilir, farklı vService'lere ait satırlar birlikte işaretlenip araç çubuğundaki öğretme butonu tıklanır; butonun adı seçime göre Allow, Teach ya da Allow / Teach olur. Öğretme vService başına gruplanır ve sırayla uygulanır; her vService için ayrı bir Are you sure? onayı sorulur ve her vService kendi sayfa tipi kuralına istisna yazar. Cihaz genelinde bir OWASP istisna listesi yoktur; istisnalar her zaman bir vService'in host grubuna ve sayfa tipi kuralına aittir. Global katmanda değişiklik yapmak WAF alanında tam yetki ister.

Sorun: Aynı İmza Birçok vService'te False Positive Üretiyor

Aynı imza farklı vService'lerde aynı meşru içerikle eşleşiyor (ör. birçok uygulamanın kullandığı ortak bir zengin metin editörü); her vService'te ayrı ayrı düzeltme yapmak zaman alıyor.

Çözüm: 2 Yöntem

Durumunuz	Uygun yöntem
İmza cihazdaki uygulamaların çoğunda aynı içerikle eşleşiyor	Yöntem 1: Signature & Rule Library
False positive birkaç vService'in belirli sayfalarında	Yöntem 2: Global WAF Event Log

Yöntem 1: Signature & Rule Library Önerilen

• Nasıl çalışır İmzanın durumu global katmanda değiştirilir ve WAF korumalı bütün vService'lere uygulanır. vService katmanındaki bir değişiklik global katmanı yalnızca o vService için ezer.
• Nerede açılır Sol alttaki TR7 logosu → Configuration Menu → WAF → Signature & Rule Library
• Gereksinim WAF alanında tam yetki; yalnızca değiştirme yetkisi olan hesap durumu değiştiremez
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Kütüphaneyi aç

Sol alttaki TR7 logosuyla Configuration Menu açılır; WAF → Signature & Rule Library seçilir (nasıl erişilir).

2

Adım 2 İmzayı bul

Arama kutusuna Event Logs kaydındaki Attack ID ya da imzanın adı yazılır (Kural katmanları nelerdir (yerleşik kütüphane, global katman, vService katmanı); hangisi öncelikli?).

3

Adım 3 Change State penceresini aç

İmzanın satırı seçilip araç çubuğundaki Change State tıklanır.

4

Adım 4 Yeni durumu seç

New State = Monitor seçilir. Alan her açılışta Enabled ile gelir.

5

Adım 5 Kaydet

Accept tıklanır; ayrı bir onay penceresi görüntülenmez. Değişiklik bütün vService'lere uygulanır.

6

Adım 6 Gözle ve gerekirse kapat

Bir süre Global WAF Event Log'da filtre şeridinin Signature sekmesiyle imzanın kayıtları izlenir. Kayıtlar yalnızca meşru isteklerden geliyorsa 3–5. adımlar New State = Disabled ile tekrarlanır. İmza yalnızca bir istek bölümünde sorun çıkarıyorsa kapatmak yerine Edit penceresindeki Inspection Scopes ile o bölüm taramadan çıkarılır.

Doğrulama

1vService görünümüTR7 tarafı

Herhangi bir vService'in OWASP Rules ekranında imzanın satırına ve önizlemesine bakılır.

BeklenenState: Monitor · önizlemede tek kolon (global katman)

Bir vService'te imza farklı bir durumda görünüyorsa o vService'in kendi katmanında değişiklik vardır; Restore to Default o vService'in değişikliğini siler.

2Global WAF Event LogTR7 tarafı

İmzanın tek başına tetiklendiği yeni kayıtların kararına bakılır.

BeklenenNot blocked — Below the blocking threshold

Host grubu Monitor modundaysa karar her durumda Not blocked — Monitor mode olarak yazılır.

Yöntem 2: Global WAF Event Log

• Nasıl çalışır Farklı vService'lere ait kayıtlar tek ekranda seçilip birlikte öğretilir; öğretme vService başına gruplanır, her vService kendi kural setine yazar (Tüm vService'lerin WAF loglarını tek ekranda görebilir miyim (Global WAF Event Log)?).
• Nerede açılır Sol alttaki TR7 logosu → Configuration Menu → WAF → Global WAF Event Log
• Gereksinim WAF alanında değiştirme yetkisi ve kısıtsız vService kapsamı
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Ekranı aç

Sol alttaki TR7 logosuyla Configuration Menu açılır; WAF → Global WAF Event Log seçilir.

2

Adım 2 Tarama kapsamını belirle

Sunucu filtresinde Date Range seçilir; etkilenen vService'ler biliniyorsa vService alanında Pick vServices ile bu vService'ler seçilir.

3

Adım 3 Logları çek

Save & Get Logs tıklanır.

4

Adım 4 İmzayı seç

Filtre şeridinin Signature sekmesinde ilgili imza seçilir. Saldırı bazlı bir seçim olduğu için satırlar yalnızca bu imzanın saldırılarıyla kalır ve yalnızca bu imza öğretilir.

5

Adım 5 Satırları seç

Kayıtlar incelenir (önizlemenin Attacks sekmesindeki Description); false positive olduğu doğrulanan satırlar işaretlenir. vService kolonu satırın ait olduğu vService'i gösterir.

6

Adım 6 Öğret

Araç çubuğundaki öğretme butonu tıklanır; butonun adı seçime göre değişir: yalnızca engellenmiş kayıtlar seçiliyse Allow, yalnızca izlenen ya da Teacher kayıtları seçiliyse Teach, ikisi birlikteyse Allow / Teach. Her vService için açılan Are you sure? penceresinde Yes seçilir.

Doğrulama

1Attacks kolonuTR7 tarafı

Öğretilen satırların Attacks kolonuna bakılır.

Beklenen0 / N · satır soluk yeşil

Sık Yapılan Hatalar

• Global katmanda doğrudan Disabled yapmak. Disabled, imzanın bütün vService'lerdeki korumasını kaldırır; önce Monitor ile gözlenir (Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?).
• Global öğretmede seçimi gözden geçirmemek. Seçilen her satır kendi vService'inin kural setine istisna yazar; bir vService'te gerçek saldırı olan kayıt da seçildiyse o da öğretilir.
• Satır sınırının kestiği bir taramada bütün kayıtların öğretildiğini sanmak. Yalnızca çekilmiş satırlar öğretilir; Line Limit (varsayılan 5.000) dolduysa vService alanı ya da Date Range daraltılarak işlem tekrarlanır.
• Az sayıda vService için global katmanı kullanmak. İmza yalnızca birkaç vService'te sorunluysa her birinin OWASP Rules ekranında durum değiştirilir (Bir imzayı tüm cihazda değil yalnızca tek bir vService'te kapatabilir miyim?); global değişiklik diğer vService'lerin korumasını da etkiler.
• İmza durumu için WEB-CLI aramak. İmza kütüphanesinin durumunu değiştiren bir WEB-CLI komutu yoktur.

Dokümantasyonda nasıl yapılır

• Signature & Rule Library · Kural katmanları
• Global WAF Event Log · İşlemler
• OWASP Rules · Kural katmanları ve bu ekranın yeri

İlgili sorular

• Kural katmanları nelerdir (yerleşik kütüphane, global katman, vService katmanı); hangisi öncelikli?
• Bir imzayı tüm cihazda değil yalnızca tek bir vService'te kapatabilir miyim?
• Tüm vService'lerin WAF loglarını tek ekranda görebilir miyim (Global WAF Event Log)?