Çok fazla false positive üreten bir imzayı nasıl tespit ederim?

Kısa cevap

WAF Event Logs ekranında filtre şeridinin Signature sekmesi, çekilen kayıtlarda her imzanın kaç saldırıda geçtiğini çoktan aza listeler (filtrelenebilir bilgiler). Listenin üstündeki imza seçilip Learn Status sekmesinde No ve Partly ile öğretilmemiş kayıtlara inilir; ardından Client IP, Country, ASN ve Path sekmelerindeki dağılım okunur. Kayıtlar çok sayıda farklı istemciden, kurumun bilinen ağlarından ve aynı birkaç sayfadan geliyorsa imza büyük olasılıkla false positive üretiyordur; birkaç adresten çok sayıda farklı path'e yayılıyorsa bir saldırı taraması söz konusudur. Kesin karar her kaydın Attacks sekmesindeki Description ile verilir. Aynı inceleme bütün vService'ler için Global WAF Event Log ekranında yapılır. Daha uzun dönemlerin toplamları için WAF Report'un Attacks görünümündeki Attack ID kırılımı kullanılır. AI Learning açıksa AI Learning Tracking görünümü farklı istemci, ülke ve ağlardan yaygın biçimde görülen istisna adaylarını listeler. Dashboard panelleri imza düzeyinde değil, kategori ve OWASP maddesi düzeyinde döküm verir.

Sorun: Hangi İmzanın Sorun Çıkardığı Bilinmiyor

Kullanıcılardan çok sayıda engelleme bildirimi geliyor. Bu kayıtların çoğunu hangi imzanın ürettiği ve imzanın gerçek saldırıları mı yoksa meşru trafiği mi yakaladığı bulunmalıdır.

Çözüm: 4 Yöntem

Durumunuz	Uygun yöntem
Tek bir vService inceleniyor	Yöntem 1: Event Logs filtre şeridi
İmzanın bütün vService'lerdeki etkisi ölçülecek	Yöntem 2: Global WAF Event Log
Günler ya da haftalar boyunca toplamlar gerekiyor	Yöntem 3: WAF Report
AI Learning açık; yaygın adaylar görülmek isteniyor	Yöntem 4: AI Learning Tracking

Yöntem 1: Event Logs Filtre Şeridi Önerilen

• Nasıl çalışır Filtre şeridi çekilmiş kayıtları sekmelere göre sayar; bir sekmede yapılan seçim diğer sekmelerin sayılarını yeniden hesaplar (seçimlerin birleşmesi). Signature sekmesi saldırı sayısını, Client IP ve Path gibi sekmeler kayıt sayısını gösterir.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → Event Logs sekmesi
• Gereksinim WAF yetkisi; host grubu Monitor ya da Blocking modunda (Learning modunda Event Logs kaydı oluşmaz)
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Event Logs ekranını aç

Left Monitor Panel → WAF-Protected vServices → vService → Event Logs sekmesi açılır.

2

Adım 2 Kayıtları çek

Sunucu filtresinde Date Range incelenecek dönemi kapsayacak biçimde seçilir; Line Limit (varsayılan 1.000) dönemin kayıtlarına yetecek kadar artırılır ve Save & Get Logs tıklanır.

3

Adım 3 İmzayı seç

Filtre şeridinin Signature sekmesi açılır; imzalar saldırı sayısına göre sıralanır, her değerin altında imzanın açıklaması yazar. En üstteki imza seçilir.

4

Adım 4 Öğretilmemiş kayıtlara in

Learn Status sekmesinde No ve Partly seçilir.

5

Adım 5 Dağılımı oku

Client IP (kaç farklı istemci), Country, ASN ve Path sekmelerine bakılır. Çok sayıda farklı istemci, kurumun bilinen ağları ve birkaç sayfa false positive'e; birkaç adres ve çok sayıda farklı path saldırıya işaret eder.

6

Adım 6 Kayıtları doğrula

Birkaç kayda tıklanır; önizlemenin Attacks sekmesinde Description imzanın isteğin hangi bölümünde eşleştiğini vurgular. Eşleşen bölüm uygulamanın kendi verisiyse imza false positive üretiyordur.

7

Adım 7 Düzelt

Signature seçimi korunarak kayıtlar işaretlenip araç çubuğundaki öğretme butonuyla (seçime göre Allow, Teach ya da Allow / Teach) yalnızca bu imza öğretilir (Birden fazla logu tek seferde Allow / Teach yapabilir miyim; filtreyle gizlenen saldırılar da öğretilir mi?) ya da imzanın durumu vService'te Monitor yapılır (Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?).

Aynı süzme sunucu tarafında da yapılabilir: sunucu filtresindeki Log Filter alanında Taxonomy grubundan Signature, WAF grubundan Learn status koşulu eklenir; böylece satır sınırı yalnızca bu imzanın kayıtlarına harcanır (Logları IP, ülke, ASN, path, imza, kategori, OWASP, CWE gibi alanlara göre nasıl filtrelerim?).

Doğrulama

1Signature sekmesiTR7 tarafı

Öğretme ya da durum değişikliğinden sonra aynı dönem için kayıtlar yeniden çekilip Learn Status = No seçiliyken Signature sekmesine bakılır.

Beklenenİmza listenin üstünden düşer

Yöntem 2: Global WAF Event Log

• Nasıl çalışır Aynı filtre şeridi bütün WAF korumalı vService'lerin kayıtlarını birlikte sayar; vService sekmesi imzanın hangi uygulamalarda tetiklendiğini gösterir.
• Nerede açılır Sol alttaki TR7 logosu → Configuration Menu → WAF → Global WAF Event Log
• Gereksinim WAF yetkisi ve kısıtsız vService kapsamı
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Ekranı aç

Sol alttaki TR7 logosuyla Configuration Menu açılır; WAF → Global WAF Event Log seçilir.

2

Adım 2 Kayıtları çek

Sunucu filtresinde Date Range seçilir ve Save & Get Logs tıklanır. Varsayılan satır sınırı 5.000'dir.

3

Adım 3 İmzayı ve dağılımı oku

Signature sekmesinde imza seçilir; vService, Client IP ve Path sekmelerinin dağılımı okunur. Satır sınırı dolduysa sayılar dönemin toplamı değil, en yeni kayıtlardan oluşan bir örneklemdir.

Doğrulama

1vService sekmesiTR7 tarafı

İmza seçiliyken vService sekmesine bakılır.

Beklenenİmzanın tetiklendiği vService'ler ve kayıt sayıları

Yöntem 3: WAF Report

• Nasıl çalışır Rapor, seçilen dönemin WAF kayıtlarından üretilir; Attacks görünümü saldırıları Attack ID, kural ve kapsam, argüman ve risk seviyesine göre kırar. Report Filter ile yalnızca belirli kayıtlardan rapor üretilir.
• Nerede açılır vService Dashboard sekmesindeki For Detailed Analysis → WAF Report kısayolu ya da WAF Management sekmesindeki Periodic Reporting kartının Generate Report bağlantısı (nasıl erişilir)
• Gereksinim WAF yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 WAF Report sekmesini aç

vService'in Dashboard sekmesindeki For Detailed Analysis → WAF Report kısayoluna tıklanır.

2

Adım 2 Rapor formunu aç

Sekmedeki Generate Report butonu tıklanır.

3

Adım 3 Dönemi ve filtreyi seç

Report Type = html bırakılır, Date alanında incelenecek dönem seçilir. Yalnızca belirli kayıtlar incelenecekse Report Filter = Select seçilip koşul tanımlanır (Rapor filtresi ile yalnızca belirli saldırıları içeren bir rapor üretebilir miyim?).

4

Adım 4 Raporu üret

Accept tıklanır; rapor aynı istekte üretilir ve sekmede açılır.

5

Adım 5 İmza kırılımını oku

Raporun Attacks görünümünde Attack ID kırılımı okunur; birden çok host grubu varsa raporun üzerindeki host grubu seçimiyle grup grup incelenir.

Doğrulama

1Attacks görünümüTR7 tarafı

Raporun Attacks görünümündeki Attack ID tablosuna bakılır.

Beklenenİmzalar dönem içindeki saldırı sayılarıyla

Yöntem 4: AI Learning Tracking

• Nasıl çalışır AI Learning Tracking görünümü, kural setine hiçbir şey yazmadan AI Learning hesabını canlı veriyle yeniden çalıştırır; farklı istemci, ülke ve ağlardan yaygın biçimde görülen ve öğrenilmeye yaklaşan istisna adaylarını Learning Progress ile listeler; bu adaylar çoğu zaman false positive üreten imzalardır (AI Learning & Teacher Tracking).
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → AI Learning Tracking sekmesi (Teacher da açıksa sekmenin adı AI Learning & Teacher Tracking olur)
• Gereksinim WAF yetkisi; Learning Methods penceresinde AI Learning açık
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Görünümü aç

vService'in AI Learning Tracking sekmesinde sol üstteki görünüm listesinden AI Learning Tracking seçilir.

2

Adım 2 Yalnızca imzaları listele

Araç çubuğundaki tip listesinde (varsayılan All) OWASP seçilir (Type Filter).

3

Adım 3 Eşiği düşür (gerekiyorsa)

Araç çubuğundaki Advanced Settings bağlantısıyla açılan şeritte Min Progress (%) değeri (varsayılan 50) düşürülür; henüz olgunlaşmamış adaylar da görünür (Min Progress (%), Max Suggestions ve Line Limit gelişmiş ayarları ne işe yarar?). Bu değer yalnızca görünümü etkiler, öğrenme eşiklerini değiştirmez.

4

Adım 4 Görünümü yenile

Refresh tıklanır; adaylar Learning Progress ile listelenir. Bir satıra tıklanınca önizlemede öneriyi besleyen istemci listesi görünür.

Doğrulama

1Öneri önizlemesiTR7 tarafı

Seçilen önerinin önizlemesindeki istemci tablosuna bakılır.

BeklenenÇok sayıda farklı istemci

Öneri tek bir istemciden besleniyorsa genel bir kullanım biçimini değil o istemcinin davranışını yansıtıyor olabilir.

Sık Yapılan Hatalar

• Yalnızca sayıya bakmak. En çok tetiklenen imza gerçek bir saldırı dalgasını da gösterebilir; kaynak ve path dağılımı birlikte okunur.
• Satır sınırını gözden kaçırmak. Line Limit dolduysa sekme sayıları en yeni kayıtlardan oluşan bir örneklemdir; Date Range daraltılır ya da sunucu filtresi kullanılır.
• Dashboard'da imza aramak. Dashboard panelleri kategori ve OWASP maddesi düzeyinde kalır (Detected Attacks by Category).
• Learning modundaki host grubunda kayıt beklemek. Learning modunda Event Logs kaydı oluşmaz; imza etkisi Monitor ya da Blocking modunda ölçülür.

Dokümantasyonda nasıl yapılır

• Event Logs · Filtrelenebilir bilgiler
• Global WAF Event Log · Ne işe yarar
• WAF Report · HTML raporu

İlgili sorular

• Logları IP, ülke, ASN, path, imza, kategori, OWASP, CWE gibi alanlara göre nasıl filtrelerim?
• Rapor filtresi ile yalnızca belirli saldırıları içeren bir rapor üretebilir miyim?
• Birden fazla logu tek seferde Allow / Teach yapabilir miyim; filtreyle gizlenen saldırılar da öğretilir mi?