Event Logs üzerinden bir saldırgan IP'yi doğrudan kara listeye alabilir miyim (Attacker IP → Actions)?

Kısa cevap

Evet. WAF Event Logs ekranında kayıt açılır; önizlemenin Summary ya da Request & Location sekmesindeki Attacker IP satırının yanındaki Actions menüsünden iki kapsamdan biri seçilir. Add to Blacklist (<vService adı>) adresi yalnızca bu vService'in Frontend Blacklist listesine yazar. Add to Blacklist (IP intelligence) adresi cihazın IP Intelligence & Reputation kullanıcı kara listesine yazar ve Blacklist Protection açık olan bütün vService'leri etkiler. Her seçenek adresi ve ülkeyi gösteren bir onay penceresi açar; onaylandıktan sonra değişiklik ayrı bir dağıtım adımı olmadan uygulanır. Sonraki istekler Blacklisted IP ihlaliyle engelleme eşiğini tek başına aşar: Blocking modundaki host gruplarında engellenir, Monitor modunda yalnızca kaydedilir. Servis kapsamı için vService'te Blacklist Protection açık olmalıdır. Menü adresin durumuna göre değişir: listede bulunan adres için Remove from Blacklist seçeneği, itibar beslemesinden gelen bir kara liste kaydında IP intelligence kapsamında yalnızca whitelist'e ekleme seçeneği sunulur. Adres birden çok vService'e saldırıyorsa cihaz geneli kapsam, tek bir uygulamayı hedefliyorsa servis kapsamı seçilir.

Sorun: Bir Saldırgan Adres Tekrar Tekrar Deneme Yapıyor

Event Logs'ta aynı adresten tekrarlanan saldırılar görülüyor; adresin kayıt ekranından çıkmadan kara listeye alınması gerekiyor.

Çözüm: 2 Yöntem

Durumunuz	Uygun yöntem
Adres bir Event Logs kaydında görülüyor	Yöntem 1: Attacker IP → Actions
Birden çok adres ya da blok elle girilecek	Yöntem 2: Frontend Blacklist

Yöntem 1: Attacker IP → Actions Önerilen

• Nasıl çalışır Kayıttaki adres, onaylanan menü seçeneğiyle vService'in Frontend Blacklist listesine ya da IP intelligence kullanıcı kara listesine yazılır (vService kara listesi ile IP intelligence listesi arasındaki fark nedir?).
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → Event Logs sekmesi → kayıt → Summary → Attacker IP → Actions
• Gereksinim WAF alanında değiştirme yetkisi; vService'te Blacklist Protection açık (varsayılan olarak açıktır)
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Blacklist Protection'ı kontrol et

WAF Management sekmesinde Inspection & Blocking bölümündeki Whitelist & Blacklist kartında Requests from bad-reputation source IPs are blocked — category: … satırı görünmelidir. Kart Blacklist Protection'ın kapalı olduğunu gösteriyorsa kartın kalem ikonuyla pencere açılır, Blacklist Protection anahtarı açılır ve Edit tıklanır (Kötü itibarlı IP'lerden gelen istekleri otomatik engelleyebilir miyim (Blacklist Protection)?).

2

Adım 2 Event Logs ekranını aç

Left Monitor Panel → WAF-Protected vServices → vService → Event Logs sekmesi açılır.

3

Adım 3 Kayıtları çek

Sunucu filtresinde Date Range seçilir ve Save & Get Logs tıklanır.

4

Adım 4 Kaydı aç

Saldırganın kayıtlarından birine tıklanır; sağda önizleme açılır.

5

Adım 5 Actions menüsünü aç

Summary (ya da Request & Location) sekmesindeki Attacker IP satırının yanındaki Actions menüsü açılır.

6

Adım 6 Kapsamı seç

Yalnızca bu vService için Add to Blacklist (<vService adı>), bütün vService'ler için Add to Blacklist (IP intelligence) seçilir.

7

Adım 7 Onayla

Açılan pencerede soru (Add this address to the blacklist of the service <vService adı>? ya da Add this address to the blacklist on every service?) ve altında adres ile ülke görünür; Yes tıklanır. Cluster'da değişiklik varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa Synchronize ile elle gönderilir.

Aynı menü başka yerlerde de bulunur; satırın sağ tık menüsünde ise yalnızca Allow / Teach vardır:

Yer	Fark
Event Logs filtre şeridinin Client IP sekmesindeki adresin bilgi penceresi	Aynı seçenekler
Global WAF Event Log önizlemesindeki Attacker IP	Servis kapsamlı seçenekler satırın ait olduğu vService'in adıyla görünür; filtre şeridindeki bilgi penceresi servis kapsamı sunmaz

Doğrulama

1Whitelist & Blacklist kartıTR7 tarafı

Servis kapsamında, WAF Management sekmesindeki kartın satırına bakılır.

BeklenenN pool-specific blocks and X exclusions are defined for this vService

Menü yeniden açıldığında aynı adres için Remove from Blacklist seçeneği görünür.

2Sonraki kayıtlarTR7 tarafı

Adresin sonraki bir kaydının Attacks sekmesine bakılır.

BeklenenBlacklisted IP · Attack blocked

Host grubu Monitor modundaysa karar Not blocked — Monitor mode olur.

Yöntem 2: Frontend Blacklist

• Nasıl çalışır Adresler ve bloklar vService'in Frontend Blacklist alanına satır satır yazılır.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → Inspection & Blocking → Whitelist & Blacklist kartı
• Gereksinim WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Pencereyi aç

WAF Management sekmesinde Whitelist & Blacklist kartının sağ üstündeki kalem ikonu tıklanır (Whitelist & Blacklist Edit ekranı).

2

Adım 2 Blacklist Protection'ı aç

Blacklist Protection anahtarı kapalıysa açılır; Frontend Blacklist alanı yalnızca bu anahtar açıkken görünür ve uygulanır.

3

Adım 3 Adresleri yaz

Frontend Blacklist alanına her satıra bir IP adresi ya da CIDR bloğu yazılır (ör. 198.51.100.77).

4

Adım 4 Kaydet

Edit tıklanır. Ayrıntılar: vService'e özel IP kara listesini (Frontend Blacklist) ve istisnalarını (Frontend Blacklist Exclusions) nasıl tanımlarım?

Doğrulama

1Whitelist & Blacklist kartıTR7 tarafı

Kartın satırına bakılır.

BeklenenN pool-specific blocks and X exclusions are defined for this vService

Sık Yapılan Hatalar

• Blacklist Protection kapalıyken servis kapsamını kullanmak. Sunucu işlemi reddeder ve adres listeye yazılmaz; önce Blacklist Protection açılır.
• Monitor modunda engelleme beklemek. Kara liste isabeti de host grubunun moduna tabidir; Monitor modunda yalnızca kaydedilir, Learning modunda engellenmez ve Event Logs'a yazılmaz.
• Paylaşılan bir çıkış adresini (kurumsal NAT, CDN) listeye almak. Adresin arkasındaki bütün kullanıcılar engellenir; CDN arkasında gerçek istemci adresi çözülmüyorsa CDN'in adresi engellenir.
• İtibar beslemesinden gelen kaydı kaldırmaya çalışmak. Besleme kaydı menüden kaldırılamaz; adres gerekiyorsa whitelist'e eklenir. Adres vService'in kendi whitelist'indeyse (Frontend Blacklist Exclusions) menüde o vService için kara listeye ekleme seçeneği görünmez.
• Kara listeyi WAF beyaz listesiyle karıştırmak. Add to Whitelist seçenekleri yalnızca kara liste isabetini kaldırır; adresin istekleri WAF denetiminden geçmeye devam eder (Event Logs'taki "Add to Whitelist (vService)" bir IP'yi WAF incelemesinden muaf tutar mı, yoksa yalnızca kara liste istisnası mı ekler?).

Dokümantasyonda nasıl yapılır

• Event Logs · Summary sekmesi
• Whitelist & Blacklist · Frontend Blacklist
• Global WAF Event Log · Operasyonel en iyi uygulamalar

İlgili sorular

• vService'e özel IP kara listesini (Frontend Blacklist) ve istisnalarını (Frontend Blacklist Exclusions) nasıl tanımlarım?
• vService kara listesi ile IP intelligence listesi arasındaki fark nedir?
• Kötü itibarlı IP'lerden gelen istekleri otomatik engelleyebilir miyim (Blacklist Protection)?