SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Orta

Birden fazla logu tek seferde Allow / Teach yapabilir miyim; filtreyle gizlenen saldırılar da öğretilir mi? ​

Kısa cevap

Evet. WAF Event Logs ekranında satır başındaki kutularla istenen kadar kayıt seçilip araç çubuğundaki Allow / Teach butonu tıklanır; butonun adı seçime göre Allow, Teach ya da Allow / Teach olur ve seçili kayıtların hepsi tek bir Are you sure? onayıyla öğretilir. Global WAF Event Log ekranında farklı vService'lerin kayıtları birlikte seçilebilir; öğretme vService başına sırayla uygulanır ve her vService için ayrı onay sorulur. Filtreyle gizlenen saldırılar öğretilmez: öğretme listenin görünen hâli üzerinden yapılır. Filtre şeridinin saldırı bazlı sekmeleri (Signature, Scope, Category, OWASP Web, OWASP API, CWE, CAPEC, MITRE ATT&CK, Target, Severity) ve sunucu filtresindeki Log Filter'ın taksonomi, önem, kapsam ve imza koşulları kaydın saldırı listesini daraltır; yalnızca seçime uyan saldırılar öğretilir, aynı isteğin dışarıda kalan saldırılarına dokunulmaz. Kayıt bazlı sekmeler (Client IP, Path, Country gibi) saldırı listesini daraltmaz; bu sekmelerle süzülen kayıtlar bütün saldırılarıyla öğretilir. Belirli bir imzayı çok sayıda kayıtta öğretme işleminin en güvenli yolu, önce Signature sekmesinde o imzayı seçmektir. Yalnızca sunucudan çekilmiş kayıtlar öğretilir; Date Range ve Line Limit dışında kalan kayıtlar işleme girmez.

Sorun: Aynı False Positive Yüzlerce Kayıtta ​

Aynı imza çok sayıda kayıtta false positive üretmiş (Çok fazla false positive üreten bir imzayı nasıl tespit ederim?). Kayıtları tek tek öğretmek yerine toplu işlem yapılması, ama aynı isteklerdeki gerçek saldırıların öğretilmemesi gerekiyor.

Çözüm: 2 Yöntem ​

DurumunuzUygun yöntem
Kayıtlar tek bir vService'e aitYöntem 1: Event Logs'ta toplu seçim
Kayıtlar birden çok vService'e aitYöntem 2: Global WAF Event Log

Tek bir kaydın yalnızca bazı saldırıları öğretilecekse kaydın Attacks sekmesinde saldırılar ayrı ayrı işaretlenir (Yanlışlıkla engellenen bir isteğe nasıl izin veririm?).

  • Nasıl çalışır Seçili kayıtların görünen saldırıları tek çağrıda öğretilir; aynı çağrıdaki kayıtlar sırayla işlenir, aynı kurala aynı değişiklik bir kez yazılır.
  • Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → Event Logs sekmesi
  • Gereksinim WAF alanında değiştirme yetkisi
  • vService tipi HTTP

Adım adım yapılandırma ​

1
Adım 1 Event Logs ekranını aç

Left Monitor Panel → WAF-Protected vServices → vService → Event Logs sekmesi açılır.

2
Adım 2 Kayıtları çek

Sunucu filtresinde Date Range seçilir; dönemin kayıtları Line Limit değerini (varsayılan 1.000) aşıyorsa sınır artırılır ya da Log Filter'a imza koşulu eklenir. Save & Get Logs tıklanır.

3
Adım 3 İmzayı seç

Filtre şeridinin Signature sekmesinde öğretilecek imza seçilir; kayıtların diğer saldırıları görünümden ve öğretme kapsamından çıkar (seçimlerin birleşmesi). Gerekirse Path sekmesiyle sayfa da daraltılır.

4
Adım 4 Bütün kayıtları tek sayfada göster

Tablonun altındaki Page Size = All seçilir.

5
Adım 5 Kayıtları seç

Öğretilecek satırların kutuları ya da başlıktaki kutuyla bütün satırlar işaretlenir.

6
Adım 6 Öğret

Araç çubuğundaki buton (Allow, Teach ya da Allow / Teach) tıklanır ve Are you sure? penceresinde Yes seçilir. İşlem sürerken buton pasiftir. Cluster'da değişiklik varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa Synchronize ile elle gönderilir.

Doğrulama ​

1Attacks kolonuTR7 tarafı

Signature seçimi kaldırılıp öğretilen satırların Attacks kolonuna bakılır; imleçle üzerine gelindiğinde … of … would still be blocked by today's rules ipucu görünür.

BeklenenYalnızca öğretilen imza düşer · diğer saldırılar açık kalır

Yöntem 2: Global WAF Event Log ​

  • Nasıl çalışır Farklı vService'lerin kayıtları birlikte seçilir; öğretme vService başına gruplanır, her vService kendi kural setine yazar ve her biri için ayrı onay sorulur.
  • Nerede açılır Sol alttaki TR7 logosu → Configuration Menu → WAF → Global WAF Event Log
  • Gereksinim WAF alanında değiştirme yetkisi ve kısıtsız vService kapsamı
  • vService tipi HTTP

Adım adım yapılandırma ​

1
Adım 1 Ekranı aç

Sol alttaki TR7 logosuyla Configuration Menu açılır; WAF → Global WAF Event Log seçilir.

2
Adım 2 Kayıtları çek

Sunucu filtresinde Date Range seçilir, gerekirse vService alanında Pick vServices ile vService'ler daraltılır ve Save & Get Logs tıklanır. Varsayılan satır sınırı 5.000'dir.

3
Adım 3 İmzayı seç

Filtre şeridinin Signature sekmesinde imza seçilir.

4
Adım 4 Kayıtları seç

Öğretilecek satırlar işaretlenir. vService kolonu her satırın ait olduğu vService'i gösterir.

5
Adım 5 Öğret

Araç çubuğundaki buton (Allow, Teach ya da Allow / Teach) tıklanır; her vService için açılan Are you sure? penceresinde Yes seçilir.

Doğrulama ​

1Attacks kolonuTR7 tarafı

Öğretilen satırların Attacks kolonuna bakılır.

BeklenenÖğretilen imza her vService'in satırlarında düşer

Sık Yapılan Hatalar ​

  • Kayıt bazlı bir sekmeyle daraltıp yalnızca bir imzanın öğretileceğini sanmak. Path ya da Client IP seçimi saldırıları daraltmaz; kayıtların bütün saldırıları öğretilir.
  • Sağ tık menüsünün seçili satırları öğreteceğini sanmak. Sağ tık yalnızca tıklanan satırı öğretir (sağ tık menüsü).
  • Line Limit dolmuşken dönemin bütün kayıtlarının öğretildiğini sanmak. Yalnızca çekilmiş kayıtlar işlenir; sınırın dışında kalan kayıtlar, öğretmeden sonra kayıtlar yeniden çekilip Learn Status = No ile ayrıca kontrol edilir.
  • Global ekranda tek onay beklemek. Her vService için ayrı onay sorulur; bir onay reddedilirse o vService'e yazılmaz.
  • Toplu öğretmeden önce örnek kayıtları incelememek. Seçime gerçek bir saldırının kaydı da girdiyse o saldırı da öğretilir (False positive düzeltmesinin güvenlik açığı yaratıp yaratmadığını nasıl değerlendiririm?).

Dokümantasyonda nasıl yapılır

İlgili sorular