WAF bir istek için hangi kararları verir; Event Logs'taki Action ve Debug Mode Logs'taki Verdict ne anlama gelir?

Kısa cevap

Her istek WAF'tan tek bir sonuçla çıkar ve sonuçlar Dashboard'daki WAF Inspection Distribution grafiğinde altı seri olarak sayılır: Whitelisted (muafiyete uyduğu için denetlenmedi), Clean (denetlendi, engellenmedi), Blocked (puan eşiğe ulaştı, Blocking modunda engellendi), Monitor (puan eşiğe ulaştı ama grup Monitor modunda olduğu için geçirildi), Teacher (puan eşiğe ulaştı ama istek Teacher kimliğiyle geldiği için geçirildi) ve Learning (Learning modunda ya da Conditional Learning kimliğiyle geldiği için öğrenme kaydına yazıldı). Event Logs'taki Action kolonu yazılan saldırı kaydının kararını ikonla gösterir; ikonun üzerine gelindiğinde "Attack blocked", "Not blocked — Monitor mode", "Not blocked — Below the blocking threshold" ya da "Not blocked — Teacher IP matched" (kimliğe göre Teacher cookie ya da Teacher header) cümlesi görünür. Debug Mode Logs'un WAF bölümündeki Verdict aynı cümleleri istek bazında gösterir; eşiğin altında kalan State = Monitor isabeti orada grubun modundan bağımsız olarak "Not blocked — Below the blocking threshold" yazılır. Taraması 2 saniyelik süre sınırı içinde bitmeyen istek Blocking modunda engellenir (Fail-open açıksa geçirilir), diğer modlarda, kurallar yüklenirken oluşabilen bir istisna dışında, geçirilir; engellenen bu istek Event Logs'a yazılmaz, Debug mode açıksa Debug Mode Logs'ta "Attack blocked — scan timed out" olarak görünür.

Nasıl Çalışır?

Sonuç tarama bittikten sonra, aşağıdaki sırayla ilk uyan koşula göre belirlenir: zaman aşımı → Whitelisted → Learning → Teacher → Monitor → Blocked → Clean. Bu yüzden Learning modundaki bir grupta saldırı içeren istek de Learning sayılır.

Sonuç (WAF Inspection Distribution)	Ne zaman	Event Logs · Action
Whitelisted	Do not WAF static contents ya da Whitelist Condition kapsamında ya da AGS kimlik doğrulama, Advanced CAPTCHA doğrulama isteği ya da Bot/DDoS doğrulama sayfasının ürüne gönderdiği istemci kanıtı isteği; istek WAF'a girmedi	Kayıt yok
Learning	Grup Learning modunda ya da istek Conditional Learning kimliğiyle geldi	Kayıt yok; istek öğrenme kaydına yazılır
Teacher	Puan ≥ eşik, istek Teacher kimliğiyle geldi; istek geçirildi	"Not blocked — Teacher IP matched" (kimliğe göre Teacher cookie ya da Teacher header)
Monitor	Puan ≥ eşik, grup Monitor modunda; istek geçirildi	"Not blocked — Monitor mode"
Blocked	Puan ≥ eşik, grup Blocking modunda; istek engellendi	"Attack blocked"
Clean	Puan eşiğin altında kaldı	Kayıt yazılmaz; tek istisna State'i Monitor olan bir imzanın tetiklenmesidir: Blocking grubunda "Not blocked — Below the blocking threshold", Monitor grubunda "Not blocked — Monitor mode", Teacher kimliğiyle gelen istekte "Not blocked — Teacher IP matched" (kimliğe göre Teacher cookie ya da Teacher header)
Zaman aşımı (grafikte ayrı seri yok)	Tarama 2 saniyelik süre sınırı içinde bitmedi; istek Blocking modunda engellendi (Fail-open açıksa geçirildi), diğer modlarda geçirildi	Kayıt yok; engellenen istek Debug Mode Logs'ta "Attack blocked — scan timed out"

• Engellenen isteğe Blocking Status Code (varsayılan 418) ve engelleme sayfası döner; zaman aşımıyla engellenen istek de aynı yanıtı alır.
• Event Logs'taki Action kolonu metin değil ikon gösterir; üç kulvar vardır: engelleme, izleme ve Teacher (Action değerleri). Bir kaydın imzaları sonradan öğretilse de ikon, kaydın oluştuğu andaki kararı göstermeye devam eder.
• Debug Mode Logs yalnızca vService'in Status alanı Debug mode'dayken yazılır (Debug logları nasıl aktif edilir); WAF bölümü yalnızca WAF'ın kayıt ürettiği isteklerde ve zaman aşımıyla engellenen isteklerde dolar. Learning, Whitelisted ve kayıt üretmeyen Clean isteklerde Verdict görünmez. Verdict, Event Logs'taki cümlelerle aynıdır; tek fark, eşiğin altında kalan State = Monitor isabetinin burada her zaman "Not blocked — Below the blocking threshold" olarak yazılması ve Teacher adının gösterilmemesidir.

Hangi modda kayıt oluştuğu: Hangi moddayken Event Logs kaydı oluşur, hangisinde oluşmaz; eşik altında kalan saldırılar da loglanır mı?

Sık Karıştırılan Noktalar

• "Event Logs boşsa saldırı yoktur." Learning modunda ve eşiğin altında kalan isabetlerde Event Logs kaydı yazılmaz.
• "Zaman aşımıyla engellenen istek Event Logs'ta görünür." Yalnızca Debug Mode Logs'ta görünür; WAF Inspection Distribution grafiğinde de ayrı bir seri olarak gösterilmez.
• "Monitor serisi, imzası izlenen bütün istekleri sayar." Monitor serisi yalnızca Monitor modundaki grupta puanı eşiğe ulaşan istekleri sayar; State'i Monitor olan imzaya takılıp eşiğin altında kalan istek Clean sayılır.

Dokümantasyonda nasıl yapılır

• Event Logs · Action değerleri
• Dashboard · WAF Inspection Distribution
• WAF Mode · Modların çalışma anı davranışı
• Debug Logs · Debug Logs nedir

İlgili sorular

• Hangi moddayken Event Logs kaydı oluşur, hangisinde oluşmaz; eşik altında kalan saldırılar da loglanır mı?
• Meşru kullanıcılar engelleniyor; hangi kuralın engellediğini nasıl bulurum?
• Meşru kullanıcıları yanlışlıkla engelliyorum; nasıl tespit ederim?