WAF'ı açtığım anda trafik engellenmeye başlar mı?

Kısa cevap

Hayır. İlk kez açılan vService Learning Mode'da başlar: istekler imza taramasından geçer ve öğrenme için kaydedilir, ancak saldırı puanı toplanmadığı için WAF kararıyla hiçbir istek engellenmez; kara listedeki adresler de bu modda engellenmez (etkinleştirildikten sonra ne oluşur). Daha önce WAF'ı açık olup kapatılmış bir vService ise kayıtlı yapılandırmasıyla, örneğin Blocking Mode'da geri döner.

Nasıl Çalışır?

WAF açıldığında vService için Default Host Group oluşturulur ve bu grup vService'in varsayılan modunu, yani Learning Mode'u alır. Learning mode'da imza taraması çalışır, ancak bulunan ihlaller saldırı puanına eklenmez ve yapısal denetimler çalışmaz (modların çalışma anı davranışı). Engelleme kararı puan eşiğe ulaştığında verildiği için bu modda WAF kararıyla engelleme oluşmaz ve Event Logs kaydı üretilmez.

Durum	Sonuç
İlk kez WAF açılan vService	Learning mode; WAF kararıyla engelleme yok (Learning modunda WAF ne yapar; saldırılar engellenir mi?)
Daha önce WAF'ı açık olup kapatılmış vService	Kayıtlı host grupları, modları ve kurallarıyla döner (WAF korumasını kaldırırsam öğrenilen kurallar ve ayarlar silinir mi?)
Kara listedeki (Blacklist Protection) adresten gelen istek	Learning mode'da engellenmez
WAF taraması 2 saniyelik süre sınırı içinde tamamlanamayan istek	Learning mode'da geçirilir; yalnızca Blocking mode'da engellenir (Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?)
Do not WAF static contents ya da Whitelist Condition kapsamındaki istek	WAF denetimine girmez
Aynı vService'teki Bot/DDoS koruması ya da Actions	WAF modundan bağımsız olarak çalışmaya devam eder; bunların engellemesi WAF'tan gelmez

• WAF açık vService'te istek gövdesi, Wait for body for a time kapalıyken (varsayılan) denetimden önce TR7'de tamamen alınır; çok yavaş büyük yüklemeler bu nedenle zaman aşımına uğrayabilir (Büyük dosya yüklemeleri başarısız oluyor; neden?).
• Bir engelin hangi güvenlik katmanından geldiği: Meşru kullanıcıları yanlışlıkla engelliyorum; nasıl tespit ederim?
• Engelleme, Virtual Host Group Blocking Mode'a alındığında başlar (WAF'ı açtıktan sonra ilk olarak ne yapmalıyım?).

Sık Karıştırılan Noktalar

• "WAF açılınca site korunur." Learning Mode koruma sağlamaz; saldırı içeren istekler de geçer.
• "Learning mode'da taraması uzun süren istek engellenir." Taraması 2 saniyelik süre sınırı içinde tamamlanamayan istek Learning mode'da geçirilir; bu istek yalnızca Blocking Mode'da engellenir (Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?).
• "WAF'ı kapatıp yeniden açmak Learning mode'a döndürür." Kayıtlı mod geri gelir; Blocking mode'daki grup Blocking mode'da döner.

Dokümantasyonda nasıl yapılır

• How to Enable WAF? · Etkinleştirildikten sonra ne oluşur
• WAF Mode · Modların çalışma anı davranışı
• WAF Mode · Blocking Mode

İlgili sorular

• Learning modunda WAF ne yapar; saldırılar engellenir mi?
• WAF'ı açtıktan sonra ilk olarak ne yapmalıyım?
• Meşru kullanıcıları yanlışlıkla engelliyorum; nasıl tespit ederim?