WAF'ı açtıktan sonra ilk olarak ne yapmalıyım?

Kısa cevap

Önce korumanın doğru trafiği gördüğü doğrulanır: WAF Management sekmesinde mod kartı Learning Mode'da görünmeli, TR7'nin önünde CDN ya da proxy varsa Trusted Proxy profiliyle gerçek istemci IP'si alınmalı, HTTPS içerik için TLS vService'te sonlandırılmalıdır (bundan sonra ne yapılmalı). Ardından sitenin bütün bölümlerinin gezilmesi beklenir ve Dashboard'daki Learning sekmesinde Learning Coverage ile Learning Discovery Rate izlenir. Coverage %100'e yaklaşıp düzleşince Analysis & Learning ile analiz başlatılır; analiz sonucunda çıkan path'ler gözden geçirilir, bilinmeyen ya da şüpheli path'ler Exclude from Analysis ile analizden çıkarılır ve sonuç Apply ile uygulanır. Sonra Virtual Host Group'un WAF Mode'u Monitor Mode yapılır, Event Logs'taki false positive'ler Allow / Teach ile öğretilir; yeni false positive gelmediğinde Blocking Mode'a geçilir.

Sorun: WAF Açıldı ama Koruma Henüz Yok

WAF açıldığında vService Learning Mode'da başlar ve WAF kararıyla istek engellemez (WAF'ı açtığım anda trafik engellenmeye başlar mı?). Açılışta kural setinde yalnızca Any Paths kuralı bulunur; sitenin Page type'ları henüz öğrenilmemiştir. Korumanın false positive üretmeden devreye girmesi için önce trafiğin öğrenilmesi, kural setinin üretilmesi ve kural setinin Monitor Mode'da engelleme yapılmadan gerçek trafikte izlenmesinden sonra Blocking Mode'a geçilmesi gerekir.

Çözüm

Adımlar ürünün önerdiği devreye alma sırasını izler (tipik devreye alma akışı). Mod Virtual Host Group başına ayarlanır; birden çok grup varsa her grup için ayrı yürütülür.

Önerilen Devreye Alma Sırası

• Nasıl çalışırLearning Mode'da toplanan trafikten Analysis & Learning ile Page type'lar üretilir, Monitor Mode'da kural seti engelleme yapmadan gerçek trafikte çalıştırılıp izlenir ve false positive'ler temizlenince Blocking Mode'a geçilir (önerilen yaşam döngüsü).
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management · Dashboard · Event Logs
• Gereksinim WAF açık HTTP vService (Bir vService'te WAF korumasını nasıl etkinleştiririm?); WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Açılışı doğrula

Left Monitor Panel'de WAF-Protected vServices kategorisinde vService'e tıklanır ve WAF Management sekmesine geçilir (ekrana erişim). Ekranın üstündeki mod kartı mavi Learning Mode olarak görünür (mod şeridi).

2

Adım 2 Gerçek istemci IP'sini sağla (gerekiyorsa)

TR7'nin önünde CDN ya da proxy varsa vService'e Trusted Proxy profili atanır (TR7'nin önünde Cloudflare / Akamai gibi bir CDN var; gerçek istemci IP'sini nasıl alırım (Trusted Proxy)?). Aksi hâlde kara liste denetimi ve öğrenmenin farklı istemci, ülke ve ASN sayısı eşikleri proxy adresiyle hesaplanır.

3

Adım 3 TLS'i TR7'de sonlandır (gerekiyorsa)

HTTPS trafiğinin içeriği yalnızca TLS vService'te sonlandırıldığında denetlenir (WAF, HTTPS trafiğinin içeriğini görebilir mi; bunun için ne gerekir?).

4

Adım 4 Öğrenmeyi izle

Aynı vService'in Dashboard sekmesinde Learning görünümü açılır. Learning Coverage son 24 saatteki kabul edilmiş ve saldırısız trafiğin ne kadarının tanıdık istek şekillerinden oluştuğunu yüzde olarak gösterir; Learning Discovery Rate'teki New shapes (accepted) çizgisi sıfıra yaklaştıkça site öğrenilmiş olur. Bu sürede sitenin bütün bölümlerinin gezilmesi beklenir. Learning sekmesi, Smart Sampling (learning log) açıkken (varsayılan) ve en az bir grup Learning mode'dayken ya da Conditional Learning açıkken görünür.

5

Adım 5 Analiz penceresini aç

WAF Management sekmesinde mod kartındaki Analysis & Learning metnine tıklanır; New analyze for vService adını taşıyan pencere açılır (yeni analiz oluşturma). Analyze Date varsayılan olarak son 3 ayı kapsar.

6

Adım 6 Analizi başlat

Start Analyzing tıklanır; pencere kapanır ve ilerleme mod kartındaki çubukta izlenir (analiz başlatma).

7

Adım 7 Sonucu aç

Analiz tamamlanınca Analysis & Learning satırında New rozeti belirir; rozete tıklanarak analizin özeti açılır (analizin tamamlanması).

8

Adım 8 Analyze page types sekmesini aç

Özetteki Edit tıklanır; Analyze Page Types sekmesi açılır. Solda öğrenilen dizinlerin ağacı, sağda seçili dizindeki path'ler listelenir.

9

Adım 9 Şüpheli path'leri analizden çıkar

Analiz sonucunda çıkan path'ler kontrol edilir; listede yalnızca WAF kuralı oluşturulacak path'ler kalmalıdır. Bilinmeyen ya da şüpheli path'lerin analizden elle çıkarılması önerilir: satırlar seçilip Exclude from Analysis tıklanır; bu path'ler Excluded paths listesine eklenir ve kural üretmez. Düzenlemeler ayrı bir kaydetme adımı olmadan analiz kaydına yazılır; canlı kurallar yalnızca Apply ile değişir.

10

Adım 10 Sonucu uygula

Analyze Page Types sekmesindeki Apply tıklanır ve Are you sure? sorusu onaylanır; Page type'lar ve kural önerileri grubun kural setine yazılır (analiz sonucunun uygulanması). Mod kartındaki page types sayısı artar.

11

Adım 11 Mod düzenleme penceresini aç

Mod kartının başlık şeridindeki Edit tıklanır; Virtual Host Group düzenleme penceresi açılır (WAF Mode Edit ekranı).

12

Adım 12 Monitor mode'u seç

WAF Mode alanında Monitor mode seçilir.

13

Adım 13 Kaydet

Pencerenin altındaki Edit tıklanır; ayrı bir dağıtım adımı olmadan uygulanır. Kart amber renkli Monitor mode olur. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da otomatik gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

14

Adım 14 False positive'leri seç

Aynı vService'in Event Logs sekmesinde meşru olduğu bilinen isteklerin satırları onay kutularıyla seçilir. Monitor mode'da eşiğe ulaşan istekler Not blocked — Monitor mode olarak kaydedilir (Action değerleri).

15

Adım 15 Öğret

Araç çubuğundaki Allow / Teach tıklanır ve Are you sure? sorusu onaylanır; seçili isteklerin tetiklediği imzalar kural setine öğretilir. Butonun adı seçime göre Allow, Teach ya da Allow / Teach olur.

16

Adım 16 Blocking mode'a geç

Yeni false positive gelmediği görülünce 11–13. adımlar tekrarlanır ve WAF Mode alanında Blocking Mode seçilip Edit ile kaydedilir. Geçiş ölçütleri: Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?

Doğrulama

1DağılımTR7 tarafı

vService'in Dashboard sekmesinde WAF Inspection Distribution panelindeki serilere bakılır.

BeklenenLearning → Monitor → Blocked ve Clean

Learning mode'daki trafik Learning, Monitor mode'da eşiğe ulaşan istekler Monitor, Blocking mode'da engellenen istekler Blocked serisinde sayılır; eşiğe ulaşmayan istekler Clean'dir.

Sık Yapılan Hatalar

• Learning mode'da bırakıp korunduğunu sanmak. Learning Mode'da saldırı içeren istekler de geçer.
• Learning Coverage düzleşmeden analiz yapmak. Kural setinde karşılığı olmayan sayfalar ve parametreler, Rule Creation Policy'ye göre yapısal ihlal sayılır ve Blocking mode'da engellenir (Learning Coverage).
• Monitor mode'da izlemeden Blocking mode'a geçmek. False positive'ler doğrudan kullanıcıya engelleme olarak yansır.
• Learning mode kayıtlarını Blocking mode davranışı sanmak. Learning mode'da imza taraması OWASP anahtarlarını ve istisnaları yok sayarak çalışır; Blocking mode'da ne olacağını Monitor mode kayıtları gösterir (modların çalışma anı davranışı).
• AI learning'in Learning mode'da çalışmasını beklemek. AI Learning saldırı kayıtlarını değerlendirir; bu kayıtlar yalnızca Monitor mode ve Blocking mode'da üretilir (kural seti nasıl oluşur).

Dokümantasyonda nasıl yapılır

• How to Enable WAF? · Bundan sonra ne yapılmalı
• WAF - WAAP · Tipik devreye alma akışı
• Dashboard · Learning sekmesi
• Analysis & Learning · Yeni analiz oluşturma
• WAF Mode · Önerilen yaşam döngüsü

İlgili sorular

• Önerilen yaşam döngüsü nedir (Learning → Monitor → Blocking); her aşamada ne kadar kalmalıyım?
• Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?
• Canlıdaki bir siteye WAF'ı kesinti riski olmadan nasıl devreye alırım?