Canlıdaki bir siteye WAF'ı kesinti riski olmadan nasıl devreye alırım?

Kısa cevap

WAF'ı açmak tek başına trafiği kesmez; ilk kez açılan vService Learning Mode'da başlar ve WAF kararıyla istek engellemez (önerilen yaşam döngüsü). Güvenli sıra: Trusted Proxy ve TLS sonlandırma kontrol edilir, WAF açılır, Learning Coverage düzleşene kadar öğrenilir, Analysis & Learning sonucu bilinmeyen ya da şüpheli path'ler analizden çıkarıldıktan sonra uygulanır, Monitor Mode'da kural seti gerçek trafikte engelleme yapmadan izlenip Event Logs'taki false positive'ler Allow / Teach ile öğretilir ve yeni false positive gelmediğinde Blocking Mode'a geçilir. Mod değişiklikleri ayrı dağıtım adımı olmadan, açık bağlantılar kopmadan uygulanır. Birden çok alan adı varsa olgunlaşanlar ayrı Virtual Host Group'larla kademeli olarak Blocking mode'a alınır. Gövde varsayılan olarak denetimden önce tamamen alınır (Wait for body for a time kapalı); büyük yükleme yapan sayfalar ayrıca izlenir.

Sorun: Canlı Sitede Yanlış Engelleme Riski

WAF'ın doğrudan Blocking Mode'da devreye alınması, kural setinde henüz karşılığı olmayan sayfaları ve meşru istekleri engelleyebilir. Ürün bu nedenle Learning mode'dan Monitor mode'a, Monitor mode'dan Blocking mode'a geçen bir sıra önerir (önerilen yaşam döngüsü). Bu sıra izlenirken de aşağıdaki durumlar kullanıcıyı etkileyebilir:

Durum	Etkisi ve önlem
WAF taraması 2 saniyelik süre sınırı içinde tamamlanamaz	Learning ve Monitor mode'da istek geçirilir (tarama kurallar yüklenirken ve host grubu belirlenmeden kesildiyse ve vService'te Blocking mode'da bir grup varsa engellenir); Blocking mode'a geçildiğinde istek engellenir ve Blocking Page ile yanıtlanır, Fail-open açıksa taranmadan geçirilir (Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?)
İstek gövdesi denetimden önce tamamen alınır	Çok yavaş büyük yüklemeler zaman aşımına uğrayabilir (Büyük dosya yüklemeleri başarısız oluyor; neden?)
vService'te WAF daha önce açılıp kapatılmış	Virtual Host Group'lar kayıtlı modlarıyla, örneğin Blocking mode'da döner (WAF korumasını kaldırırsam öğrenilen kurallar ve ayarlar silinir mi?)
Engelleme yanıtı	Blocking Status Code varsayılan 418'dir; istemci ve izleme araçları bunu hata olarak görür, gerekirse değiştirilir

Çözüm: İki Yöntem

İki yöntem aynı sırayı izler; ikincisi, aynı vService'teki alan adlarını ayrı gruplarda ayrı hızda ilerletir.

Durumunuz	Uygun yöntem
Tek alan adı ya da vService'in bütünü	Yöntem 1: Aşamalı mod geçişi
Aynı vService'te birden çok alan adı; olgun olanlar önce korunsun	Yöntem 2: Alan adına göre kademeli geçiş

Yöntem 1: Aşamalı Mod Geçişi Önerilen

• Nasıl çalışır Virtual Host Group Learning Mode, Monitor Mode ve Blocking Mode'dan sırayla geçirilir. Monitor mode'da denetim Blocking mode ile birebir aynıdır; engelleme kararı hesaplanır ama uygulanmaz.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management · Dashboard · Event Logs
• Gereksinim HTTP vService; WAF - WAAP lisansı; WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Ön koşulları kontrol et

TR7'nin önünde CDN ya da proxy varsa vService'e Trusted Proxy profili atanır (TR7'nin önünde Cloudflare / Akamai gibi bir CDN var; gerçek istemci IP'sini nasıl alırım (Trusted Proxy)?); HTTPS içerik için TLS vService'te sonlandırılır (WAF, HTTPS trafiğinin içeriğini görebilir mi; bunun için ne gerekir?).

2

Adım 2 WAF'ı aç

WAF, vService formundaki WAF kutusuyla ya da WAF-Protected vService List ekranındaki Enable ile açılır (Bir vService'te WAF korumasını nasıl etkinleştiririm?). Açılış açık bağlantıları koparmaz (etkinleştirildikten sonra ne oluşur).

3

Adım 3 Öğrenmeyi izle

vService'in Dashboard sekmesinde Learning görünümü açılır; Learning Coverage %100'e yaklaşıp düzleşene, Learning Discovery Rate'teki New shapes (accepted) sıfıra yaklaşana kadar beklenir.

4

Adım 4 Analiz penceresini aç

WAF Management sekmesinde mod kartındaki Analysis & Learning metnine tıklanır; yeni analiz penceresi açılır (yeni analiz oluşturma).

5

Adım 5 Analizi başlat

Start Analyzing tıklanır; ilerleme mod kartındaki çubukta izlenir.

6

Adım 6 Analiz sonucunu aç

Analiz bitince Analysis & Learning satırında beliren New rozetine tıklanır; analizin özeti açılır (analizin tamamlanması).

7

Adım 7 Analyze page types sekmesini aç

Özetteki Edit tıklanır; Analyze Page Types sekmesi açılır. Solda öğrenilen dizinlerin ağacı, sağda seçili dizindeki path'ler listelenir.

8

Adım 8 Şüpheli path'leri analizden çıkar

Analiz sonucunda çıkan path'ler kontrol edilir; listede yalnızca WAF kuralı oluşturulacak path'ler kalmalıdır. Bilinmeyen ya da şüpheli path'lerin analizden elle çıkarılması önerilir: satırlar seçilip Exclude from Analysis tıklanır; bu path'ler Excluded paths listesine eklenir ve kural üretmez. Düzenlemeler ayrı bir kaydetme adımı olmadan analiz kaydına yazılır; canlı kurallar yalnızca Apply ile değişir.

9

Adım 9 Analiz sonucunu uygula

Analyze Page Types sekmesindeki Apply tıklanır ve Are you sure? sorusu onaylanır (analiz sonucunun uygulanması).

10

Adım 10 Mod düzenleme penceresini aç

Mod kartının başlık şeridindeki Edit tıklanır (WAF Mode Edit ekranı).

11

Adım 11 Monitor mode'u seç

WAF Mode alanında Monitor mode seçilir.

12

Adım 12 Kaydet

Pencerenin altındaki Edit tıklanır; değişiklik ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da otomatik gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

13

Adım 13 Monitor mode kayıtlarını incele

Event Logs sekmesinde kayıtlar incelenir. Monitor mode'daki grupta kayıtların hepsi Not blocked — Monitor mode olarak görünür: puanı eşiğe ulaşan istekler Blocking mode'da engellenir; yalnızca State = Monitor olan bir imzaya takılıp eşiğin altında kalan istekler ise Blocking mode'da da geçer. Bu ikinci tür, sunucu filtresindeki Log Filter'da Monitor only alanıyla ayrılır.

14

Adım 14 False positive'leri seç

Meşru olduğu bilinen isteklerin satırları onay kutularıyla seçilir.

15

Adım 15 Öğret

Araç çubuğundaki Allow / Teach tıklanır ve Are you sure? sorusu onaylanır; seçili isteklerin tetiklediği imzalar kural setine öğretilir.

16

Adım 16 Blocking mode'a geç

Event Logs'a yeni false positive gelmediği görülünce 10–12. adımlar tekrarlanır ve WAF Mode alanında Blocking Mode seçilip Edit ile kaydedilir. Geçiş ölçütleri: Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?

Doğrulama

1Event LogsTR7 tarafı

Blocking mode'a geçtikten sonra Event Logs kayıtlarının önizlemesine bakılır.

BeklenenAttack blocked yalnızca saldırı isteklerinde

2DağılımTR7 tarafı

Dashboard'daki WAF Inspection Distribution panelinde serilere bakılır.

BeklenenBlocked serisi yalnızca saldırı isteklerinde artar

Yöntem 2: Alan Adına Göre Kademeli Geçiş

• Nasıl çalışır Mod vService'e değil Virtual Host Group'a atanır. Olgunlaşan alan adları kendi gruplarında Blocking mode'a alınırken diğerleri Learning ya da Monitor mode'da kalır. Yeni grup kendi kural setiyle tek kuralla (Any paths) başlar ve kendi trafiğinden öğrenir.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → Virtual Host Groups bandı
• Gereksinim WAF açık HTTP vService; WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Grup ekleme penceresini aç

WAF Management sekmesinin en altındaki Virtual host groups bandının başlık şeridindeki artı (+) ikonuna tıklanır; Add başlıklı pencere açılır (host grubu ekleme).

2

Adım 2 Grubu tanımla

Virtual Host Group Name girilir. Virtual Host Patterns alanına alan adı yazılır (ör. api.example.com ya da *.example.com); desen Host başlığıyla büyük/küçük harf ve port dahil olduğu gibi karşılaştırılır. WAF Mode alanı vService'in varsayılan moduyla önseçili gelir; grubun bulunduğu aşamaya göre seçilir.

3

Adım 3 Kaydet

Pencerenin altındaki Add tıklanır; grup için ayrı bir mod kartı görünür. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da otomatik gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

4

Adım 4 Grupları ayrı ayrı ilerlet

Her grup, kendi mod kartından Yöntem 1'deki sırayla (3–16. adımlar) ayrı ayrı Monitor mode'a ve Blocking mode'a alınır. Ayrıntı: Aynı vService'te farklı domainler için farklı modlar kullanabilir miyim?

Doğrulama

1Mod kartlarıTR7 tarafı

WAF Management'taki mod kartlarına bakılır.

BeklenenHer grup kendi modunda; Requests to … are handled by this group

Sık Yapılan Hatalar

• Monitor mode aşamasını atlamak. Kural setinin gerçek trafikteki etkisi görülmeden kullanıcılar engellenebilir (WAF Mode Edit ekranı).
• Learning Coverage düşükken Blocking mode'a geçmek. Kural setinde karşılığı olmayan sayfalar ve parametreler yapısal ihlal sayılıp engellenebilir (Learning Coverage).
• Learning mode kayıtlarını Blocking mode davranışı sanmak. Learning mode'da imza taraması istisnaları yok sayarak çalışır; Blocking mode'da ne olacağını Monitor mode kayıtları gösterir (modların çalışma anı davranışı).
• Monitor mode'daki her kaydı engellenecek istek sanmak. Yalnızca State = Monitor olan imzaya takılıp eşiğin altında kalan istekler de Not blocked — Monitor mode olarak görünür ve Blocking mode'da da geçer; bu kayıtlar Log Filter'daki Monitor only alanıyla ayrılır.
• Daha önce WAF'ı açık olan vService'in Learning mode'da başlayacağını sanmak. Kayıtlı mod geri gelir (WAF korumasını kaldırırsam öğrenilen kurallar ve ayarlar silinir mi?).
• Teacher ya da Conditional learning kimliklerini yayından sonra açık bırakmak. Teacher kimliği taşıyan istekler hiçbir modda WAF kararıyla engellenmez, Conditional Learning kimliği taşıyanlar öğrenme kapsamında işlenir; kimlik alanları işi bitince boşaltılır.

Dokümantasyonda nasıl yapılır

• WAF Mode · Önerilen yaşam döngüsü
• WAF - WAAP · Tipik devreye alma akışı
• WAF Mode · Monitor Mode
• Virtual Host Groups · Host grubu ekleme ve düzenleme

İlgili sorular

• Önerilen yaşam döngüsü nedir (Learning → Monitor → Blocking); her aşamada ne kadar kalmalıyım?
• Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?
• Meşru kullanıcıları yanlışlıkla engelliyorum; nasıl tespit ederim?