Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Önerilen yaşam döngüsü nedir (Learning → Monitor → Blocking); her aşamada ne kadar kalmalıyım?
Kısa cevap
Döngü üç aşamadır: Learning Mode'da site öğrenilir ve Analysis & Learning ile kural önerileri üretilir, Monitor Mode'da kural seti engelleme yapmadan gerçek trafikte çalıştırılıp izlenir, Blocking Mode'da eşiğe ulaşan istekler engellenir (önerilen yaşam döngüsü). Ürün aşamalar için sabit bir süre tanımlamaz ve modu kendiliğinden değiştirmez; geçiş ölçüyle ve elle yapılır. Learning, uygulamanın olağan kullanım döngüsünü kapsayacak kadar ve Learning Coverage %100'e yaklaşıp düzleşene, Learning Discovery Rate'teki New shapes (accepted) sıfıra yaklaşana kadar sürer. Monitor, Event Logs'taki false positive'ler Allow / Teach ile temizlenip yenisi gelmeyene kadar sürer. Mod Virtual Host Group başına ayarlandığından yeni yayına alınan bir alan adı ayrı bir grupta döngüye baştan başlayabilir.
Nasıl Çalışır?
| Aşama | Ne yapılır | Ne zaman bitti sayılır |
|---|---|---|
| Learning Mode | İstekler WAF kararıyla engellenmez, öğrenme için kaydedilir; Analysis & Learning ile Page type'lar ve kural önerileri üretilir; analiz sonucundaki path'ler gözden geçirilir, bilinmeyen ya da şüpheli path'ler Exclude from Analysis ile analizden çıkarılır ve sonuç uygulanır | Sitenin bütün bölümleri ziyaret edilmiş; Learning Coverage %100'e yaklaşıp düzleşmiş, Learning Discovery Rate'teki New Shapes (accepted) sıfıra yaklaşmış (öğrenme ne zaman bitti) |
| Monitor Mode | Denetim Blocking mode ile birebir aynıdır; eşiğe ulaşan istekler geçirilir ve Event Logs'a Not blocked — Monitor mode olarak yazılır; false positive'ler Allow / Teach ile öğretilir | Event Logs'a meşru trafikten yeni Not blocked — Monitor mode kaydı gelmez |
| Blocking Mode | Eşiğe ulaşan istekler engellenir; açıksa Teacher ve AI Learning kural setini güncellemeye devam eder | Kalıcı aşama; uygulama değiştiğinde ilgili sayfalar yeniden öğretilir |
- Learning Coverage son 24 saatteki kabul edilmiş (durum kodu 400'ün altında) ve saldırısız trafiği değerlendirir; yeterli trafik yoksa gösterge boş kalır. Bu göstergeler vService'in Dashboard sekmesindeki Learning görünümündedir.
- Ürün modu kendiliğinden değiştirmez; geçişler mod kartındaki Edit penceresinden elle yapılır (WAF Mode Edit ekranı). Adımlar: WAF'ı açtıktan sonra ilk olarak ne yapmalıyım?
- Geçiş kararının ölçütleri: Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?
- Monitor mode'da uzun kalmanın riski: Monitor modunda kalmanın riski nedir; Monitor modu için bir süre sınırı var mı?
- Uygulama değiştiğinde: Blocking'e geçtikten sonra uygulama değişirse Learning moduna geri dönmeli miyim?
Sık Karıştırılan Noktalar
- "Learning belirli bir gün sayısı sürer." Ne ürün ne docs sabit bir süre tanımlar; süre trafik çeşitliliğine bağlıdır ve Learning Coverage ile ölçülür.
- "Learning Coverage boşsa öğrenme bitmemiştir." Değerlendirme penceresinde yeterli trafik yoksa gösterge değer tahmin etmez, boş kalır.
- "Mod geçişi bütün vService'i etkiler." Mod Virtual Host Group başına ayarlanır; bir grup Blocking mode'dayken diğeri Learning mode'da kalabilir (Aynı vService'te farklı domainler için farklı modlar kullanabilir miyim?).
- "Monitor mode'daki her kayıt Blocking mode'da engellenir." Monitor mode'da yalnızca State = Monitor olan imzaya takılıp eşiğin altında kalan istekler de Not blocked — Monitor mode olarak yazılır ve Blocking mode'da da geçer; bu kayıtlar Event Logs'ta Log Filter'daki Monitor only alanıyla ayrılır (Monitor Mode).
Dokümantasyonda nasıl yapılır
