Kötü itibarlı IP'lerden gelen istekleri otomatik engelleyebilir miyim (Blacklist Protection)?

Kısa cevap

Evet. Blacklist Protection WAF açıldığında açık gelir ve Blacklist IP Category alanı All seçilidir. Açıkken IP Intelligence & Reputation'ın kara liste kategorileri ile vService'e özel Frontend Blacklist birlikte değerlendirilir; listedeki adresten gelen istek 100 puanlık Blacklisted IP ihlali alır. 100 puan her OWASP Protection Level eşiğini aştığı için istek Blocking modunda engellenir, Monitor modunda yalnızca kaydedilir; Learning modunda ve Teacher kimliğiyle gelen istekte engellenmez, Learning modunda Event Logs kaydı da oluşmaz. Blacklist IP Category alanında Filter seçilerek yalnızca belirli kategoriler (User blacklist, External, DDoS Attack, Web App Attack …) kullanılabilir. Whitelist'e uyan istekler WAF'a girmediği için kara liste denetimine de girmez; Frontend Blacklist Exclusions'taki adresler kara liste isabetinden muaf tutulur.

Sorun: Bilinen Kötü Kaynaklar Uygulamaya Ulaşıyor

Saldırı altyapıları, kötü botlar ve itibarı kötü adresler imza tetiklemeden de uygulamayı yoklayabilir. Bu kaynaklardan gelen isteklerin Kurum Servisine ulaşmadan engellenmesi isteniyor.

Çözüm: İki Yöntem

İki yöntem aynı ayarları yazar; biri seçilir. Yalnızca bu vService için elle adres eklemek vService'e özel IP kara listesini (Frontend Blacklist) ve istisnalarını (Frontend Blacklist Exclusions) nasıl tanımlarım? sayfasında anlatılır.

Durumunuz	Uygun yöntem
Korumayı ve kategorileri arayüzden ayarlayacağım	Yöntem 1: Whitelist & Blacklist penceresi
Betik ya da komut satırıyla ayarlayacağım	Yöntem 2: WEB-CLI

Yöntem 1: Whitelist & Blacklist penceresi Önerilen

• Nasıl çalışır Kara liste koruması ve kullanılacak kategoriler vService genelinde seçilir.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → Whitelist & Blacklist kartı → kalem ikonu
• Gereksinim WAF açık HTTP vService; IP Intelligence & Reputation'da kara liste verisi
• Varsayılan Blacklist protection açık · Blacklist IP Category: All

Adım adım yapılandırma

1

Adım 1 Whitelist & blacklist penceresini aç

Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesinde Inspection & Blocking bölümündeki Whitelist & blacklist kartının sağ üstündeki kalem ikonuna tıklanır (Whitelist & blacklist Edit ekranı).

2

Adım 2 Blacklist protection'ı aç

Blacklist Protection anahtarı açılır (WAF açıldığında zaten açıktır). Anahtar kapalıyken Blacklist IP Category, Frontend Blacklist ve Frontend Blacklist Exclusions alanları görünmez.

3

Adım 3 Kategori seçimini belirle

Blacklist IP Category anahtarı All konumunda bırakılırsa bütün kategoriler kullanılır. Yalnızca belirli kategoriler için anahtar Filter konumuna alınır.

4

Adım 4 Kategorileri işaretle (Filter seçildiyse)

Açılan listeden kategoriler işaretlenir (ör. User Blacklist, Web App Attack); en az bir kategori seçilmelidir. Kategoriler IP Intelligence & Reputation'daki kategorilerle aynıdır (desteklenen kategoriler); User Blacklist cihazda elle tutulan kara listedir.

5

Adım 5 Kaydet

Edit tıklanır; değişiklik ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1Whitelist & blacklist kartıTR7 tarafı

WAF Management sekmesindeki Whitelist & blacklist kartına bakılır.

BeklenenRequests from bad-reputation source IPs are blocked — category: User blacklist, Web App Attack

All seçiliyken cümle category: All ile biter.

2Event LogsTR7 tarafı

Seçili kategorideki bir adresten Blocking modundaki host grubuna istek gönderilir ve vService'in Event Logs kaydına bakılır.

BeklenenAttack blocked · Attack name: Blacklisted IP

Yöntem 2: WEB-CLI

• Nasıl çalışır Koruma ve kategoriler WEB-CLI ile --blacklistProtection ve --blacklistProtectionCategories alanlarına yazılır.
• Nerede açılır WEB-CLI → waf options show · waf options update
• Gereksinim WEB-CLI erişimi
• Kapsam vService geneli

Adım adım yapılandırma

1

Adım 1 Mevcut seçimi gör

waf options show poolId <vService>

blacklistProtectionCategories boşsa (All) bütün kategoriler kullanılıyordur; liste doluysa kayıtlı kategoriler sıra numaralarıyla görünür. Komut yalnızca yazılan sıra numaralarını değiştirir; listede başka kategori kalmışsa o da kullanılmaya devam eder.

2

Adım 2 Korumayı ve kategorileri yaz

waf options update poolId <vService> --syncWithDefaultFwRules false --blacklistProtection true --blacklistProtectionCategories.0 user --blacklistProtectionCategories.1 webAppAttack

Kategori değerleri kimlik olarak yazılır: user (User blacklist), external (External), dDoSAttack (DDoS Attack), webAppAttack (Web App Attack), bruteForce (Brute-Force), sqlInjection (SQL Injection), badWebBot (Bad Web Bot) gibi. Komut çıktı vermez. Bütün kategorilere (All) dönüş arayüzdeki Blacklist IP Category anahtarıyla yapılır.

Doğrulama

1Ayar kaydıTR7 tarafı

vService'in WAF ayarları görüntülenir.

Komut: waf options show poolId <vService>

BeklenenblacklistProtection true · blacklistProtectionCategories user, webAppAttack

Sık Yapılan Hatalar

• Kara liste verisinin kendiliğinden güncellendiğini varsaymak. IP Intelligence & Reputation'daki Online Update Period varsayılan olarak kapalıdır (Off); güncellenmeyen veri yeni kötü adresleri içermez.
• Learning modunda kara liste engellemesi beklemek. Learning modunda kara liste isabetinin 100 puanı toplama yine eklenir ama engelleme kararı verilmez; imza isabetleri puana eklenmez (Learning modunda WAF ne yapar; saldırılar engellenir mi?).
• Frontend blacklist exclusions'ı WAF muafiyeti sanmak. Bu listedeki adresler yalnızca kara liste isabetinden muaftır; istekleri WAF tarafından yine incelenir. İncelemeden tamamen muafiyet için Whitelist Condition kullanılır (Belirli IP'leri veya istekleri WAF incelemesinden tamamen muaf tutabilir miyim (Whitelist Condition)?).
• Bu ayarı bütün vService'ler için ortak sanmak. Ayar yalnızca bu vService'in WAF denetimini yönetir; kara listeyi WAF dışında kullanmak için koşullar ve Bot/DDoS katmanı ayrıca ayarlanır (Bilinen kötü IP'leri (IP Reputation / blacklist kategorisi) engelleyebilir miyim?).

Dokümantasyonda nasıl yapılır

• Whitelist & Blacklist · Blacklist Protection
• Whitelist & Blacklist · Blacklist IP Category
• Blacklist IP Category · Desteklenen kategoriler
• WEB-CLI waf options · Blacklist

İlgili sorular

• vService'e özel IP kara listesini (Frontend Blacklist) ve istisnalarını (Frontend Blacklist Exclusions) nasıl tanımlarım?
• vService kara listesi ile IP intelligence listesi arasındaki fark nedir?
• Bilinen kötü IP'leri (IP Reputation / blacklist kategorisi) engelleyebilir miyim?