SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Orta

Engelleme sayfasında hangi Smart Variable'ları kullanabilirim (%UID, %SRCIP, %WAFSCORE, %WAFINFO …); saldırı detayını göstermek güvenli mi? ​

Kısa cevap

Engelleme sayfasında istek aşamasında kullanılabilen bütün HTTP Smart Variable'ları kullanılabilir; değişkenler Blocking Page alanına ya da Content Pages profiline yazılır ve görsel editörde rozet olarak görünür. WAF'a özgü olanlar: %WAFSCORE (toplam saldırı puanı), %WAFINFO (saldırı ayrıntısı JSON'u), %ISWAFATTACK ve %ISWAFBLOCKED. Engelleme sayfalarında en çok kullanılanlar %UID (isteğin benzersiz kimliği; Event Logs'taki Request Unique ID), %SRCIP (istemci IP'si) ve %TIME (istek zamanı) değişkenleridir. %UID, %TIME ve %SRCIP dış kullanıcıya gösterilebilir. %WAFINFO isteği yakalayan imzaların kimliğini, saldırı alanını, puanı ve ayara göre yakalanan değeri istemciye gösterdiği için dış kullanıcılara açık sayfada kullanılmaz; gerekiyorsa yalnızca iç ağa özel koşullu sayfada kullanılır. %WAFINFO içeriği SIEM & Attack Details kartındaki ayarlarla belirlenir.

Engelleme Sayfası Değişkenleri ​

DeğişkenNe yazarDış kullanıcıya göstermek
%UIDİsteğin benzersiz kimliği; kayıt Event Logs'ta Request Unique ID alanıyla bulunur (Belirli bir isteği Request Unique ID ile nasıl bulurum?)Gösterilebilir; destek talebi için önerilir
%TIMEİsteğin zamanıGösterilebilir
%SRCIPİstemcinin IP'si; vService'te Trusted proxy tanımlıysa proxy'nin bildirdiği istemci adresiGösterilebilir
%WAFSCOREİstekte biriken toplam saldırı puanıÖnerilmez: puanın engelleme eşiğine yakınlığını gösterir
%ISWAFATTACK · %ISWAFBLOCKEDSaldırı bulundu mu · istek engellendi miEngelleme sayfasında bilgi taşımaz
%WAFINFOJSON: uid, totalScore, action (block / monitor / fpc), attacks listesi (her saldırı için imza kimliği id ve seçilen ayrıntılar), wafTimeGösterilmez; yalnızca iç ağa özel koşullu sayfada
  • %WAF_INFO, %WAFINFO ile aynı değeri yazar; JSON Default Blocking Page şablonu bu yazımı kullanır.
  • %WAFINFO içindeki saldırı ayrıntıları Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → Learning & Reporting bölümündeki SIEM & Attack Details kartından seçilir: Attack Details in WAF Info varsayılan olarak puan (score), saldırı alanı (scope) ve kural izleme durumunu (monitor) içerir; Attack Payload in WAF Info varsayılan olarak Same as 'detailed log' seçilidir ve yakalanan değer, alanın Detailed Log ayarına göre eklenir (WAF bilgi içeriği; ayrıntı: SIEM'e gönderilen saldırı alanları nelerdir (score, severity, scope, name, category, CWE, MITRE, CAPEC, OWASP, target)?).
  • Bunlara path, sorgu, istek başlığı, ülke, tarayıcı gibi genel HTTP değişkenleri eklenir (Smart Variable nedir; condition ve action'larda nasıl kullanılır?). İstemcinin gönderdiği başlık, çerez ya da gövdeyi (%REQHEADER(...), %REQCOOK(...), %REQBODY(...)) sayfaya yansıtmaktan kaçınılır; istemci girdisi yanıtın içine olduğu gibi yazılır.
  • Sayfa içeriğindeki tek başına % karakteri değişken sanılmaz; ayrıca kaçış gerekmez.
Kitleİçerik
Dış kullanıcılarGenel mesaj + %UID (ve %TIME)
API istemcileri{"error":"blocked","requestId":"%UID"} (API istemcileri için HTML yerine JSON engelleme yanıtı dönebilir miyim?)
İç ağ / test ekibiSource IP koşuluyla ayrı koşullu sayfa; %WAFINFO ve %WAFSCORE yalnızca burada (Koşula bağlı farklı engelleme sayfaları tanımlayabilir miyim (Conditional Blocking Pages)?)

Sık Karıştırılan Noktalar ​

  • "Saldırı ayrıntısını göstermek kullanıcıya yardımcı olur." Meşru kullanıcı için ayrıntı anlam taşımaz; destek ekibi kaydı %UID ile bulur ve ayrıntıyı Event Logs'ta görür.
  • "Değişkenler yalnızca HTML sayfada çalışır." Manual Content'in bütün içerik türlerinde (JSON, düz metin …) ve koşullu sayfalarda kullanılan Content Pages profillerinde de çalışır.
  • "%WAFINFO her zaman yakalanan değeri içerir." Yakalanan değer Attack Payload in WAF Info ayarına bağlıdır; Never send seçiliyse eklenmez.

Dokümantasyonda nasıl yapılır

İlgili sorular