Whitelist'e aldığım trafik hiç loglanır mı; dashboard'da nerede görünür?

Kısa cevap

WAF tarafında loglanmaz. Whitelist Condition'a uyan ya da Do not WAF static contents ile statik sayılan istek WAF'a hiç girmediği için vService'in Event Logs ekranına ve Global WAF Event Log'a kayıt yazılmaz, öğrenme verisine eklenmez, kara liste denetimine girmez ve WAF saldırı bilgisi oluşmaz. İstek vService'in HTTP erişim logunda görünmeye devam eder; yalnızca log profilinin satır biçimi TR7 WAF Log ise bu biçim yalnızca engellenen istekleri yazdığı için muaf istek erişim loguna da yazılmaz. Muaf istekler dahil bütün trafik, vService'e LOG seçeneğiyle atanmış ve satır biçimi TR7 JSON Format ya da CEF Format olan bir Logs profiliyle SIEM'e gönderilerek izlenebilir (SIEM'de bütün trafiği izleme); bu biçimler her isteği yazar, WAF'a girmeyen istekte saldırı bilgisi boş gelir. vService'in WAF Dashboard'unda bu istekler WAF Inspection Distribution panelinde Whitelisted kategorisinde sayılır ve akış şemasında WHITELISTED yolu olarak görünür. Muaf kaynaktan gelen saldırı WAF kaydı bırakmadığı için muafiyet dar tutulur.

Nerede Görünür?

Yer	Muaf istek görünür mü
vService Event Logs, Global WAF Event Log	Hayır
Öğrenme verisi ve analiz önerileri	Hayır
WAF saldırı bilgisi (%WAFINFO, SIEM & Attack Details)	Oluşmaz
vService HTTP erişim logu / SIEM (Logs profili)	Evet (TR7 JSON Format, CEF Format ve diğer biçimler); satır biçimi TR7 WAF Log ise hayır
Dashboard → WAF Inspection Distribution	Whitelisted kategorisinde sayılır
Dashboard → akış şeması	WHITELISTED yolu; muafiyet kararı W/B List düğümünde gösterilir

• Kategorilerin anlamı: WAF Inspection Distribution'daki Whitelisted, Clean, Blocked, Monitor, Teacher, Learning kategorileri ne anlama gelir?
• Frontend blacklist exclusions farkı: Bu listedeki adresler muaf değildir; WAF denetiminden geçer ve kayıtları Event Logs'a yazılır (vService'e özel IP kara listesini (Frontend Blacklist) ve istisnalarını (Frontend Blacklist Exclusions) nasıl tanımlarım?).
• WAF log suppression condition farkı: Bu ayarda istek denetlenir ve gerekiyorsa engellenir; WAF kaydı yazılır ama Event Logs listesinde gösterilmez ve AI Learning/Teacher kanıtına girmez (WAF Log Suppression Condition; ayrıntı: Health Check veya probe trafiğinin WAF loglarını nasıl durdururum (WAF Log Suppression Condition)?).
• Denetlenip engellenmemesi gereken kaynaklar: Whitelist yerine Teacher ya da Monitor modlu ayrı host grubu kullanılır; böylece kayıt oluşur (Belirli bir kullanıcı grubunun (ör. iç ağ, test ekibi) hiç engellenmemesini nasıl sağlarım?).

SIEM'de Bütün Trafiği İzleme

Event Logs yalnızca WAF kaydı olan istekleri gösterdiği için muaf trafiği de kapsayan izleme vService'in erişim loguyla yapılır. Erişim logu vService'e atanan Logs profiliyle SIEM'e gönderilir (SIEM entegrasyonu).

1

Adım 1 Logs profili formunu aç

Load Balancer → Profiles → Logs ekranında Add tıklanır (profil ekleme formu).

2

Adım 2 SIEM sunucusunu yaz

Name verilir. Log Addresses satırında Protocol (varsayılan UDP) seçilir, SIEM sunucusunun IP adresi ve dinlediği Port (ör. syslog için 514) girilir; port boş bırakılan adrese log gönderilmez. Log Standard (varsayılan local) SIEM'in beklediği syslog biçimine göre seçilir.

3

Adım 3 Satır biçimini seç

Line Format listesinde TR7 JSON format ya da CEF Format seçilir. Bu biçimler muaf istekler dahil her isteği yazar; WAF'a girmeyen istekte saldırı bilgisi (wafInfo) boş gelir. TR7 WAF log seçilmez: bu biçim yalnızca engellenen istekleri yazar.

4

Adım 4 Profili kaydet

Add tıklanır.

5

Adım 5 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService'e sağ tıklanıp Edit seçilir. vService formunu düzenlemek Load Balancer alanında değiştirme yetkisi ister.

6

Adım 6 LOG'u işaretle ve profili seç

Formun sağındaki Details listesinde LOG işaretlenir; satırın yanındaki ok ile açılan Log Profile listesinden 4. adımdaki profil seçilir (vService'e nasıl eklenir). Listedeki yerleşik Stream Log hiçbir sunucuya göndermez; SIEM için seçilmez.

7

Adım 7 Kaydet

Save tıklanır. Cluster kurulumunda değişiklik varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

• Saldırı bilgisinin içeriği: Log satırına eklenen saldırı bilgisinin hangi alanları taşıyacağı ve payload'ın gönderilip gönderilmeyeceği SIEM & Attack Details kartından ayarlanır; kart gönderim yerini değil yalnızca içeriği belirler.
• Doğrulama: Muaf kaynaktan istek gönderildikten sonra SIEM'de o isteğin satırı görünür ve satırdaki saldırı bilgisi boştur.

Sık Karıştırılan Noktalar

• "Whitelist'e alınan saldırı Monitor modundaki gibi kaydedilir." WAF kaydı hiç oluşmaz; istek yalnızca Dashboard'daki Whitelisted sayısına eklenir.
• "Log suppression ile whitelist aynıdır." Suppression yalnızca kaydın listelenmesini bastırır; denetim ve engelleme sürer.
• "Muaf istek erişim logunda da görünmez." Erişim logunda görünür; yalnızca TR7 WAF Log satır biçimi engellenmeyen istekleri yazmaz.
• "SIEM & attack details kartı logları SIEM'e gönderir." Kart yalnızca saldırı bilgisinin içeriğini belirler; gönderimi vService'e atanan Logs profili yapar.

Dokümantasyonda nasıl yapılır

• Dashboard · WAF Inspection Distribution
• Whitelist & Blacklist · Whitelist Condition
• Log Settings · WAF Log Suppression Condition
• Logging · Line Format
• Logging · vService'e nasıl eklenir
• SIEM & Attack Details · SIEM & Attack Details nedir

İlgili sorular

• WAF Inspection Distribution'daki Whitelisted, Clean, Blocked, Monitor, Teacher, Learning kategorileri ne anlama gelir?
• Health Check veya probe trafiğinin WAF loglarını nasıl durdururum (WAF Log Suppression Condition)?
• Belirli IP'leri veya istekleri WAF incelemesinden tamamen muaf tutabilir miyim (Whitelist Condition)?