Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
WAF uygulamamı nasıl "öğrenir"?
Kısa cevap
TR7 WAF uygulamanın haritasını elle yazdırmaz, trafikten çıkarır (kural seti nasıl oluşur). Koruma açıldığında varsayılan host grubu Learning modunda başlar: istekler WAF kararıyla engellenmez ve her isteğin path'i, metodu, query'si, header'ları, gövde yapısı ve eşleşen imzaları learning log'a yazılır; Smart Sampling açıkken aynı şekildeki tekrarlar seyreltilir. Yeterli trafik biriktiğinde Analysis & Learning bu kaydı okuyup sayfa tipleri ve ölçülmüş kural değerleri önerir; öneri incelenip Apply ile host grubunun kural listesine yazılır. Grup Monitor ya da Blocking moduna geçtikten sonra öğrenme sürer: Teacher tanımlı güvenilir kaynakların, AI Learning yeterince yaygın görülen trafiğin ürettiği false positive'leri kurallardan otomatik temizler; Conditional Learning seçilen kimliğin trafiğini Blocking'de bile learning log'a yazar. Event Logs'taki Allow / Teach ile seçilen kayıtlar tek tek de öğretilir.
Öğrenme Kanalları
| Kanal | Girdi | Çıktı | Otomatik mi | Geri alınır mı |
|---|---|---|---|---|
| Learning modu | Host grubuna gelen istek | Learning log satırı | - | - |
| Conditional Learning | Kimliği eşleşen istek (grup hangi modda olursa olsun) | Learning log satırı (Conditional Learning ile Teacher arasındaki fark nedir; hangisini ne zaman kullanmalıyım?) | - | - |
| Analysis & Learning | Learning log | Host grubunun kural listesi (Analysis & Learning ile geçmiş trafikten nasıl kural üretirim?) | Hayır; Apply gerekir | Hayır |
| AI Learning | Event Logs'a yazılan saldırı kayıtları | Kural alanlarının gevşetilmesi (AI Learning nedir, nasıl çalışır?) | Evet, seçilen periyotta | Evet |
| Teacher | Teacher kimliğiyle gelen isteklerin Event Logs kayıtları | Kural alanlarının gevşetilmesi (Teacher nedir; hangi kaynakları Teacher olarak tanımlayabilirim (IP, header, cookie)?) | Evet, seçilen periyotta | Evet |
| Allow / Teach | Event Logs'ta seçilen kayıtlar | Kural alanlarının gevşetilmesi (Yanlışlıkla engellenen bir isteğe nasıl izin veririm?) | Hayır | Evet |
- Analysis & Learning uygulanmadan önce analiz sonucunda çıkan path'ler Analyze Page Types ekranında kontrol edilir; listede yalnız WAF kuralı oluşturulacak path'ler kalmalıdır ve bilinmeyen ya da şüpheli path'lerin Exclude from Analysis ile analizden çıkarılması önerilir (Analiz sonucunu uygulamadan önce inceleyip düzenleyebilir miyim (Analyze Page Types ekranı)?).
- Learning modundaki grupta Event Logs kaydı oluşmadığı için AI learning ve Teacher o grupta öğrenemez. Monitor ve Blocking modundaki grupta Analysis & Learning'e veri yalnızca Conditional learning kimliği taşıyan isteklerden gelir.
- Learning modunda taraması süre sınırı içinde tamamlanamayan istek de engellenmez (tarama kurallar yüklenirken ve host grubu belirlenmeden kesildiyse ve vService'te Blocking modunda bir grup varsa engellenir); ancak learning log'a yazılmadığı için öğrenmeye katılmaz (Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?).
- Öğrenmenin ilerleyişi Dashboard'un Learning sekmesinden, AI learning ve Teacher'ın yaptıkları AI Learning & Teacher Tracking sekmesinden izlenir; ne zaman bittiği: Öğrenme ne kadar sürer; bittiğini nasıl anlarım?
- Cluster'da AI learning ve Teacher koşuları Cluster ID değeri 1 olan cihazda çalışır ve iki cihazın Event Logs kayıtlarını okur; kanıtlar cihaz başına ayrı sayılır, toplanmaz: trafik iki cihaza dağılmışsa eşik tek cihazın verisiyle dolmak zorundadır.
Sık Karıştırılan Noktalar
- "WAF öğrendikçe kuralları kendiliğinden uygular." Analysis & Learning sonucu Apply ile uygulanır; yalnızca AI Learning ve Teacher seçilen periyotta otomatik uygular.
- "AI learning bir makine öğrenmesi modelidir." İstek, istemci, ülke ve ASN sayılarını eşiklerle karşılaştıran bir sayım mekanizmasıdır.
- "Learning modundaki Teacher trafiği AI learning'e kanıt olur." Learning modunda Event Logs kaydı oluşmaz; AI learning ve Teacher yalnızca Monitor ve Blocking modundaki grupların kayıtlarını okur.
Dokümantasyonda nasıl yapılır
