Analize saldırı trafiğinin karışmasını nasıl önlerim (ülke, kara liste, bot, durum kodu, kaynak IP filtreleri)?

Kısa cevap

New Analyze penceresinin Advanced bölümündeki filtreler analize girecek learning log satırlarını süzer ve ilk açılıştaki değerleri zaten süzücüdür. Country Filter: Use selected, Local networks ve Turkey; kullanıcı tabanına göre genişletilir. Skip Blacklist IPs: kara listedeki tekil adresleri eler, kara listedeki bloklar eşleşmez. Bot Filter: Eliminate selected, bütün bot kategorileri; Use selected ya da Eliminate selected modundayken User-Agent taşımayan istekler de elenir. Status Code Filter: Use selected, 400'ün altındaki kodlar. Source IP Filter: IPv4 ya da IPv6 adres ve blok yazılır, Use selected ya da Eliminate selected seçilir. Host Filter: tam ad ya da joker karakterli desen yazılır. Only Domains ve Only Browsers işaretlidir. Elenen satırların nedenleri analiz sürerken ayrıntı penceresindeki, bittikten sonra sonuç özetindeki Filter reasons kırılımında görülür (çalışan analizin ayrıntıları). Analiz bittikten sonra Analyze Page Types ekranındaki Advanced Settings penceresinde Min requests, Min visitors, Min Ips ve Country limit eşikleriyle az sayıda kaynaktan gelen sayfalar ağaçtan çıkarılır. Filtreler her saldırı isteğini yakalayamayacağı için uygulamadan önce analiz sonucunda çıkan path'ler kontrol edilir; listede yalnız WAF kuralı oluşturulacak path'ler kalmalıdır ve bilinmeyen ya da şüpheli path'lerin Exclude from Analysis ile analizden çıkarılması önerilir.

Sorun: Analize Saldırı Trafiği Karışıyor

Learning log'da tarayıcı botları, tarama araçları ve saldırı denemeleri de bulunur. Bunlar analize girerse kural setine gerçek kullanıcıların hiç kullanmadığı sayfalar ve gereğinden geniş sınırlar eklenir; Blocking moduna geçildiğinde bu sayfalar saldırgana açık kalır.

Çözüm: İki Yöntem

Yöntemler birlikte kullanılır: birincisi analize girecek satırları, ikincisi analizden çıkan sayfa ağacını süzer.

Durumunuz	Uygun yöntem
Analizi başlatacağım; hangi trafiğin okunacağını seçmek istiyorum	Yöntem 1: New analyze filtreleri
Analiz bitti; tek kaynaktan gelen sayfaları ağaçtan çıkarmak istiyorum	Yöntem 2: Analyze Page Types eşikleri

Yöntem 1: New Analyze Filtreleri Önerilen

• Nasıl çalışırLearning Log satırları ülke, kara liste, bot, yanıt kodu, kaynak adres ve host'a göre analize girmeden süzülür.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → mod kartı → Analysis & Learning → Advanced
• Gereksinim WAF alanında değiştirme yetkisi · analiz döneminde learning log
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Analiz penceresini aç

Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesinde host grubunun mod kartındaki Analysis & Learning bağlantısına tıklanır; New Analyze for vService adı başlıklı pencere açılır (Analysis & Learning ile geçmiş trafikten nasıl kural üretirim?). Advanced bölümü açık gelir.

2

Adım 2 Ülke filtresini ayarla

Country Filter modu Use selected bırakılır ve hizmet verilen ülkeler eklenir (Local networks iç ağ adresleridir). Use selected modunda ülkesi belirlenemeyen adresler elenir, Eliminate selected modunda analize girer.

3

Adım 3 İstemci filtrelerini ayarla

Skip Blacklist IPs ve Only Browsers işaretli bırakılır; Bot Filter Eliminate selected modunda ve bütün kategoriler seçili bırakılır. Mobil uygulama ya da API trafiği öğreniliyorsa Only browsers kaldırılır ("Only Domains" ve "Only Browsers" filtreleri ne işe yarar?).

4

Adım 4 Yanıt kodu ve host filtrelerini ayarla

Status Code Filter Use selected modunda 400'ün altındaki kodlarla bırakılır; böylece 4xx ve 5xx yanıt alan tarama istekleri elenir. Only Domains işaretli bırakılır. Belirli alan adları öğrenilecekse Host Filter Use selected yapılıp satır başına bir ad ya da dev* gibi bir desen yazılır; tam ad eşleşmesi büyük/küçük harfe duyarlıdır.

5

Adım 5 Kaynak adresleri ayıkla (gerekiyorsa)

Tarama yapan test araçlarının ya da bilinen saldırgan adreslerin trafiği için Source IP Filter Eliminate selected yapılır ve her satıra bir adres ile blok uzunluğu girilir. Yalnızca belirli bir ekibin trafiği öğrenilecekse Use selected kullanılır.

6

Adım 6 Analizi başlat

Start Analyzing tıklanır. Filtre seçimleri (Host filter hariç) kullanıcı ve vService bazında hatırlanır.

Doğrulama

1Filter reasonsTR7 tarafı

Analiz sürerken mod kartındaki ilerleme çubuğuna, bittikten sonra New rozetine tıklanır; açılan pencerede General filters, Filter reasons ve Parsed logs / Used logs okunur.

BeklenenElenen satırların filtre bazında sayıları

Used logs çok düşükse filtreler meşru trafiği de eliyor olabilir.

Yöntem 2: Analyze Page Types Eşikleri

• Nasıl çalışır Belirtilen sayıda istek, ziyaretçi, IP ya da ülkeden gelmeyen sayfalar analiz ağacından çıkarılır ve sayfa tipi üretmez.
• Nerede açılırAnalyze Page Types → Advanced Settings → Filter
• Gereksinim WAF alanında değiştirme yetkisi · tamamlanmış analiz
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Analizin sonuç penceresini aç

Analiz bitince mod kartında çıkan New rozetine tıklanır.

2

Adım 2 Analyze page types ekranını aç

Açılan pencerede Edit tıklanır; Analyze Page Types sekmesi açılır. Aynı ekran mod kartındaki ev ikonuyla açılan Analyze listesinde satır seçilip Edit ile de açılır.

3

Adım 3 Advanced settings penceresini aç

Araç çubuğundaki Advanced Settings tıklanır.

4

Adım 4 Eşikleri yaz

Filter grubunda Min Requests, Min Visitors (IP ve User-Agent çifti), Min Ips ve Country Limit doldurulur; alanlar en az 2 alır, boş bırakılan alan için eşik uygulanmaz. Min Ips doluyken Min visitors değerlendirilmez (Min Requests, Min Visitors, Min Ips, Country Limit filtreleri neden var?).

5

Adım 5 Kaydet

Accept tıklanır; değişiklik analiz kaydına hemen yazılır ve Current Page Count yeniden hesaplanır.

6

Adım 6 Kalan path'leri kontrol et

Eşiklerden sonra ağaçta kalan path'ler tek tek kontrol edilir; listede yalnız WAF kuralı oluşturulacak path'ler kalmalıdır. Bilinmeyen ya da şüpheli path'ler seçilip Exclude from Analysis tıklanarak analizden çıkarılır; bu adresler Excluded paths listesine eklenir ve kural üretmez. Sonuç bundan sonra uygulanır (Analiz sonucunu uygulamadan önce inceleyip düzenleyebilir miyim (Analyze Page Types ekranı)?).

Doğrulama

1SayaçTR7 tarafı

Current Page Count değerine bakılır (Analyze listesinde kolon olarak da görünür).

BeklenenEşik öncesinden düşük sayı

Sık Yapılan Hatalar

• Ülke filtresini ilk açılıştaki hâlinde bırakmak. Yalnızca Local networks ve Turkey seçilidir; başka ülkelerden gelen kullanıcıların sayfaları öğrenilmez ve Blocking'de engellenebilir.
• Mobil ya da API trafiğinde Only browsers'ı işaretli bırakmak. Tarayıcı olmayan istemcilerin trafiği analize girmez.
• Kara liste filtresinin blokları da elediğini sanmak. Skip Blacklist IPs yalnızca kara listedeki tekil adreslerle eşleşir.
• Bot filter'ı No filter yapıp User-Agent'sız isteklerin elendiğini sanmak. User-Agent'sız istekler yalnızca Use selected ve Eliminate selected modlarında elenir.
• Filtrelere güvenip path listesini kontrol etmemek. Filtrelerden geçen şüpheli istekler de sayfa tipi üretebilir; uygulamadan önce bilinmeyen path'ler Exclude from Analysis ile çıkarılır.
• Az sayfa üretildiğinde filtreleri kontrol etmemek. Dar filtreler meşru trafiği de eler (Analiz çok az page type üretti / hiç üretmedi; hangi filtreleri kontrol etmeliyim?).

Dokümantasyonda nasıl yapılır

• Analysis & Learning · Country Filter
• Analysis & Learning · Bot Filter
• Analysis & Learning · Status Code Filter
• Analysis & Learning · Advanced Settings

İlgili sorular

• Min Requests, Min Visitors, Min Ips, Country Limit filtreleri neden var?
• Analiz çok az page type üretti / hiç üretmedi; hangi filtreleri kontrol etmeliyim?
• "Only Domains" ve "Only Browsers" filtreleri ne işe yarar?