Analiz sonucunu uyguladığımda ne olur?

Kısa cevap

Apply kaydedilmiş ağacı olduğu gibi yazmaz; aynı dönemin learning log'unu aynı filtrelerle ikinci kez okuyup her sayfa tipi için değerleri ölçer: izinli metotlar, query ve gövde boyutları, Argument Checks analiz başladığında açıksa izinli parametre ve header listeleri, Don't Learn OWASP Exclusions işaretsizse imza istisnaları (uygulama aşaması). Path uzunluğu ve derinliği ölçülmez. İşlem mod kartında Applying rules görev tipiyle ayrı bir çubukta izlenir. Sonuç host grubunun kural listesinin yerine yazılır; grubun adı, modu ve host desenleri korunur; Create New Rules seçildiyse eski sayfa tipleri atılır. Temel, analizin başladığı andaki kural kopyasıdır. Yazım başarılı olunca Learning Methods kartındaki Rule Creation Policy analizde seçilen moda eşitlenir. Ayrı bir dağıtım adımı yoktur. Uygulama Revert Learning ile geri alınamaz; önceki duruma önceden alınmış Export dosyasının Import'uyla ya da kuralların elle düzenlenmesiyle dönülür. Okuma sırasında bir hata olursa hiçbir kural yazılmaz. Apply'dan önce analiz sonucunda çıkan path'ler Analyze Page Types ekranında kontrol edilir; listede yalnız WAF kuralı oluşturulacak path'ler kalmalıdır ve bilinmeyen ya da şüpheli path'lerin Exclude from Analysis ile analizden çıkarılması önerilir (Analiz sonucunu uygulamadan önce inceleyip düzenleyebilir miyim (Analyze Page Types ekranı)?).

Uygulamanın Etkileri

	Sonuç
Kural listesi	Grubun listesinin yerine yazılır; grup adı, modu ve host desenleri korunur
Ölçülen değerler	İzinli metotlar; query boyutu, parametre sayısı ve uzunluğu; ham gövde boyutu; Argument checks açıksa parametre ve header izin listeleri; imza istisnaları (Don't Learn OWASP Exclusions işaretsizse)
Ölçülmeyen	Path uzunluğu ve derinliği: tam path sayfa tiplerinde bu sınırlar yazılmaz, glob sayfa tiplerine varsayılan değer (uzunluk 1–8192, derinlik en çok 256) yazılır
Okuma	Analizle aynı dönem ve filtreler; sayfa başına en çok Max Logs per Path satır (varsayılan 10.000)
Temel	Analizin başladığı andaki kural kopyası; sonradan yapılan elle düzenlemeler kaybolur
Rule Creation Policy	Analizde seçilen moda eşitlenir (Rule Creation Policy'yi değiştirmek mevcut kuralları değiştirir mi?)
Geri alma	Revert learning yok; önceden alınmış Export dosyasının Import'u (Import yaptığımda mevcut kurallar ne olur (tam değiştirme)?)
Sınırlar	Grup başına en çok 500 sayfa tipi; aynı grup için aynı anda tek uygulama ("Rules are being applied for" uyarısı)

• Max. OWASP Exclusions: Bir alanın istisna listesi bu sınıra ulaşmışken yeni bir imza istisnası öğrenilirse o alanın OWASP taraması kapatılır ve istisna listesi boşaltılır ("Max. Owasp Exclusions" ayarı ne işe yarar; sınır aşılırsa ne olur?). Riskli alanlar için Don't Learn OWASP Exclusions işaretli bırakılır.
• Argüman listelerinin sınırı uygulama anındaki Max. Allowed Arguments değeridir (Max. Allowed Arguments ne işe yarar; bir sayfanın öğrenilmiş argüman listesi bu sayıyı aşarsa ne olur?).
• Cluster'da okuma, analizin Source alanında seçilen cihazın (varsayılan bu cihaz) ya da iki cihazın learning log'unu kapsar. Both Devices seçildiğinde iki cihazın sonuçları birleştirilir: bir alanda cihazlardan birinin sonucunda OWASP check kapalıysa birleşik kuralda da kapalıdır; iki cihazın imza istisnalarının birleşimi Max. OWASP Exclusions sınırını aşarsa o alanın OWASP check'i kapatılır ve istisna listesi boşaltılır. Sonuç kural setine bir kez yazılır ve eş cihaza varsayılan auto-sync ile gider, Manual Sync Mode açıksa elle gönderilir.
• Uygulama, Revert learning butonu taşıyan bir öğrenme kaydı oluşturmaz. Uygulamadan sonraki önerilen adım, sonucun Monitor modunda izlenerek doğrulanmasıdır (Monitor modunu false positive ayıklamak için nasıl kullanırım?).

Sık Karıştırılan Noktalar

• "Apply analizde gördüğüm ağacı olduğu gibi yazar." Değerler learning log'un ikinci okumasıyla ölçülür.
• "Uygulanan analiz Revert learning ile geri alınır." Analysis & Learning uygulamaları Revert learning butonu taşıyan bir kayıt üretmez.
• "Analizin bulduğu her path uygulanmalıdır." Analize karışmış bilinmeyen ya da şüpheli adresler de sayfa tipi olur; bu path'ler uygulamadan önce Exclude from Analysis ile çıkarılır.
• "Combine with old rules seçilince elle yaptığım son düzenlemeler korunur." Temel analizin başladığı andaki kopyadır; sonraki düzenlemeler kaybolur.

Dokümantasyonda nasıl yapılır

• Analysis & Learning · Analiz sonucunun uygulanması
• Analysis & Learning · Uygulama aşaması
• Export · Export nedir
• Import · Import nedir

İlgili sorular

• Kurallarda devralma ve "Rule Source" nasıl çalışır?
• Monitor modunu false positive ayıklamak için nasıl kullanırım?
• Öğrenilen bir kuralı geri alabilir miyim?