"Don't Learn OWASP Exclusions" seçeneği ne zaman işaretlenmeli?

Kısa cevap

Neredeyse her zaman işaretli kalmalıdır. Analyze Page Types ekranındaki Advanced Settings penceresinin Filter grubundaki bu kutu işaretliyken analiz uygulanırken imza istisnası öğrenilmez; işaretsizken learning log'da bir sayfa ve alanda eşleşen her imza o alanın OWASP istisnalarına yazılır. Kutu her analizde işaretli başlar; Reset ise işaretini kaldırır. Learning modunda imza taraması kuraldaki OWASP istisnaları uygulanmadan yapıldığı için learning log'daki eşleşmeler Blocking'de oluşacak eşleşmelerden geniştir ve gerçek saldırı denemelerini de içerebilir; işaretsiz bırakmak bu denemeleri kalıcı istisnaya çevirir. Ek risk: bir alanın istisna listesi Max. OWASP Exclusions sınırına ulaşmışken yeni bir istisna gelirse uygulama o alanın OWASP taramasını tümüyle kapatır. İşaretin kaldırılması yalnızca analiz dönemindeki trafiğin temiz olduğundan emin olunduğunda düşünülür (sıkı filtrelerle daraltılmış ya da yalnızca Conditional Learning ile analistin topladığı trafik). False positive'ler için güvenli yol, kutuyu işaretli bırakıp Monitor modunda Allow / Teach, Teacher ya da AI Learning ile kanıta dayalı istisna eklemektir.

Karar

Durum	Öneri
Analiz trafiği dış kullanıcılardan geliyor ve karışık	İşaretli bırakılır
Trafik temiz (analist trafiği, sıkı filtreler) ve false positive'ler baştan temizlenmek isteniyor	Kaldırılabilir; uygulamadan sonra istisna listeleri gözden geçirilir
Bir alanda çok sayıda farklı imza tetikleniyor	İşaretli bırakılır; o alan için bilinçli istisna ya da kural düzenlemesi yapılır
Reset kullanıldı	Kutu yeniden işaretlenir

• Kutunun durumundan bağımsız olarak, uygulamadan önce analiz sonucunda çıkan path'ler Analyze Page Types ekranında kontrol edilir; listede yalnız WAF kuralı oluşturulacak path'ler kalmalıdır ve bilinmeyen ya da şüpheli path'lerin Exclude from Analysis ile analizden çıkarılması önerilir.
• İstisna sınırı ve aşıldığında olanlar: "Max. Owasp Exclusions" ayarı ne işe yarar; sınır aşılırsa ne olur?
• Kutunun durumu Advanced Settings penceresinde Accept ile kaydedilir; değişiklik analiz kaydına hemen yazılır (Analiz sonucunu uygulamadan önce inceleyip düzenleyebilir miyim (Analyze Page Types ekranı)?).
• İmzayı kapatmak mı, istisna mı: Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?

Sık Karıştırılan Noktalar

• "Kutuyu kaldırmak false positive'leri kalıcı olarak çözer." Learning Log'daki saldırı denemelerinin imzaları da istisna olur.
• "İstisnalar sınırsız birikir." Max. OWASP Exclusions sınırına ulaşan alanda yeni bir istisna OWASP taramasını tümüyle kapatır.
• "Reset bütün ayarları güvenli varsayılana döndürür." Reset bu kutunun işaretini kaldırır; uygulamadan önce yeniden işaretlenir.

Dokümantasyonda nasıl yapılır

• Analysis & Learning · Advanced Settings
• Analysis & Learning · Analiz sonucunun uygulanması
• OWASP Protection Level · Max. OWASP Exclusions
• WAF Mode · Learning Mode

İlgili sorular

• Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?
• Belirli bir parametrede OWASP taramasını kapatabilir miyim?
• "Max. Owasp Exclusions" ayarı ne işe yarar; sınır aşılırsa ne olur?