Event Logs nedir; hangi istekler loglanır?

Kısa cevap

Event Logs, WAF korumalı bir vService'te WAF'ın saldırı bulduğu isteklerin tek tek incelendiği log ekranıdır: her satır tarih, karar (Action), istemci IP'si, metot, path ve saldırı sayısını taşır; satırın önizlemesinde tetiklenen imzalar ve sınıflandırmaları, başlıklar, kaydedildiyse gövde, saldırganın ağı ve konumu görünür. Aynı ekrandan Allow / Teach ile false positive öğretilir ve kaynak adres kara listeye alınır. Satır iki durumda yazılır: isteğin toplam saldırı puanı engelleme eşiğine ulaştıysa (istek engellense de, Monitor modunda ya da Teacher tarafından tanındığı için geçirilse de) ya da eşiğin altında kalıp Monitor durumundaki bir imzayı tetiklediyse. Temiz istekler, eşiğin altında kalan diğer eşleşmeler, Learning modundaki host grubuna ve Conditional Learning kaynaklarına ait istekler, WAF denetimine hiç girmeyen istekler ve taraması zaman aşımına uğrayan istekler Event Logs'a yazılmaz.

Hangi İstekler Loglanır?

İstek	Event Logs'a yazılır mı?	Action ipucu
Puanı eşiğe ulaştı, host grubu Blocking Mode'da	Evet	Attack blocked
Puanı eşiğe ulaştı, host grubu Monitor Mode'da	Evet	Not blocked — Monitor mode
İstek Teacher kaynağından geldi; puanı eşiğe ulaştı ya da Monitor durumundaki bir imzayı tetikledi	Evet	İsteği tanıyan Teacher kaynağının adıyla: Not blocked — Teacher IP matched, Not blocked — Teacher cookie matched ya da Not blocked — Teacher header matched
Puanı eşiğin altında kaldı ama Monitor durumundaki bir imzayı tetikledi	Evet	Not blocked — Below the blocking threshold (host grubu Monitor modundaysa Not blocked — Monitor mode)
Puanı eşiğin altında kaldı, Monitor durumunda imza yok	Hayır	-
Host grubu Learning Mode'da ya da istek Conditional Learning kaynağından geldi	Hayır; istek öğrenme günlüğüne yazılır	-
Whitelist Condition'a uyan ya da Do not WAF static contents kapsamındaki istek	Hayır; WAF denetimi yapılmaz	-
Taraması süre sınırı içinde tamamlanamayan istek	Hayır; Blocking modunda istek engellenir (Fail-open açıksa taranmadan geçirilir); Learning ya da Monitor modunda ve Teacher ya da Conditional Learning kaynağından gelen istekte geçirilir (tarama kurallar yüklenirken ve host grubu belirlenmeden kesildiyse ve vService'te Blocking modunda bir grup varsa Learning ya da Monitor modundaki gruba gelen istek de engellenir). Engellenen istek, vService Debug mode'dayken Debug Mode Logs'ta Attack blocked — scan timed out olarak görünür (418 alan bir istek Event Logs'ta neden görünmüyor?)	-

• WAF Log Suppression Condition'a uyan satır diske yazılmaya devam eder ama listede gösterilmez (Health Check veya probe trafiğinin WAF loglarını nasıl durdururum (WAF Log Suppression Condition)?).
• Mod ve kayıt ilişkisinin ayrıntısı: Hangi moddayken Event Logs kaydı oluşur, hangisinde oluşmaz; eşik altında kalan saldırılar da loglanır mı? · Karar sözlüğü: WAF bir istek için hangi kararları verir; Event Logs'taki Action ve Debug Mode Logs'taki Verdict ne anlama gelir?

Ekranda Neler Var?

Bölüm	İçerik
Tablo	Varsayılan kolonlar Date, Action, Client IP, Method, Path, Attacks, User Agent; gizli kolonlar Severity, Host, Category, Scopes, ASN Org, X-Forwarded-For
Sunucu filtresi	Date Range (varsayılan son 7 gün), Line Limit (varsayılan 1.000), Request Unique ID, Log Filter
Filtre şeridi	Çekilen kayıtları IP, ülke, path, imza, kategori, OWASP gibi alanlara göre daraltan sekmeler
Önizleme	Summary, Attacks, Request & Location sekmeleri (Bir log kaydının detayında (Summary, Attacks, Request & Location) neler görürüm?)

Ekran Left Monitor Panel → WAF-Protected vServices → vService → Event Logs yoluyla açılır ve WAF yetkisi ister. Liste kendiliğinden tazelenmez; Refresh ile ya da sunucu filtresi değiştirildiğinde yeniden çekilir. Event Logs yalnızca HTTP vService'lerde üretilir (kullanılabildiği vService tipleri).

Kayıtların Tutulması

• Kayıtlar vService başına, saat başına bir dosyaya yazılır; iki saatten eski dosyalar sıkıştırılır ve okunurken açılır. Saklama süresi Disk Management kurallarına bağlıdır (WAF logları ne kadar süre saklanır?).
• Cluster kurulumunda her cihaz kendi üzerinden geçen isteklerin kaydını tutar; ekran iki cihazın kayıtlarını birleştirir ve Source kolonunda kaynağı gösterir.
• Event Logs bir saldırı logudur; öğrenme günlüğü ayrı tutulur ve Analysis & Learning tarafından okunur (Learning log nedir; nerede tutulur?).

Sık Karıştırılan Noktalar

• "Her imza eşleşmesi loglanır." Toplam puanı engelleme eşiğinin altında kalan ve Monitor durumundaki bir imzayı tetiklemeyen istekler Event Logs'a yazılmaz.
• "Learning modundaki saldırılar Event Logs'ta görünür." Learning modunda ve Conditional Learning kaynaklarında istekler öğrenme günlüğüne yazılır; Event Logs boş kalır.
• "Event Logs'taki her satır engellenmiş istektir." Monitor modundaki, Teacher tarafından tanınan ve eşik altında kalıp Monitor durumundaki imzayı tetikleyen istekler de yazılır; kararı Action kolonu gösterir.
• "Bastırma koşulu diske yazmayı durdurur." WAF Log Suppression Condition yalnızca listeden gizler.

Dokümantasyonda nasıl yapılır

• Event Logs · Event Logs nedir?
• Event Logs · Log hangi durumda üretilir?
• Event Logs · Action değerleri

İlgili sorular

• Hangi moddayken Event Logs kaydı oluşur, hangisinde oluşmaz; eşik altında kalan saldırılar da loglanır mı?
• Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?
• Engellenen isteklerin listesini nasıl görürüm?