Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
WAF Inspection Distribution'daki Whitelisted, Clean, Blocked, Monitor, Teacher, Learning kategorileri ne anlama gelir?
Kısa cevap
WAF Inspection Distribution, WAF'a gelen her isteği tek bir sonuca göre sayar; bir istek yalnızca bir seride yer alır ve sıra sabittir: Whitelisted, Learning, Teacher, Monitor, Blocked, Clean (ilk uyan kazanır). Whitelisted: istek WAF denetimine hiç girmedi (Do not WAF static contents kapsamındaki statik içerik, Whitelist Condition ya da TR7'nin kendi doğrulama trafiği). Learning: istek Learning modundaki bir host grubuna düştü ya da Conditional Learning kaynağından geldi; imzalar tarandı ama istek engellenmedi. Teacher: istek Teacher kaynağından geldi, saldırı puanı engelleme eşiğine ulaştı ama geçirildi. Monitor: eşiğe ulaştı, host grubu Monitor modunda olduğu için geçirildi. Blocked: eşiğe ulaştı ve engellendi. Clean: denetlendi, eşiğe ulaşmadı; eşik altındaki imza eşleşmeleri de burada sayılır. Taraması zaman aşımına uğrayan istekler hiçbir seride gösterilmez.
Nasıl Çalışır?
Her istek için sonuç aşağıdaki sırayla aranır; ilk uyan seri isteği alır ve istek başka seride sayılmaz.
| Sıra | Seri | Koşul | Anlamı |
|---|---|---|---|
| - | (zaman aşımı) | İstek WAF'a girdi ama tarama süre sınırı içinde tamamlanamadı | Hiçbir seride gösterilmez; istek Blocking modunda engellenir (Fail-open açıksa geçirilir); Learning ya da Monitor modunda ve Teacher ya da Conditional learning kaynağından gelen istekte geçirilir (tek istisna, taramanın WAF kuralları yüklenirken ve host grubu belirlenmeden kesilmesidir: vService'te Blocking mode'da bir grup varsa bu istek engellenir (WAF Mode · Blocking Mode); Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?) |
| 1 | Whitelisted | İstek WAF'a hiç girmedi: Do not WAF static contents (varsayılan açık) kapsamındaki statik içerik, Whitelist Condition'a uyan istek, AGS, CAPTCHA ve Bot/DDoS doğrulama akışlarının kendi trafiği | Denetim yok; Event Logs kaydı da yok |
| 2 | Learning | İstek Learning Mode'daki bir host grubuna düştü ya da Conditional Learning kaynağından (IP, çerez ya da başlık) geldi | İmzalar taranır; imza isabetleri puana eklenmez ve engelleme kararı verilmez, istek öğrenme günlüğüne yazılır |
| 3 | Teacher | Teacher kaynağından gelen isteğin puanı engelleme eşiğine ulaştı | Engellenmez; Teacher trafiği eşiğin altında kaldıysa Clean sayılır |
| 4 | Monitor | Puan eşiğe ulaştı, host grubu Monitor Mode'da | Engellenmez, kaydedilir |
| 5 | Blocked | Puan eşiğe ulaştı, host grubu Blocking Mode'da | Engellenir |
| 6 | Clean | Yukarıdakilerin hiçbiri | Denetlendi, eşiğe ulaşmadı |
- Learning, Teacher'dan önce geldiği için Learning modundaki bir grupta Teacher trafiği Learning serisinde sayılır.
- Eşiğin altında kalıp yalnızca Monitor durumundaki bir imzayı tetikleyen istek Clean sayılır; bu isteğin Event Logs kaydı ise yazılır (Not blocked — Below the blocking threshold; host grubu Monitor modundaysa Not blocked — Monitor mode).
- Taraması zaman aşımına uğrayan istekler gösterilmediği için altı serinin toplamı WAF'a giren trafiğin tamamını vermeyebilir.
Nerede Görünür?
| Ekran | Gösterim |
|---|---|
| Dashboard → Summary | Yığılmış çizgi grafik; çubuk, tablo ve pasta görünümüne geçilir |
| Live Stats | Altı kart, saniyelik oran |
| Home → WAF | WAF korumalı bütün vService'lerin toplamı |
Okuma: Clean yüksek, Blocked düşük olması normaldir; Monitor yüksekse host grubu henüz engellemiyordur, Learning yüksekse öğrenme sürüyordur.
Diğer Panellerle İlişkisi
| Panel | Saydığı |
|---|---|
| WAF Blocked Requests | Yalnızca Blocked |
| WAF Detected Attack Requests | Blocked + Monitor + Teacher (Attacks serisi) |
| Detected Attacks by Country | Puanı eşiğe ulaşan istekler ile eşik altında kalıp Monitor durumundaki bir imzayı tetikleyen istekler |
Engellenmeyen tespitlerin bütün nedenleri: Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?
Sık Karıştırılan Noktalar
- "Clean, saldırı içermeyen istektir." Engelleme eşiğine ulaşmayan imza eşleşmeleri de Clean sayılır.
- "Whitelisted yalnızca whitelist'e alınan trafiktir." Do not WAF static contents varsayılan açık olduğundan statik ağırlıklı sitelerde serinin büyük kısmını statik dosya istekleri oluşturur.
- "Teacher serisi Teacher kaynaklarının bütün trafiğidir." Yalnızca puanı eşiğe ulaşan Teacher istekleri sayılır; eşik altındakiler Clean'dir.
- "Serilerin toplamı bütün trafiktir." Zaman aşımına uğrayan istekler gösterilmez; WAF'a hiç gelmeyen trafik (ör. WAF kutusu işaretli olmayan vService) zaten sayılmaz.
Dokümantasyonda nasıl yapılır
