Event Logs'taki Action değerleri ne anlama gelir?

Kısa cevap

Action kolonu metin değil ikon gösterir ve kaydı üç kulvardan birine koyar: engelleme (kırmızı, yasak işareti), izleme (sarı, dürbün) ve Teacher (sarı, yazı tahtası). İkonun üzerine gelindiğinde karar cümlesi görünür: Attack blocked istek engellendi; Not blocked — Monitor mode host grubu Monitor modunda olduğu için istek geçirildi (puan eşiğe ulaşmış ya da Monitor durumundaki bir imza tetiklenmiştir); Not blocked — Below the blocking threshold host grubu Blocking modunda ama puan eşiğe ulaşmadı, kayıt Monitor durumundaki bir imza tetiklendiği için yazıldı; Not blocked — Teacher IP matched, Not blocked — Teacher cookie matched ya da Not blocked — Teacher header matched istek, cümlede adı geçen Teacher kaynağı tarafından tanındı ve geçirildi. İkon kaydın oluştuğu andaki kararı gösterir; kayıt sonradan öğretilse de değişmez. Dışa aktarımda ikon yerine kısa karşılık (Blocking, Monitor, Monitored rule ya da Teacher kaynağının adı, ör. Teacher IP) yazılır; sunucu filtresindeki Action alanı Blocking, Monitor ve Teacher değerlerini alır.

Değerler

İkon	İpucu cümlesi	Ne oldu?	Dışa aktarımdaki değer	Log filter → Action
Yasak işareti, kırmızı	Attack blocked	Puan eşiğe ulaştı, host grubu Blocking Mode'da; istek engellendi	Blocking	Blocking
Dürbün, sarı	Not blocked — Monitor mode	Host grubu Monitor Mode'da; puan eşiğe ulaştı ya da Monitor durumundaki bir imza tetiklendi, istek geçirildi	Monitor	Monitor
Dürbün, sarı	Not blocked — Below the blocking threshold	Blocking modundaki grupta puan eşiğe ulaşmadı; Monitor durumundaki bir imza tetiklendiği için kayıt yazıldı	Monitored rule	Monitor
Yazı tahtası, sarı	Not blocked — Teacher IP matched · Not blocked — Teacher cookie matched · Not blocked — Teacher header matched (Teacher kaynağı kayda yazılmamışsa Not blocked — Teacher matched)	İstek Teacher kaynağından geldi; geçirildi	Teacher kaynağının adı (Teacher IP, Teacher cookie, Teacher header; kaynak yoksa Teacher)	Teacher

• Teacher kulvarı izleme kulvarıyla aynı rengi kullanır, çünkü iki durumda da istek geçirilmiştir; ayrımı ikon yapar.
• Önizleme penceresinin başlığında da aynı ikon ve cümle yer alır (seçilen logun önizlemesi).
• Kararların kavramsal açıklaması ve Debug Mode Logs karşılığı: WAF bir istek için hangi kararları verir; Event Logs'taki Action ve Debug Mode Logs'taki Verdict ne anlama gelir?
• SIEM'e giden saldırı bilgisinde aynı karar action anahtarında block, monitor ya da fpc olarak yer alır (SIEM'e gönderilen saldırı alanları nelerdir (score, severity, scope, name, category, CWE, MITRE, CAPEC, OWASP, target)?).

Öğretilen Kayıtlar

Bir kayıttaki imzaların tamamı öğretildiğinde satır soluk yeşile döner ve Attacks kolonunun ilk sayısı 0 olur. Action ikonu ise değişmez: öğretme geçmişteki kararı değil, bugünkü kural setinde kalan işi değiştirir. Satır tıklanıp önizlemesi açıldığında satırın vurgusu geçerli olur; ikon ve yeşil ton o sırada kendi rengini bırakır.

Sık Karıştırılan Noktalar

• "Öğretilen kaydın Action değeri değişir." İkon kaydın oluştuğu andaki kararı korur; öğretme Attacks kolonunda ve satır renginde görünür.
• "İki izleme cümlesi aynı şeydir." Monitor mode kaydı host grubu Monitor modundayken yazılır; puan eşiğe ulaşmışsa grup Blocking modunda olsaydı istek engellenirdi. Below the blocking threshold kaydı Blocking modundaki grupta yazılır; puan eşiğe ulaşmadığı için istek geçmiştir, kaydı Monitor durumundaki imza üretmiştir.
• "Sarı ikon turuncudur ya da hata demektir." Sarı, temanın uyarı rengidir ve isteğin geçirildiğini gösterir; engelleme yalnızca kırmızı ikondur.
• "Zaman aşımıyla engellenen istek Action kolonunda görünür." Blocking modunda taraması süre sınırı içinde tamamlanamadığı için engellenen istek Event Logs'a yazılmaz, bu yüzden Action kolonunda yer almaz. Bu karar yalnızca vService Debug mode'dayken Debug Mode Logs'ta Attack blocked — scan timed out olarak görünür; Security Action filtresindeki karşılığı WAF · Timeout'tur (418 alan bir istek Event Logs'ta neden görünmüyor?).

Dokümantasyonda nasıl yapılır

• Event Logs · Action değerleri
• Event Logs · Attacks kolonu
• Event Logs · Export Table

İlgili sorular

• WAF bir istek için hangi kararları verir; Event Logs'taki Action ve Debug Mode Logs'taki Verdict ne anlama gelir?
• Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?
• Engellenen isteklerin listesini nasıl görürüm?