Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Severity seviyeleri (Blacklist, Structural, Very High … Very Low) nasıl belirlenir?
Kısa cevap
Severity, kayıttaki saldırılar arasındaki en yüksek tek saldırı puanından türetilir; isteğin toplam puanından değil. Eşikler: 50 ve üzeri Blacklist, 10 ve üzeri Structural, 8 ve üzeri Very High, 6 ve üzeri High, 4 ve üzeri Medium, 2 ve üzeri Low, 2'nin altı Very Low. Hazır imzalar 2, 4, 6, 8 ya da 9 puan, yapısal denetim ihlalleri 24 puan, kara liste isabeti 100 puan taşıdığından Structural yapısal denetim ihlalini, Blacklist kara liste isabetini gösterir. Severity kolonu varsayılan olarak gizlidir ve Columns ile açılır; filtre şeridindeki Severity sekmesi ve Log Filter'daki WAF · Severity alanı saldırı bazında çalışır. Aynı seviye önizlemenin Attacks sekmesinde imza adının yanında parantez içinde yazar ve Attack Details in WAF Info alanında Severity seçiliyse SIEM'e gönderilir.
Eşikler
| En yüksek tek saldırı puanı | Severity | Tipik kaynak |
|---|---|---|
| ≥ 50 | Blacklist | Kaynak IP'nin kara listede olması (100 puan) |
| ≥ 10 | Structural | Structure Checks ihlali (24 puan) |
| ≥ 8 | Very High | 8 ya da 9 puanlık imza |
| ≥ 6 | High | 6 puanlık imza |
| ≥ 4 | Medium | 4 puanlık imza |
| ≥ 2 | Low | 2 puanlık imza |
| < 2 | Very Low | 2'nin altında puan; imza puanı arayüzde 2, 4, 6 ya da 8 olarak seçildiği için hazır ve özel imzalarda oluşmaz |
- Bir kayıtta birden çok saldırı varsa kolon en yüksek puanlı saldırının seviyesini gösterir; kolon bu puana göre sıralanır.
- Severity bilgi amaçlıdır; isteğin engellenip engellenmeyeceğine toplam puanın engelleme eşiğiyle karşılaştırılması karar verir (Saldırı puanı (attack score) nedir, nasıl hesaplanır?).
- İmzanın puanının değiştirilmesi seviyesini de değiştirir: Bir imzanın puanını (Low / Medium / High / Very High) değiştirebilir miyim?
Nerede Kullanılır?
| Yer | Davranış |
|---|---|
| Tablodaki Severity kolonu | Varsayılan gizli; Columns ile açılır, değer seviyenin rengiyle yazılır (Event Logs'ta varsayılan olarak gizli olan sütunlar hangileri; nasıl açarım?) |
| Filtre şeridi → Severity | Saldırı bazlı, çoklu seçim: seçime uymayan saldırılar kayıttan çıkarılır, saldırısı kalmayan kayıt listeden düşer |
| Log Filter → WAF · Severity | Includes Any of, Includes None of, Exists operatörleriyle sunucu tarafında süzer |
| Önizleme → Attacks | Attack Name satırında imza adının yanında parantez içinde (ör. (Very high)) |
| SIEM | Attack Details in WAF Info alanında Severity seçiliyse her saldırının severity anahtarında, WAF Info Language dilinde (SIEM'e gönderilen saldırı alanları nelerdir (score, severity, scope, name, category, CWE, MITRE, CAPEC, OWASP, target)?) |
Sık Karıştırılan Noktalar
- "Severity toplam puana göre belirlenir." Kayıttaki tek bir saldırının en yüksek puanına göre belirlenir; düşük puanlı birçok imzayla engellenen bir istek Medium görünebilir.
- "Very Low saldırılar engellenmez." Engelleme kararını toplam puan verir; düşük seviyeli saldırılar da toplam puana eklenir (Monitor durumundaki imzalar hariç).
- "Structural imza kategorisidir." Structural, 10 ve üzeri puanlı saldırıdır; hazır imzalar en fazla 9 puan taşıdığından pratikte yapısal denetim ihlalini gösterir.
Dokümantasyonda nasıl yapılır
