Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Logları IP, ülke, ASN, path, imza, kategori, OWASP, CWE gibi alanlara göre nasıl filtrelerim?
Kısa cevap
Event Logs'ta iki filtre katmanı vardır. Filtre şeridi çekilmiş kayıtlar üzerinde anında çalışır: Client IP, Country, ASN, Path, Signature, Category, OWASP Web, CWE gibi sekmelerde değerler kayıt ya da saldırı sayısıyla listelenir; aynı sekmedeki seçimler veya, farklı sekmelerdeki seçimler ve ile birleşir ve saldırı bazlı sekmeler kaydın saldırı listesini de daraltır. Log Filter ise sunucuda hangi kayıtların çekileceğini belirler: şeridin başındaki sunucu filtresi sekmesinde Add Advanced Filter ile Network, Request, WAF ve Taxonomy gruplarındaki alanlara koşul yazılır ve Save & Get Logs tıklanır; okuma, Line Limit dolana kadar geriye doğru sürer. Aranan kayıt çekilen satırların dışında kalıyorsa Log Filter, çekilmiş satırları daraltmak için filtre şeridi kullanılır.
Sorun: Kayıtlar Belirli Bir Kaynağa ya da Saldırı Türüne Göre İncelenecek
Event Logs varsayılan olarak son 7 günün en yeni 1.000 kaydını çeker. Belirli bir ülkeden, ağdan ya da sayfadan gelen istekleri, belirli bir imzayı ya da saldırı kategorisini incelemek için kayıtların süzülmesi gerekir. Yalnızca çekilmiş kayıtlar üzerinde süzme yapılırsa, satır sınırının dışında kalan eski kayıtlar sonuçta görünmez.
Çözüm: İki Yöntem
İki katman birlikte kullanılabilir: önce Log Filter ile kapsam daraltılarak kayıtlar çekilir, sonra filtre şeridiyle incelenir.
| Durumunuz | Uygun yöntem |
|---|---|
| Ekrandaki kayıtları hızlıca daraltmak, değer dağılımını görmek | Yöntem 1: Filtre şeridi |
| Satır sınırına takılmadan yalnızca koşula uyan kayıtları çekmek | Yöntem 2: Log Filter |
Yöntem 1: Filtre Şeridi Önerilen
- Nasıl çalışırFiltre şeridi çekilmiş kayıtları sunucuya gitmeden süzer. Sekme başlığındaki sayı o alandaki farklı değer adedini, değerin yanındaki sayı kayıt bazlı sekmelerde kayıt, saldırı bazlı sekmelerde saldırı adedini verir; ilk 60 değer listelenir, aşağı kaydırıldıkça liste büyür.
- Nerede açılırLeft Monitor Panel → WAF-Protected vServices → vService → Event Logs → tablonun üstündeki şerit
- Gereksinim WAF yetkisi
- vService tipi HTTP
Adım adım yapılandırma
1
Adım 1 Event Logs ekranını aç
Left Monitor Panel'de WAF-Protected vServices kategorisinden vService'e tıklanır ve Event Logs sekmesi seçilir (Event Logs'a erişim). Şerit açılışta açık gelir; kapalıysa araç çubuğundaki Filter butonuyla açılır.
2
Adım 2 Sekmeyi aç
Şeritte süzülecek alanın sekmesine tıklanır (ör. Country); değerler sayılarıyla, büyükten küçüğe listelenir. Sekmeler ve kapsamları:
| Kapsam | Sekmeler |
|---|---|
| Kayıt (seçim kaydın tamamına uygulanır) | Client IP, Method, Country, IP Tags, ASN, Path, Host, User Agent, Browser, Operating System, Device Type, Browser Version, Protocol, Blacklist, Learn Status, X-Forwarded-For |
| Saldırı (seçim kaydın saldırı listesini de daraltır) | Signature, Scope, Category, OWASP Web, OWASP API, CWE, CAPEC, MITRE ATT&CK, Target, Severity |
User Agent ve Protocol sekmeleri varsayılan olarak gizlidir; şeridin sonundaki + butonuyla eklenir. IP Tags sekmesi istemci adresine uyan IP etiketlerini, Blacklist sekmesi adresin o anki kara liste durumunu, Learn Status sekmesi kaydın öğretilme durumunu (tamamı, bir kısmı ya da hiç öğretilmemiş) gösterir.
3
Adım 3 Değeri seç
Değere tıklanır. Method, Country, User Agent, Browser, Operating System, Device Type, Browser Version, Protocol ve Blacklist sekmelerinde tek değer, diğerlerinde birden çok değer seçilir. Değer listede görünmüyorsa tablonun sağ üstündeki arama kutusuna yazılır.
4
Adım 4 Başka sekmelerle birleştir
Gerekiyorsa başka bir sekmede de seçim yapılır. Aynı sekmedeki seçimler veya, farklı sekmelerdeki seçimler ve ile birleşir; sayılar her seçimde yeniden hesaplanır (seçimlerin birleşmesi). Seçimler kullanıcı bazında saklanır ve sonraki açılışta korunur.
Tablo hücrelerinde metin aramak için araç çubuğundaki Search, RegExp Search ve Column Based Search kutuları da kullanılabilir; bunlar da yalnızca çekilmiş satırlarda çalışır.
Doğrulama
1Liste ve önizlemeTR7 tarafı
Tablonun altındaki Page Information satırına ve bir kaydın önizlemesindeki Attacks sekmesine bakılır.
Beklenen
Showing … records ve süzgeç özeti; saldırı bazlı seçimde yalnızca seçime uyan saldırılarYöntem 2: Log Filter
- Nasıl çalışırLog Filter sunucu tarafında çalışır: yalnızca koşula uyan kayıtlar çekilir ve Line Limit dolana kadar okuma geriye doğru sürer. Metin karşılaştırmaları büyük/küçük harf ayrımı gözetmez. Saldırı bazlı alanlar (Taxonomy grubu ve WAF · Severity) uymayan saldırıları kayıttan çıkarır.
- Nerede açılırEvent Logs → filtre şeridinin başındaki sunucu filtresi sekmesi → Log Filter
- Gereksinim WAF yetkisi
- vService tipi HTTP
Adım adım yapılandırma
1
Adım 1 Sunucu filtresi sekmesini aç
Event Logs ekranında filtre şeridinin başındaki sabit sekmeye tıklanır; başlığında seçili zaman aralığı yazar (ör. Last 7 day(s)). Sekmede Date Range, Line Limit, Request Unique ID ve Log Filter alanları bulunur.
2
Adım 2 Gelişmiş filtre ekle
Log Filter satırındaki Add Advanced Filter butonuna tıklanır; ilk koşul satırı açılır.
3
Adım 3 Koşulu tanımla
Alan listesinden alan, ardından operatör ve değer seçilir. Alanlar dört gruptadır:
| Grup | Alanlar |
|---|---|
| Network | Client IP, Country, City, ASN |
| Request | Method, Host, Path, Query, User Agent, Request header (header adı girilerek) |
| WAF | WAF score, Monitor only, Blacklist, Learn status, Severity, Action |
| Taxonomy | Category, CWE, MITRE ATT&CK, CAPEC, OWASP Web, OWASP API, Target, Signature, Attack scope |
Örnek: Network · ASN → Any of → ASN numaraları; Taxonomy · Category → Includes Any of → kategori. Operatörler, gruplama ve JSONata ifadeleri: Event Logs'ta AND/OR, NOT, regex ve JSONata ifadeleriyle gelişmiş filtre yazabilir miyim?
4
Adım 4 Kapsamı ayarla
Aranan kayıtlar daha eskiyse aynı sekmede Date Range genişletilir; Line Limit 1 ile 20.000 arasında girilir (varsayılan 1.000).
5
Adım 5 Kaydet ve listele
Save & Get Logs tıklanır; buton yalnızca sekmede bir değişiklik yapıldığında etkinleşir. Filtre, zaman aralığı ve satır sınırı kullanıcı bazında saklanır; ekran sonraki açılışında aynı kapsamla çekilir.
Doğrulama
1Sekme başlığıTR7 tarafı
Sunucu filtresi sekmesinin başlığına bakılır; başlık tanımlı koşul sayısını gösterir.
Beklenen
Last 7 day(s) - 2 advanced filter(s)Filtreyi kaldırmak için sekmede Remove Filter tıklanıp Save & Get Logs ile kaydedilir ya da şeridin altındaki özet çipi kapatılır.
Sık Yapılan Hatalar
- Filtre şeridinin eski kayıtları getirdiğini sanmak. Şerit yalnızca çekilmiş kayıtları süzer; satır sınırının dışında kalan kayıtlar için Log Filter kullanılır ya da Date Range değiştirilir.
- Kayıt bazlı sekmenin saldırıları daralttığını sanmak. Path ya da Client IP seçimi kaydın saldırı listesini değiştirmez; saldırıları yalnızca saldırı bazlı sekmeler daraltır.
- Saldırı bazlı seçimle öğretme işleminin kapsamını unutmak. Allow / Teach listenin görünen hâli üzerinden çalışır; saldırı bazlı seçim varsa yalnızca seçime uyan saldırılar öğretilir (Birden fazla logu tek seferde Allow / Teach yapabilir miyim; filtreyle gizlenen saldırılar da öğretilir mi?).
- Önceki oturumda kalan filtreyi unutmak. Şerit seçimleri ve sunucu filtresi kullanıcı bazında saklanır; liste beklenenden az kayıt gösteriyorsa şeridin altındaki özet çiplerine bakılır.
- Blacklist sekmesinin kayıt anındaki durumu gösterdiğini sanmak. Blacklist değeri kayıttan okunmaz, adresin bugünkü kara liste durumuna göre hesaplanır.
Aynı koşul oluşturucu WAF raporunda da kullanılır: Rapor filtresi ile yalnızca belirli saldırıları içeren bir rapor üretebilir miyim?
Dokümantasyonda nasıl yapılır
