Bir log kaydının detayında (Summary, Attacks, Request & Location) neler görürüm?

Kısa cevap

Event Logs'ta bir kayda tıklanınca sağda önizleme açılır; başlıkta kararın ikonu ve cümlesi, altında isteğin benzersiz kimliği ve kopyalama ikonu, sağ üstte karara göre Allow ya da Teach adını alan öğretme butonu bulunur. Summary sekmesi saldırıların Category, OWASP Web, OWASP API, CWE, CAPEC, MITRE ATT&CK, Target ve Signature dağılımını halka grafikte, altında Attacker IP, Request (metot ve path) ve sınıflandırma listelerini gösterir. Attacks sekmesi saldırıları listeler; seçilen saldırı için Corresponding Rule, Attack Name (seviyesiyle), Attack ID, Attack Area, Argument, eşleşen bölümü vurgulayan Description ve Learning Suggestion satırlarını, Edit Corresponding Rule ve öğretme butonlarını taşır. Request & Location sekmesi Date, Host Group, Host, HTTP(s) Method, Path, Matching Path Rules, Query, HTTP Headers, kaydedildiyse Body, WAF Time, gerekiyorsa Monitor Mode ya da Teacher satırını ve istemci bölümünü (Attacker IP, Attack Network, Ip Provider, Attacker Location, Attacker User-Agent) gösterir. Son bakılan sekme kullanıcı bazında hatırlanır.

Başlık

Öğe	İçerik
Karar	Action kolonundaki ikonun aynısı ve cümlesi (ör. Attack blocked, Not blocked — Teacher IP matched)
İstek kimliği	Kopyalama ikonuyla panoya alınır; sunucu filtresindeki Request Unique ID alanında aynı kaydı bulmak için kullanılır
Öğretme butonu	Engellenmiş kayıtta Allow, izlenen ya da Teacher tarafından geçirilmiş kayıtta Teach; onaydan sonra kaydın görünen saldırılarını doğrudan öğretir (başlıktaki Allow / Teach butonu)

Sekmeler

Önizlemede üç sekme vardır: Summary kaydın bütününü özetler, Attacks kayıttaki saldırıları tek tek açar, Request & Location isteğin kendisini ve istemciyi gösterir.

Summary

Kaydın bütün saldırılarının sınıflandırma özetidir (Summary sekmesi).

Alan	Ne gösterir?
Halka grafik	Seçilen boyutun dağılımı. Boyutlar (Category, OWASP Web, OWASP API, CWE, CAPEC, MITRE ATT&CK, Target, Signature) grafiğin iki yanındaki oklarla ya da altındaki noktalarla değiştirilir; seçim kullanıcı bazında saklanır.
Attacker IP	İsteği gönderen adres, ülke bayrağıyla. Yanındaki Actions menüsüyle adres yalnızca bu vService için ya da cihaz genelindeki IP Intelligence & Reputation listelerinde kara ya da beyaz listeye alınır.
Request	İsteğin HTTP metodu ve path'i (ör. GET /application_default_credentials.json); tam path ipucunda görünür.
Signature	Tetiklenen imzaların adları
Category	Tetiklenen imzaların saldırı kategorileri (ör. Arbitrary File Read)
OWASP Web / OWASP API	İmzaların OWASP Top 10 Web (ör. A01:2021) ve OWASP API Top 10 karşılıkları
CWE / CAPEC / MITRE ATT&CK	İmzaların zayıflık (ör. CWE-219), saldırı deseni ve teknik (ör. T1005) kodları
Target	İmzaların hedef aldığı teknoloji ya da bileşen (ör. File System)

Başlıkların yanındaki sayı o alandaki farklı değer adedidir; değer taşımayan başlık listelenmez.

Attacks

Kayıttaki saldırıları tek tek inceler ve seçilen saldırının neden yakalandığını gösterir (Attacks sekmesi). Üstteki tabloda her saldırı Attack Area (isteğin hangi bölümünde yakalandığı; parametrede yakalandıysa @parametre ekiyle) ve Attack Name kolonlarıyla listelenir; sekme açıldığında ilk saldırı seçili gelir. Kural setinde yapılacak değişiklik kalmamış saldırılar yeşil yazılır.

Alan	Ne gösterir?
Corresponding Rule	Saldırının eşleştiği sayfa tipi kuralı; hiçbir path desenine uymayan istekte Any Paths
Attack Name	İmzanın adı ve parantez içinde seviyesi (ör. GCP Credentials File Access (Very high))
Attack ID	İmzanın numarası; Signature & Rule Library ekranında bu numarayla aranır
Attack Area	Saldırının yakalandığı denetim alanı (path, query, header, form, JSON, XML ya da ham gövde)
Argument	Saldırının yakalandığı parametre; yalnızca parametrede yakalanan saldırıda görünür
Description	İstekte imzayla eşleşen bölüm, eşleşen kısım vurgulanmış olarak
Learning Suggestion	Öğretme işleminin ne yapacağı: imzanın OWASP istisnasına alınması, listeye ekleme ya da çıkarma, kuralın güncellenmesi, denetimin kapatılması ya da adresin kara liste istisnasına eklenmesi; değişiklik kalmamışsa Already learned
Category, OWASP Web, OWASP API, CWE, CAPEC, MITRE ATT&CK, Target	Yalnızca seçili saldırının sınıflandırmaları

Ayrıntıların üstündeki Edit Corresponding Rule saldırının eşleştiği kuralın (ya da denetim alanının) düzenleme formunu açar; Allow / Teach yalnızca seçili saldırıyı öğretir.

Request & Location

İsteğin kendisini ve isteği gönderen istemciyi gösterir (Request & Location sekmesi).

Alan	Ne gösterir?
Date	İsteğin işlendiği tarih ve saat, milisaniyesiyle
Host Group	İsteğin Host başlığına göre düştüğü host grubu; kural seti ve mod bu gruptan gelir
Host	İstekteki Host başlığı
HTTP(s) Method	İsteğin HTTP metodu
Path	İstenen path; tam değer ipucunda görünür
Matching Path Rules	İsteğin eşleştiği sayfa tipi kuralları ve her birinde tanımlı denetim alanları
Query	Sorgu parametreleri, ad ve değer olarak
HTTP Headers	İsteğin başlıkları, ad ve değer listesi olarak
Body	İstek gövdesi; yalnızca gövde kayda yazıldıysa görünür (İstek gövdesi (body) loga yazılıyor mu?)
WAF Time	WAF denetiminin bu istek için harcadığı süre (WAF Time değeri tam olarak neyi ölçer?)
Monitor Mode	Yalnızca Monitor Mode'da değerlendirilen kayıtta, değeri Active
Teacher	Yalnızca Teacher kaynağından tanınan kayıtta, değeri Yes
Attacker IP	Kaynak adres; Summary'deki gibi Actions menüsünü taşır
Attack Network	Adresin ait olduğu ağ bloğu (ör. 34.80.0.0/12)
Ip Provider	Ağ bloğunu işleten kuruluş (ör. Google LLC)
Attacker Location	Adresin şehir ve ülkesi; yerel ağdan gelen adreste yerel ağ bilgisi
Attacker User-Agent	İstemcinin tarayıcı, cihaz türü ve işletim sistemi; çözümlenemezse ham User-Agent değeri

Son beş alan istemciyi anlattığı için ayrı renkte gösterilir.

• Query, HTTP Headers ve Body varsayılan olarak gizlidir; başlıklarındaki göz ikonuyla açılır. Değer taşımayan Matching Path Rules, Query, HTTP Headers ve Body satırları hiç listelenmez.
• Description satırında eşleşme yerine Detailed log disabled yazıyorsa saldırının yakalandığı denetim alanında ayrıntılı log kapalıdır ("Detailed Log" seçeneği ne yapar; kapatırsam log düşer mi?).
• Learning Suggestion satırı öğretme işleminin ne yapacağını önceden bildirir; yapılacak değişiklik kalmamışsa öğretme butonu pasiftir.

İşlemler

• False positive öğretme: Yanlışlıkla engellenen bir isteğe nasıl izin veririm?
• Kuralı log üzerinden düzenleme: "Edit Corresponding Rule" ile eşleşen kuralı log üzerinden nasıl düzenlerim?
• Saldırgan adresi kara listeye alma: Event Logs üzerinden bir saldırgan IP'yi doğrudan kara listeye alabilir miyim (Attacker IP → Actions)?

Sık Karıştırılan Noktalar

• "Body her kayıtta vardır." Gövde yalnızca boyutu Max. Body Size to Log(kB) değerini aşmıyorsa ve denetim için kesilmediyse yazılır.
• "Attacks sekmesindeki öğretme butonu bütün kaydı öğretir." Ayrıntı bloğundaki Allow / Teach yalnızca seçili saldırıyı öğretir; kaydın tamamı başlıktaki butonla öğretilir.
• "Summary sekmesindeki sınıflandırmalar seçili saldırıya aittir." Summary kaydın bütün saldırılarını özetler; seçili saldırının sınıflandırmaları Attacks sekmesindedir.

Dokümantasyonda nasıl yapılır

• Event Logs · Seçilen logun önizlemesi
• Event Logs · Summary sekmesi
• Event Logs · Attacks sekmesi
• Event Logs · Request & Location sekmesi

İlgili sorular

• "Detailed Log" seçeneği ne yapar; kapatırsam log düşer mi?
• Yanlışlıkla engellenen bir isteğe nasıl izin veririm?
• İstek gövdesi (body) loga yazılıyor mu?