Belirli bir isteği Request Unique ID ile nasıl bulurum?

Kısa cevap

Request Unique ID, varsayılan engelleme sayfasında Request ID olarak gösterilen (sayfaya %UID değişkeniyle yazılan) ve SIEM'e giden saldırı bilgisinde uid anahtarıyla gönderilen istek kimliğidir. vService'in Event Logs ekranında filtre şeridinin başındaki sunucu filtresi sekmesi açılır, kimlik Request Unique ID alanına yapıştırılır, istek tarihi kapsanacak biçimde Date Range ayarlanır ve Save & Get Logs tıklanır. vService bilinmiyorsa aynı alan Global WAF Event Log ekranında kullanılır ve bütün WAF korumalı vService'ler taranır. Arama sunucu tarafında çalışır; filtre şeridinde ve Log Filter alanlarında kimlik alanı yoktur. Kayıt seçilen tarih aralığının dışındaysa bulunmaz; kaydı hiç yoksa istek Event Logs'a yazılmayan bir sonuçla (taramanın zaman aşımı, Learning modu ya da eşiğin altında kalan temiz istek) karşılanmış olabilir.

Sorun: Elde Yalnızca İsteğin Kimliği Var

WAF bir isteği engellediğinde kullanıcı engelleme sayfasını görür; varsayılan sayfada isteğin kimliği Request ID satırında yazar (Engelleme sayfasında hangi Smart Variable'ları kullanabilirim (%UID, %SRCIP, %WAFSCORE, %WAFINFO …); saldırı detayını göstermek güvenli mi?). Kullanıcı ya da uygulama ekibi bu kimliği ilettiğinde, binlerce kayıt arasından o isteğin kaydının bulunup neden engellendiğinin görülmesi gerekir.

Çözüm: Üç Yöntem

Durumunuz	Uygun yöntem
İsteğin hangi vService'e geldiği biliniyor	Yöntem 1: Event Logs
vService bilinmiyor	Yöntem 2: Global WAF Event Log
Kayıt SIEM'de de tutuluyor	Yöntem 3: SIEM'de uid ile arama

Yöntem 1: Event Logs Önerilen

• Nasıl çalışır Kimlik sunucu filtresine yazılır; sunucu yalnızca bu kimliği taşıyan kaydı çeker.
• Nerede açılırLeft Monitor Panel → WAF-Protected vServices → vService → Event Logs → filtre şeridinin başındaki sunucu filtresi sekmesi
• Gereksinim WAF yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Event Logs ekranını aç

Left Monitor Panel'de WAF-Protected vServices kategorisinden vService'e tıklanır ve Event Logs sekmesi seçilir (Event Logs'a erişim).

2

Adım 2 Sunucu filtresi sekmesini aç

Filtre şeridinin başındaki sabit sekmeye tıklanır; başlığında seçili zaman aralığı yazar (ör. Last 7 day(s)).

3

Adım 3 Kimliği gir

Kimlik Request Unique ID alanına yapıştırılır (alan boşken All requests yazar ve bütün istekler listelenir).

4

Adım 4 Tarih aralığını kontrol et

İsteğin tarihi Date Range içinde değilse aralık genişletilir (varsayılan son 7 gün).

5

Adım 5 Kaydet ve listele

Save & Get Logs tıklanır.

Doğrulama

1KayıtTR7 tarafı

Listede tek kayıt kalır; kayda tıklanınca önizleme başlığında kararın altında aynı kimlik görünür.

BeklenenBaşlıktaki kimlik = aranan kimlik

Şeridin altında Request Unique ID özet çipi görünür; kimlik filtresi çipin kapatılmasıyla kaldırılır. Cluster kurulumunda kayıt iki cihazdan hangisinden geldiyse Source kolonunda o cihaz yazar.

Yöntem 2: Global WAF Event Log

• Nasıl çalışırGlobal WAF Event Log aynı kimlik aramasını WAF korumalı bütün vService'lerin kayıtlarında yapar.
• Nerede açılırWAF → Global WAF Event Log
• Gereksinim WAF yetkisi; yetkisi belirli vService'lerle sınırlanmamış hesap
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Ekranı aç

WAF → Global WAF Event Log adımları izlenir.

2

Adım 2 Sunucu filtresi sekmesini aç

Filtre şeridinin başındaki sabit sekmeye tıklanır.

3

Adım 3 Kimliği ve aralığı gir

Kimlik Request Unique ID alanına yapıştırılır; Date Range isteğin tarihini kapsayacak en dar aralıkla seçilir.

4

Adım 4 Kaydet ve listele

Save & Get Logs tıklanır. Listenin üstünde Results are complete back to … uyarısı çıkarsa tarama aralığın tamamına ulaşamamıştır; aralık daraltılıp yeniden aranır (taramanın çalışması).

Doğrulama

1KayıtTR7 tarafı

Kaydın vService kolonuna bakılır; vService adına tıklanınca o vService'in WAF ekranı açılır.

BeklenenTek kayıt ve isteğin geldiği vService

Yöntem 3: SIEM'de uid ile Arama

• Nasıl çalışır Saldırı bulunan isteklerde log profilinin gönderdiği saldırı bilgisi aynı kimliği uid anahtarında taşır; kayıt SIEM'de bu anahtarla aranır.
• Nerede açılır SIEM arama ekranı
• Gereksinim vService'te saldırı bilgisini taşıyan bir log profili (CEF Format, TR7 JSON Format ya da TR7 WAF Log) (WAF loglarını SIEM'e nasıl gönderirim; hangi formatlar saldırı bilgisini yapısal taşır (CEF, JSON)?)
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 SIEM'de ara

SIEM'de saldırı bilgisinin uid alanı kimlikle aranır (uid yapısı). Kayıt bulunduğunda TR7'deki ayrıntı için kimlik Yöntem 1'deki gibi Event Logs'ta aranır.

Doğrulama

1SIEM kaydıSIEM tarafı

Bulunan satırdaki saldırı bilgisine bakılır.

Beklenen"uid":"AC10652A:D7236AA19B66:240002D", "action":"block"

Blocking modunda taraması süre sınırı içinde tamamlanamadığı için engellenen isteğin saldırı bilgisinde uid anahtarı bulunmaz.

Sık Yapılan Hatalar

• Kimliği tablonun arama kutusuna yazmak. Araç çubuğundaki Search kutusu yalnızca çekilmiş satırlarda çalışır; kimlik sunucu filtresindeki Request Unique ID alanına yazılır.
• Tarih aralığını gözden kaçırmak. Kayıt Date Range dışında kalıyorsa bulunmaz; vService ekranında varsayılan aralık son 7 gündür.
• Kaydı hiç olmayan bir isteği aramak. Taraması zaman aşımına uğrayan, Learning modundaki host grubuna düşen ya da Monitor durumunda imza tetiklemeden eşiğin altında kalan isteklerin Event Logs kaydı yazılmaz (418 alan bir istek Event Logs'ta neden görünmüyor?).
• Kimlik filtresini açık unutmak. Alan dolu kaldıkça ekran yalnızca o kaydı çeker; şeridin altındaki özet çipi kapatılarak ya da alan boşaltılıp Save & Get Logs tıklanarak bütün kayıtlara dönülür.

Dokümantasyonda nasıl yapılır

• Event Logs · Request Unique ID
• Global WAF Event Log · Ne işe yarar?
• TR7 WAF Log · uid yapısı

İlgili sorular

• Engelleme sayfasında hangi Smart Variable'ları kullanabilirim (%UID, %SRCIP, %WAFSCORE, %WAFINFO …); saldırı detayını göstermek güvenli mi?
• 418 alan bir istek Event Logs'ta neden görünmüyor?
• Tüm vService'lerin WAF loglarını tek ekranda görebilir miyim (Global WAF Event Log)?