Saldırı sayısı belirli bir eşiği aşınca bildirim alabilir miyim?

Kısa cevap

Evet, iki biçimde; ikisi de vService'in WAF Management sekmesindeki Notifications kartında ayarlanır. Block Threshold (per sec) ve Detected Attack Threshold (per sec) saniyelik eşiklerdir: anahtar açıldığında değer 10 gelir (en az 1); saniyedeki engellenen istek ya da tespit edilen saldırı isteği (engellenen + Monitor + Teacher) bu değeri aşınca bildirim gönderilir, oran eşiğin %80'inin altına inince back to normal bildirimi gelir. Bildirimler için genel bir açma anahtarı yoktur; anahtarı açılıp değeri girilen her eşik kendi başına çalışır. Advanced Notifications ise bir zaman penceresi ve kapsam üzerinden sayar (ör. tek bir kaynak IP'den 5 dakikada 100 engelleme). Kanallar aynı pencerede seçilir: E-mail, SMS, SNMP Notification ve UI Notification (varsayılan açık). Gönderilen bildirimler Notification Logs ekranında WAF Attack Rate ya da Advanced WAF Notification adıyla görülür.

Sorun: Saldırı Artışı Fark Edilmeden Geçiyor

Bir saldırı dalgasında engelleme ya da tespit oranı birkaç dakika içinde yükselir; Dashboard'a bakılmadığı sürece bu artış fark edilmez. Oran belirli bir değeri aştığında ilgili ekibe haber verilmesi gerekir.

Çözüm: Üç Yöntem

Saniyelik eşikler ve gelişmiş bildirimler aynı pencerede birlikte kullanılabilir.

Durumunuz	Uygun yöntem
vService genelinde saniyelik engelleme ya da tespit oranı yükseldiğinde haber almak	Yöntem 1: Saniyelik eşikler
Tek bir kaynak, ağ, ülke ya da host için belirli bir sürede belirli bir sayıyı aşınca haber almak	Yöntem 2: Advanced Notifications
Eşikleri komut satırından tanımlamak	Yöntem 3: WEB-CLI

Yöntem 1: Saniyelik Eşikler Önerilen

• Nasıl çalışır Her cihaz kendi trafiğinde saniyelik oranı izler: Block Threshold (per sec) engellenen istekleri, Detected Attack Threshold (per sec) engellenen, Monitor modunda geçirilen ve Teacher tarafından tanınan saldırı isteklerinin toplamını sayar. Oran eşiği aşınca alarm bildirimi, eşiğin %80'inin altına inince normale dönüş bildirimi gönderilir.
• Nerede açılır vService ekranında WAF Management → Learning & Reporting → Notifications kartı → kalem ikonu
• Gereksinim WAF alanında değiştirme yetkisi; e-posta için E-mail Settings (SMTP), SNMP için Notification Management'ta SNMP Settings hedefi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 WAF Management sekmesini aç

Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesi açılır.

2

Adım 2 Notifications penceresini aç

Learning & Reporting satırındaki Notifications kartının sağ üstündeki kalem ikonuna tıklanır; Notifications penceresi açılır (Notifications Edit ekranı).

3

Adım 3 Eşiği aç ve değeri gir

Block Threshold (per sec) ya da Detected Attack Threshold (per sec) anahtarı açılır; alan 10 değeriyle gelir, istenen değer (en az 1) girilir. İki eşik birlikte de kullanılabilir. Tespit eşiği Monitor modundaki ve Teacher'ın geçirdiği saldırıları da saydığı için engelleme eşiğinden önce tetiklenir (Bildirimde "Blocks" ile "Detections" arasındaki fark nedir?).

4

Adım 4 Kanalları seç

Alıcılar ve kanallar seçilir: E-mail listesine adresler, SMS listesine telefon numaraları eklenir; SNMP Notification (varsayılan kapalı) ve UI Notification (varsayılan açık) anahtarları ayarlanır (Bildirim kanalları nelerdir (UI, e-posta, SMS, SNMP)?).

5

Adım 5 Kaydet

Edit tıklanır; ayrı bir dağıtım adımı yoktur. Cluster kurulumunda ayar varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir. Her cihaz kendi trafiğini ayrı değerlendirir.

Doğrulama

1Kart cümlesiTR7 tarafı

Notifications kartındaki cümleye ve kanal rozetlerine bakılır.

BeklenenA notification is sent when 20 blocks per second is exceeded

2Bildirim kaydıTR7 tarafı

Eşik aşıldığında kartın alt şeridindeki Notification Log bağlantısıyla ya da Notification Logs ekranında kayda bakılır.

BeklenenWAF block rate is high for vService "…": 28/s > 20/s

Yöntem 2: Advanced Notifications

• Nasıl çalışır Her tetik bir kapsam (ör. Source IP, Country, Host Header), bir sayım (Blocks ya da Detections), bir pencere (30 saniye – 1 saat) ve bir eşik (Threshold) taşır; kapsamın her anahtarı (her IP, her ülke …) ayrı sayılır ve pencere içinde eşiği aşan anahtar için bildirim gönderilir. En fazla 6 tetik tanımlanır.
• Nerede açılır Aynı Notifications penceresi → Advanced Notifications
• Gereksinim Yöntem 1'deki gibi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Notifications penceresini aç

WAF Management sekmesinde Notifications kartının kalem ikonuna tıklanır.

2

Adım 2 Gelişmiş bildirimleri aç

Advanced Notifications anahtarı açılır; ilk tetik Country, Blocks, 5 dakika ve 100 değerleriyle gelir. Başka tetik başlığın yanındaki + (Add trigger) ile eklenir.

3

Adım 3 Tetiği tanımla

Örnek, tek bir kaynak IP'nin 5 dakikada 100'den fazla engellenmesi: Scope = Source IP, Count = Blocks, Window = 5 dakika, Threshold = 100. Kapsamların ayrıntısı ve taban eşikleri: Gelişmiş bildirimlerde kapsam (Global, Source IP, Source Subnet, Country, ASN, Host Header …) nasıl çalışır?

4

Adım 4 Kanalları seç

Yöntem 1'deki kanallar gelişmiş tetikler için de kullanılır; gerekiyorsa en az bir E-mail adresi eklenir.

5

Adım 5 Kaydet

Edit tıklanır.

Doğrulama

1Kart cümlesiTR7 tarafı

Notifications kartındaki cümleye bakılır.

BeklenenA notification is sent when one Source IP exceeds 100 blocks in 5 minute(s)

Yöntem 3: WEB-CLI

• Nasıl çalışırwaf options update komutu eşikleri ve kanalları yazar (bildirimler).
• Nerede açılır WEB-CLI → waf options show · waf options update
• Gereksinim WEB-CLI erişimi ve WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Mevcut kanalları gör

waf options show poolId <vService>

Çıktıdaki notifyEmail ve notifySms satırları mevcut alıcıları gösterir. Bu listelerde .N indeksi o sıradaki mevcut alıcının yerine geçer; yeni alıcı ilk boş indekse yazılır.

2

Adım 2 Eşiği ve kanalı yaz

Listede alıcı yokken örnek:

waf options update poolId <vService> --notifyBlockRate 20 --notifyEmail.0 guvenlik@example.com --notifyUi true

Tespit eşiği --notifyAttackRate ile yazılır. Gelişmiş tetikler --advancedNotifications.N.scope, .countType, .window.val, .window.unit ve .limit alanlarıyla tanımlanır (gelişmiş bildirimler).

Doğrulama

1KayıtTR7 tarafı

Ayar yeniden görüntülenir.

Komut: waf options show poolId <vService>

BeklenennotifyBlockRate 20

Sık Yapılan Hatalar

• Monitor modunda engelleme eşiği beklemek. Monitor modundaki host grubunda istek engellenmez; engelleme oranı artmaz. İzleme döneminde Detected Attack Threshold (per sec) ya da Detections sayımı kullanılır.
• Kanal seçmeden eşik girmek. Eşik girilip E-mail, SMS ve SNMP Notification boş bırakılırsa bildirim yalnızca arayüzde (UI Notification açıksa) ve Notification Logs'ta görünür.
• SMTP ya da SNMP hedefi olmadan e-posta veya trap beklemek. Altyapı Notification Management ekranında tanımlanır; alıcılar ise WAF'ın kendi formundan gelir.
• Gece SMS'i beklemek. Notification Management'ta Mute Night Notifications açıksa 22:00–08:00 arasında SMS gönderilmez; e-posta, SNMP ve arayüz bildirimleri gönderilmeye devam eder.
• WEB-CLI'da --notifyEmail.0 ile mevcut alıcıyı ezmek. .0 listedeki ilk alıcının yerine geçer; önce waf options show ile ilk boş indeks bulunur.

Dokümantasyonda nasıl yapılır

• Notifications · Notifications Edit ekranı
• Notifications · Block Threshold (per sec)
• Notifications · Advanced Notifications
• WEB-CLI · waf options · Bildirimler

İlgili sorular

• Bildirim kanalları nelerdir (UI, e-posta, SMS, SNMP)?
• Bildirimde "Blocks" ile "Detections" arasındaki fark nedir?
• Kaynak IP, ülke, ASN veya subnet bazında gelişmiş bildirim tanımlayabilir miyim (Advanced Notifications)?