SIEM'e yalnızca saldırı kayıtlarını gönderebilir miyim?

Kısa cevap

Evet, engellenen saldırılar için. Logs profilinde Line Format = TR7 WAF Log seçildiğinde yalnızca WAF'ın engellediği istekler satır üretir; satırın tamamı saldırı bilgisinin JSON'udur (uid, totalScore, action, attacks, wafTime). Bu biçimde Monitor modunda geçirilen, Teacher tarafından tanınan ve eşiğin altında kalıp yalnızca Monitor durumundaki bir imzayı tetikleyen istekler gönderilmez; vService'te WAF kutusu işaretli değilse bu biçim hiç satır üretmez. İzlenen saldırılar da gönderilecekse CEF Format ya da TR7 JSON Format seçilir ve SIEM'de wafInfo alanı boş ({}) olmayan satırlar süzülür. Satırdaki saldırı alanları WAF Management'taki SIEM & Attack Details kartında belirlenir.

Sorun: SIEM'e Bütün Trafik Gidiyor

CEF ve TR7 JSON biçimleri her HTTP isteği için satır gönderir; yoğun bir vService'te SIEM'in lisans ve depolama yükü artar. Yalnızca saldırı kayıtlarının gönderilmesi ya da SIEM'de ayrılması gerekir.

Çözüm: İki Yöntem

Durumunuz	Uygun yöntem
Yalnızca engellenen saldırılar gönderilsin	Yöntem 1: TR7 WAF Log
Monitor ve Teacher dahil bütün saldırılar gerekiyor	Yöntem 2: CEF ya da TR7 JSON ve SIEM'de süzme

Yöntem 1: TR7 WAF Log Önerilen

• Nasıl çalışırTR7 WAF Log biçiminde engellenmeyen isteklerin log satırı susturulur; yalnızca engellenen istekler için saldırı bilgisinin JSON'u gönderilir (örnek log).
• Nerede açılırLoad Balancer → Profiles → Logs · vService düzenleme formu → Details → LOG
• Gereksinim Load Balancer alanında değiştirme yetkisi (Logs profili ve vService formu Load Balancer ekranlarındadır); vService'te WAF açık; TR7'den SIEM'e syslog erişimi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Profil formunu aç

Load Balancer → Profiles → Logs → Add ile profil formu açılır (nasıl eklenir).

2

Adım 2 Log adresini gir

Name girilir; Log Addresses satırında protokol, SIEM'in adresi (ör. 192.0.2.50) ve portu (ör. 514) girilir.

3

Adım 3 Biçimi seç

Line Format = TR7 WAF Log seçilir. Satırın SIEM'de doğrudan JSON olarak ayrıştırılması için Log Standard = raw seçilir; başka bir standartta satırın önüne syslog başlığı eklenir (log ayrıştırma).

4

Adım 4 Profili kaydet

Formdaki Add'e tıklanır.

5

Adım 5 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService'e sağ tıklanıp Edit seçilir.

6

Adım 6 LOG'u işaretle ve profili seç

Details panelinde LOG işaretlenir ve Log Profile alanında profil seçilir.

7

Adım 7 Kaydet

Save'e tıklanır. Cluster kurulumunda değişiklik varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1SIEM satırıSIEM tarafı

Engellenen bir test isteği ve normal bir istek gönderilir; SIEM'e gelen satırlara bakılır.

Komut: curl -s -o /dev/null -w '%{http_code}' 'https://www.example.com/cmd.exe'

BeklenenYalnızca engellenen istek için {"uid":"…","totalScore":8,"action":"block","attacks":[…],"wafTime":…}

Blocking modunda taraması süre sınırı içinde tamamlanamadığı için engellenen istek de satır üretir; bu satırda uid ve action anahtarları bulunmaz.

Yöntem 2: CEF ya da TR7 JSON ve SIEM'de Süzme

• Nasıl çalışırCEF Format ve TR7 JSON Format bütün istekleri gönderir; saldırı bulunan isteklerde wafInfo alanı dolu gelir, saldırı yoksa {} olur. Engellenen, Monitor modunda geçirilen ve Teacher tarafından tanınan saldırılar wafInfo içindeki action anahtarıyla (block, monitor, fpc) ayrılır.
• Nerede açılırLoad Balancer → Profiles → Logs → Line Format = CEF Format ya da TR7 JSON Format
• Gereksinim Load Balancer alanında değiştirme yetkisi (Logs profili ve vService formu Load Balancer ekranlarındadır); SIEM'de satır süzme kuralı
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Profili oluştur ve bağla

Yöntem 1'in adımları izlenir; Line Format olarak CEF Format ya da TR7 JSON Format seçilir (WAF loglarını SIEM'e nasıl gönderirim; hangi formatlar saldırı bilgisini yapısal taşır (CEF, JSON)?).

2

Adım 2 SIEM'de süz

SIEM'de wafInfo alanı {} olmayan satırlar saldırı kaydı olarak ayrılır; yalnızca engellenenler için isWafAttack = 1 koşulu kullanılır.

Doğrulama

1SIEM süzgeciSIEM tarafı

Host grubu Monitor modunda olan bir vService'e saldırı içeren istek gönderilir ve süzülmüş sonuca bakılır.

BeklenenwafInfo içinde "action":"monitor"; isWafAttack 1 değil

Sık Yapılan Hatalar

• Host grubu Monitor modundayken TR7 WAF Log seçmek. Monitor modunda saldırı içeren istek engellenmediği için SIEM'e satır gitmez; izleme döneminde Yöntem 2 kullanılır.
• WAF'ı açık olmayan vService'e TR7 WAF Log profili bağlamak. Bu biçim, düzenleme formunda WAF kutusu işaretli olmayan vService'te log satırı üretmez.
• Log Standard'ı raw dışında bırakıp satırı JSON olarak ayrıştırmaya çalışmak. Syslog başlığı satırın önüne eklendiğinden JSON ayrıştırması doğrudan çalışmaz.
• Event Logs ile SIEM'in aynı kayıtları taşıdığını sanmak. Event Logs Monitor, Teacher ve eşik altı Monitor durumundaki imza kayıtlarını da tutar; TR7 WAF Log yalnızca engellenenleri gönderir.

Dokümantasyonda nasıl yapılır

• TR7 WAF Log · Format hakkında
• TR7 WAF Log · Örnek log
• CEF Format · WAF bilgileri
• Logs profili · Formatlar

İlgili sorular

• WAF loglarını SIEM'e nasıl gönderirim; hangi formatlar saldırı bilgisini yapısal taşır (CEF, JSON)?
• SIEM'e gönderilen saldırı alanları nelerdir (score, severity, scope, name, category, CWE, MITRE, CAPEC, OWASP, target)?
• Hangi HTTP ve TCP log formatları destekleniyor (Standard, Apache Combined, Apache VHost, CEF, TR7 JSON, TR7 WAF, Manual JSON, Manual CEF, Manual log line)?