SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

İleri

Gelişmiş bildirimlerde kapsam (Global, Source IP, Source Subnet, Country, ASN, Host Header …) nasıl çalışır? ​

Kısa cevap

Scope, gelişmiş bildirim tetiğinin neye göre sayacağını belirler: kapsamın her değeri (her kaynak IP, her ağ, her ülke, her ASN, her host) için ayrı bir sayaç tutulur ve Window süresi içindeki sayı Threshold değerini aşan her değer için ayrı bildirim gönderilir. Global (all traffic) bütün trafiği tek sayaçta toplar; Source IP istemci adresine, Source Subnet IPv4 Prefix (varsayılan 24) ve IPv6 Prefix (varsayılan 64) uzunluğundaki ağa, Country ülkeye, ASN istemcinin ASN değerine, Network Type Group ve Network Type Category ağ tipine, Host Header isteğin Host başlığına göre sayar. Her kapsamın en düşük eşiği vardır (ör. Source IP 5, Global 20). Pencere 30 saniye ile 1 saat arasındadır; sayı eşiğin %80'inin altına inince alarm kapanır, sürerken bildirim belirli aralıklarla yinelenir. Bir vService'te en fazla 6 tetik tanımlanır; Advanced Notifications WAF Management'taki Notifications penceresinde yer alır.

Nasıl Çalışır? ​

Bir tetik beş parçadan oluşur: Scope, Count (Blocks ya da Detections), Window, Threshold ve isteğe bağlı Report Attachment. Yeni tetik Country, Blocks, 5 dakika ve 100 değerleriyle gelir.

ScopeSayacın anahtarıEn düşük ThresholdReport Attachment
Global (all traffic)Tek sayaç; bütün trafik20Var (filtresiz rapor)
Source IPİstemcinin IP adresi5Var (o IP'ye göre)
Source Subnetİstemci adresinin ağı: IPv4 Prefix 8–32 (varsayılan 24), IPv6 Prefix 16–128 (varsayılan 64)10Var (o ağa göre)
Countryİstemcinin ülkesi10Var (o ülkeye göre)
ASNİstemci adresinin ASN değeri10Var (o ASN'e göre)
Network Type Groupİstemci ağının tip grubu10Yok
Network Type Categoryİstemci ağının tip kategorisi20Yok
Host Headerİsteğin Host başlığı (küçük harfe çevrilerek)10Var (o host'a göre)
  • Count: Blocks yalnızca engellenen istekleri, Detections engellenen, Monitor modunda geçirilen ve Teacher tarafından tanınan saldırı isteklerini sayar (Bildirimde "Blocks" ile "Detections" arasındaki fark nedir?).
  • Threshold kapsamın en düşük değerinin altında girilemez; form Threshold for this scope must be at least … uyarısı verir.
  • Window 30 saniye ile 1 saat arasında olmalıdır; sayım son pencere süresindeki istekler üzerinden yapılır.
  • Aynı kapsam iki farklı prefix uzunluğuyla kullanılırsa her biri ayrı sayaç tutar.
  • Ülke ve ağ tipi, cihazdaki coğrafi IP ve ağ tipi veritabanından çözülür (IP Intelligence & Reputation).

Alarm, Yineleme ve Kapanış ​

DurumDavranış
Bir anahtar eşiği aştıBildirim gönderilir (ör. "web": WAF blocks from IP 198.51.100.7 over the threshold: …)
Alarm sürüyorBildirim pencere süresinin 6 katında bir yinelenir; aralık en az 30 dakika, en fazla 2 saattir (5 dakikalık pencerede 30 dakikada bir)
Sayı eşiğin %80'inin altına indiAlarm kapanır; kapanış bildirimi yalnızca en az bir kez yinelenmiş alarmlar için gönderilir
Çok sayıda anahtar aynı anda eşiği aştıAynı anda en fazla 100 anahtar alarmda tutulur, her değerlendirme turunda en fazla 10 yeni alarm açılır; sınır dolduğunda ayrı bir uyarı bildirimi gönderilir

Bildirimler Notification Logs ekranında Advanced WAF Notification adıyla görülür. Report Attachment seçiliyse e-postaya, alarm penceresini kapsayan ve tetikleyen anahtara göre filtrelenmiş WAF raporu eklenir; Blocks sayımında rapor yalnızca engellenen kayıtları içerir.

TR7'de Tanımlama ​

WAF Management sekmesinde Notifications kartının kalem ikonuyla açılan pencerede Advanced Notifications anahtarı açılır, Add Trigger (+) ile tetik eklenir, alanlar doldurulup Edit tıklanır. Kanallar ve adım adım kurulum: Saldırı sayısı belirli bir eşiği aşınca bildirim alabilir miyim?

WEB-CLI'da aynı tetik --advancedNotifications.N.* alanlarıyla yazılır; N o sıradaki mevcut tetiğin yerine geçtiği için önce waf options show poolId <vService> ile ilk boş sıra bulunur. Hiç tetik yokken örnek (gelişmiş bildirimler):

text
waf options update poolId <vService> --advancedNotifications.0.scope src_ip --advancedNotifications.0.countType block --advancedNotifications.0.window.val 5 --advancedNotifications.0.window.unit m --advancedNotifications.0.limit 100

Kapsam değerleri global, src_ip, subnet, country, asn, nettype_group, nettype_category ve host; sayım değerleri block ve detect; pencere birimleri s, m ve h'dir. WEB-CLI'da kapsamın en düşük değerinin altında bir limit yazılırsa (en az 1) kayıt reddedilmez, tetik o en düşük değerle çalışır; pencere ise 30 saniye – 1 saat dışında kabul edilmez.

Sık Karıştırılan Noktalar ​

  • "Global kapsamda her IP ayrı sayılır." Global (all traffic) bütün trafiği tek sayaçta toplar; kaynak başına sayım için Source IP ya da Source Subnet seçilir.
  • "Threshold istenen kadar düşük girilebilir." Her kapsamın en düşük değeri vardır; altında değer girilemez.
  • "Alarm kapanınca her zaman bildirim gelir." Yalnızca en az bir kez yinelenmiş alarmlar için kapanış bildirimi gönderilir.
  • "Ülke ya da ağ tipi kapsamında belirli ülkeler hariç tutulabilir." WAF tetiklerinde ülke ve ağ tipi listesiyle hariç tutma yoktur; her değer ayrı sayılır.
  • "Network type kapsamlarında da rapor eki gelir." Network Type Group ve Network Type Category kapsamlarında Report Attachment sunulmaz.

Dokümantasyonda nasıl yapılır

İlgili sorular