Bildirimde "Blocks" ile "Detections" arasındaki fark nedir?

Kısa cevap

İkisi gelişmiş bildirim tetiğinin Count alanındaki seçeneklerdir. Blocks yalnızca saldırı puanı engelleme eşiğine ulaştığı için engellenen istekleri sayar. Detections saldırı puanı engelleme eşiğine ulaşan bütün istekleri sayar: engellenenler, host grubu Monitor modunda olduğu için geçirilenler ve Teacher tarafından tanınıp geçirilenler. Bu yüzden Detections her zaman Blocks'tan büyük ya da ona eşittir; Monitor modundaki bir host grubunda Blocks hiç artmaz. Aynı ayrım saniyelik eşiklerde de vardır: Block Threshold (per sec) engellenenleri, Detected Attack Threshold (per sec) üç durumun toplamını sayar; Dashboard'daki WAF Blocked Requests ve WAF Detected Attack Requests panelleri de aynı tanımı kullanır. Learning modundaki trafik, eşiğin altında kalan istekler (yalnızca Monitor durumundaki bir imzayı tetikleyenler dahil) ve taraması süre sınırı içinde tamamlanamayan istekler (Blocking modunda engellenenler dahil) iki sayıma da girmez.

Karşılaştırma

İstek	Blocks	Detections	Dashboard paneli
Puanı eşiğe ulaştı, host grubu Blocking modunda (engellendi)	Sayılır	Sayılır	WAF Blocked Requests ve WAF Detected Attack Requests
Puanı eşiğe ulaştı, host grubu Monitor modunda (geçirildi)	Sayılmaz	Sayılır	WAF Detected Attack Requests
Puanı eşiğe ulaştı, Teacher tarafından tanındı (geçirildi)	Sayılmaz	Sayılır	WAF Detected Attack Requests
Puanı eşiğin altında kaldı, Monitor durumundaki imza tetiklendi	Sayılmaz	Sayılmaz	Yok (Event Logs'a yazılır)
Host grubu Learning modunda ya da Conditional Learning kaynağı	Sayılmaz	Sayılmaz	-
Whitelist ya da statik içerik (denetlenmedi)	Sayılmaz	Sayılmaz	-
Taraması süre sınırı içinde tamamlanamadı (Blocking modunda engellendi; Learning ya da Monitor modunda ve Teacher ya da Conditional Learning isteğinde, kurallar yüklenirken oluşabilen bir istisna dışında, geçirildi)	Sayılmaz	Sayılmaz	-

Sayım, isteğin WAF Inspection Distribution'daki sonucuna göre yapılır: Blocks = Blocked; Detections = Blocked + Monitor + Teacher (WAF Inspection Distribution'daki Whitelisted, Clean, Blocked, Monitor, Teacher, Learning kategorileri ne anlama gelir?).

Hangisi Ne Zaman Seçilir?

Durum	Uygun sayım
Host grupları Monitor modunda; engellemeye geçmeden önce saldırı yoğunluğu izleniyor	Detections
Host grupları Blocking modunda; yalnızca fiilen engellenen trafik önemli	Blocks
Teacher kaynaklarının (test, tarama araçları) ürettiği saldırılar da görülmek isteniyor	Detections
Rapor ekinde yalnızca engellenen kayıtlar istenen bir gelişmiş tetik	Blocks (rapor eki engellenen kayıtlarla sınırlanır)

Notifications kartındaki özet cümlesinde Blocks blocks, Detections detections olarak yazılır; bildirim metninde WAF blocks ve detected WAF attacks ifadeleri kullanılır.

Sık Karıştırılan Noktalar

• "Detections, Event Logs'taki her kaydı sayar." Eşiğin altında kalıp yalnızca Monitor durumundaki bir imzayı tetikleyen istekler Event Logs'a yazılır ama Detections sayımına girmez.
• "Monitor modunda Blocks tetiği de çalışır." Monitor modunda istek engellenmediği için Blocks sayacı artmaz; izleme döneminde Detections seçilir.
• "Learning modundaki saldırılar Detections'a girer." Learning modunda kurallar uygulanmaz; bu trafik iki sayıma da girmez.

Dokümantasyonda nasıl yapılır

• Notifications · Count
• Notifications · Detected Attack Threshold (per sec)
• Dashboard · WAF Detected Attack Requests

İlgili sorular

• Gelişmiş bildirimlerde kapsam (Global, Source IP, Source Subnet, Country, ASN, Host Header …) nasıl çalışır?
• WAF Inspection Distribution'daki Whitelisted, Clean, Blocked, Monitor, Teacher, Learning kategorileri ne anlama gelir?
• Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?