SIEM'e gönderilen saldırı alanları nelerdir (score, severity, scope, name, category, CWE, MITRE, CAPEC, OWASP, target)?

Kısa cevap

Saldırı bilgisi (WAF info), taraması süre sınırı içinde tamamlanamadığı için engellenen istekler dışında, alan seçiminden bağımsız olarak şu üst düzey alanları taşır: uid (isteğin kimliği), totalScore (toplam saldırı puanı), action (block, monitor ya da fpc), wafTime (milisaniye) ve attacks listesi. Listedeki her saldırıda id (kural kimliği) her zaman, payload ise Attack Payload in WAF Info ayarına göre bulunur. Diğer alanlar SIEM & Attack Details kartındaki Attack Details in WAF Info listesinden seçilir: Risk Level (score), Severity (severity), Attack Area (scope), Rule Monitor State (monitor), Attack Name (name), Description (desc), Category (category) ve liste alanları CWE (cwe), MITRE ATT&CK (mitre), CAPEC (capec), OWASP Web (owaspWeb), OWASP API (owaspApi), Target (target). Varsayılan seçim Risk Level, Attack Area ve Rule Monitor State'tir. Seçilmeyen alan hiç yazılmaz; seçili liste alanı kuralda karşılık yoksa null gönderilir. WAF Info Language (English ya da Türkçe; varsayılan English) yalnızca saldırı adı, açıklama ve severity metnini etkiler.

Alanlar

Penceredeki seçenek	JSON anahtarı	İçerik	Dile bağlı mı?
Yok (her zaman)	id	Kural kimliği	-
Yok (ayara bağlı)	payload	Eşleşen içerik (Saldırı payload'ı SIEM'e gönderilir mi (Same as 'detailed log' / Always Send / Never Send)?)	-
Risk Level	score	Saldırının puanı	Hayır
Severity	severity	Saldırının puanından türetilen seviye etiketi: 50 ve üzeri Blacklist, 10 ve üzeri Structural, 8 ve üzeri Very high, 6 ve üzeri High, 4 ve üzeri Medium, 2 ve üzeri Low, altı Very low (Severity değerleri)	Evet
Attack Area	scope	Saldırının yakalandığı istek bölümü (path, query, header, form, json, xml, raw)	Hayır
Rule Monitor State	monitor	Kuralın Monitor durumunda olup olmadığı; seçiliyse her zaman true ya da false	Hayır
Attack Name	name	Kuralın adı; kullanıcı tanımlı kuralda kuralın kendi adı	Evet
Description	desc	Kuralın açıklaması	Evet
Category	category	Kuralın kategorisi	Hayır
CWE (List)	cwe	CWE kimlikleri ya da null	Hayır
MITRE ATT&CK (List)	mitre	MITRE ATT&CK teknikleri ya da null	Hayır
CAPEC (List)	capec	CAPEC kimlikleri ya da null	Hayır
OWASP Web (List)	owaspWeb	OWASP Top 10 (Web) maddeleri ya da null	Hayır
OWASP API (List)	owaspApi	OWASP API Top 10 maddeleri ya da null	Hayır
Target (List)	target	Hedef teknoloji ya da bileşenler ya da null	Hayır

Üst düzeydeki action, isteğin genel kararıdır: block engellendi, monitor Monitor modunda ya da eşik altında izlenen bir kural nedeniyle geçirildi, fpc Teacher tarafından tanındı. Saldırı başına monitor alanı ise kuralın kendi durumudur.

Örnek (varsayılan alanlar, Same as 'detailed log', Path denetiminde Detailed log açık):

{"uid":"AC10652A:D7236AA19B66:240002D","totalScore":8,"action":"block","attacks":[{"payload":"/cmd.exe","id":130005,"score":8,"monitor":false,"scope":"path"}],"wafTime":1.485}

Blocking modunda taraması süre sınırı içinde tamamlanamadığı için engellenen istekte saldırı bilgisi alan seçimini uygulamaz; uid ve action anahtarları bulunmaz ve bilgi sabittir: {"totalScore":100,"attacks":[{"id":369999,"score":100,"scope":"raw","severity":"high"}],"wafTime":2000}. Learning ya da Monitor modunda, Teacher ya da Conditional Learning isteğinde ve Fail-open açıkken bu istekler geçirilir ve saldırı bilgisi boş ({}) kalır.

TR7'de Ayarlama

WAF Management sekmesinde SIEM & Attack Details kartının kalem ikonuna tıklanır; SIEM & Attack Details penceresinde Attack Details in WAF Info listesinde alanlar işaretlenir, WAF Info Language seçilir ve Edit tıklanır (SIEM & Attack Details Edit ekranı). Kart cümlesi seçimi özetler (ör. The attack detail carries 5 fields: Risk level, Attack area, Rule monitor state +2). Ayar vService genelindedir; bütün host gruplarında geçerlidir.

WEB-CLI'da aynı alanlar --wafInfoFields.N (değerler score, severity, scope, monitor, name, desc, category, cwe, mitre, capec, owaspWeb, owaspApi, target) ve --wafInfoLang (en, tr) ile yazılır (WAF bilgi içeriği); .N o sıradaki mevcut alanın yerine geçer.

Saldırı bilgisi, vService'e atanan log profilinin biçimine göre SIEM'e gider: CEF Format ve TR7 JSON Format'ta wafInfo alanında, TR7 WAF Log'da satırın tamamı olarak (WAF loglarını SIEM'e nasıl gönderirim; hangi formatlar saldırı bilgisini yapısal taşır (CEF, JSON)?). Aynı bilgi engelleme sayfasında %WAFINFO değişkeniyle de gösterilebilir (Engelleme sayfasında hangi Smart Variable'ları kullanabilirim (%UID, %SRCIP, %WAFSCORE, %WAFINFO …); saldırı detayını göstermek güvenli mi?).

Sık Karıştırılan Noktalar

• "Seçilmeyen alan boş değerle gelir." Seçilmeyen alan saldırı kaydına hiç yazılmaz; yalnızca seçili liste alanları karşılık yoksa null gelir.
• "WAF Info Language kategori adlarını da çevirir." Dil yalnızca Attack Name, Description ve Severity metinlerini etkiler.
• "Saldırı başına monitor alanı isteğin kararıdır." İsteğin kararı üst düzeydeki action anahtarındadır.
• "Bütün alanlar kaldırılırsa saldırı listesi boş gelir." Saldırı kaydı en azından id (ve ayara göre payload) taşır.

Dokümantasyonda nasıl yapılır

• SIEM & Attack Details · Attack Details in WAF Info
• SIEM & Attack Details · WAF Info Language
• TR7 WAF Log · attacks dizisi
• WEB-CLI · waf options · WAF bilgi içeriği

İlgili sorular

• Saldırı payload'ı SIEM'e gönderilir mi (Same as 'detailed log' / Always Send / Never Send)?
• WAF loglarını SIEM'e nasıl gönderirim; hangi formatlar saldırı bilgisini yapısal taşır (CEF, JSON)?
• Engelleme sayfasında hangi Smart Variable'ları kullanabilirim (%UID, %SRCIP, %WAFSCORE, %WAFINFO …); saldırı detayını göstermek güvenli mi?