Saldırı payload'ı SIEM'e gönderilir mi (Same as 'detailed log' / Always Send / Never Send)?

Kısa cevap

Gönderimi SIEM & Attack Details kartındaki Attack Payload in WAF Info ayarı belirler; payload her saldırı kaydının payload anahtarında, eşleşen içerik ve çevresindeki kısa bağlamla gönderilir. Same as 'detailed log' (varsayılan): saldırının yakalandığı denetim alanında Detailed Log açıksa eşleşen içerik gönderilir; kapalıysa imza isabetinde payload anahtarı yazılmaz. Always Send: eşleşen içerik Detailed Log ayarından bağımsız gönderilmek istenir; ancak bu seçenek Detailed Log kapalı bir denetim alanında içerik üretemez ve o isteğin taraması yarıda kalır, bu yüzden Always Send seçiliyken denetim alanlarında Detailed Log açık tutulur. Never Send: payload hiç yazılmaz. Yapısal denetim ve kara liste isabetlerinin açıklamaları Never Send dışındaki seçeneklerde her zaman gönderilir. Payload, istekteki gerçek saldırı dizesini taşıdığı için SIEM'e giden kanal ve SIEM'deki erişim buna göre korunur.

Seçenekler

Seçenek	Detailed Log açık alanda	Detailed Log kapalı alanda	Kart cümlesi
Same as 'detailed log' (varsayılan)	Eşleşen içerik ve bağlamı	payload yok	The attack payload is sent in sync with the detailed-log setting
Always Send	Eşleşen içerik ve bağlamı	İçerik üretilemez, tarama yarıda kalır (aşağıdaki uyarı)	The attack payload is always sent
Never Send	payload yok	payload yok	The attack payload is never sent

Always Send ve Detailed Log

Always Send seçiliyken Detailed Log kapalı bir denetim alanında imza eşleşirse içerik çıkarılamaz ve isteğin taraması yarıda kalır; Block Unexpected Parser Errors açıksa böyle bir istek engellenir. İçeriğin her alanda gönderilmesi isteniyorsa denetim alanlarının Detailed Log ayarı açılır; aksi hâlde Same as 'detailed log' kullanılır (edit uyarısı).

• Payload yalnızca saldırı bilgisinin bir alanıdır; SIEM'e gitmesi için vService'e saldırı bilgisini taşıyan bir log profili (CEF Format, TR7 JSON Format, TR7 WAF Log ya da %WAFINFO kullanan Manual biçim) atanmış olmalıdır (WAF loglarını SIEM'e nasıl gönderirim; hangi formatlar saldırı bilgisini yapısal taşır (CEF, JSON)?).
• Event Logs'taki Description satırı aynı kaynaktan gelir: Detailed Log kapalı alanda Detailed log disabled yazar ("Detailed Log" seçeneği ne yapar; kapatırsam log düşer mi?).
• Blocking modunda taraması süre sınırı içinde tamamlanamadığı için engellenen istekte saldırı kaydı payload taşımaz.

TR7'de Ayarlama

WAF Management sekmesinde SIEM & Attack Details kartının kalem ikonuna tıklanır; Attack Payload in WAF Info seçilip Edit tıklanır (SIEM & Attack Details Edit ekranı). Ayrı bir dağıtım adımı yoktur; ayar vService genelindedir.

WEB-CLI'da ayar --wafInfoPayload alanıdır: 1 Always Send, 0 Never Send; alan boş (tanımsız) bırakıldığında Same as 'detailed log' geçerlidir (WAF bilgi içeriği).

Sık Karıştırılan Noktalar

• "Never Send açıklamayı da gönderir." Never Send seçiliyken payload anahtarı hiç yazılmaz; kural açıklaması da gönderilmez.
• "Always Send Detailed Log'u gereksiz kılar." Detailed Log kapalı alanlarda içerik üretilemez; bu alanlarda Detailed Log açılır.
• "Payload isteğin bütün gövdesidir." Payload eşleşen dilim ve çevresindeki kısa bağlamdır; saldırı bilgisi isteğin gövdesini taşımaz (İstek gövdesi (body) loga yazılıyor mu?).

Dokümantasyonda nasıl yapılır

• SIEM & Attack Details · Attack Payload in WAF Info
• SIEM & Attack Details · Edit
• WEB-CLI · waf options · WAF bilgi içeriği

İlgili sorular

• "Detailed Log" seçeneği ne yapar; kapatırsam log düşer mi?
• SIEM'e gönderilen saldırı alanları nelerdir (score, severity, scope, name, category, CWE, MITRE, CAPEC, OWASP, target)?
• WAF loglarını SIEM'e nasıl gönderirim; hangi formatlar saldırı bilgisini yapısal taşır (CEF, JSON)?