WAF logları ne kadar süre saklanır?

Kısa cevap

Event Logs için ayrı bir saklama ayarı yoktur; cihaz genelindeki Disk Management kuralları uygulanır ve Auto Disk Cleanup WAF loglarını da siler. Temizlik her gün 02:00'de iki sınırla çalışır: % Limit for Auto Disk Cleanup (varsayılan %90, 70–95 arası) aşıldığında yer açılana kadar en eski aydan başlayarak aylık dosyalar silinir; Month Limit for Auto Disk Cleanup (varsayılan 12, en az 1) değerinden daha eski aylar silinir. Silinen türler File Management sekmesindeki adlarıyla WAF Logs (WAF Report'ların okuduğu saatlik özetler dahil), Learning, Threat Event Logs, AGS Audit Logs, Report Logs ve Diagnostic Logs (debug & HTTP)'tir; Stats (Dashboard ve Home grafikleri), Report Summaries ve OLD Stat Summaries korunur. AI Learning ve Teacher geçmişi ile öğrenmeyi geri alma kayıtları bu temizliğin kapsamında değildir. Cluster kurulumunda her cihaz yalnızca kendi diskini temizler; File Management sekmesi aylara göre boyutları gösterir ve bir ayın dosyalarının elle silinmesini sağlar. Uzun süreli saklama gerekiyorsa kayıtlar Logs profiliyle SIEM'e gönderilir; SIEM'deki kopya cihazın temizliğinden etkilenmez.

Nasıl Çalışır?

Veri	Saklama
Event Logs kayıtları (File Management'ta WAF Logs)	vService başına, saat başına bir dosya; iki saatten eski dosyalar sıkıştırılır ve okunurken açılır. WAF Report ve Global WAF Report'un kullandığı saatlik özetler de aynı türdedir. Silinme Auto Disk Cleanup kurallarına bağlıdır
Öğrenme günlüğü (File Management'ta Learning; Analysis & Learning'in okuduğu veri)	Aynı kurallarla silinir
Dashboard ve Home istatistikleri (File Management'ta Stats)	Otomatik temizlikte korunur; çözünürlük eskidikçe kabalaşarak 10 yıla kadar saklanır (Dashboard)
WAF Report ve Global WAF Report çıktıları	Cihazda saklanmaz; üretildikleri sekmede görüntülenir ya da indirilir (WAF Report)
Notification Logs	Ayrı tutulur; ekrandan silinmez
SIEM'e gönderilen satırlar	Cihazın temizliğinden bağımsız; saklama süresi SIEM'de belirlenir (uyumluluk gereksinimleri)

Örnek: Month Limit for Auto Disk Cleanup = 12 iken Ekim ayındaki gece temizliği, bir önceki yılın Eylül ayı ve daha eski ayların dosyalarını siler. Disk doluluğu %90'ı aşarsa bu sınırı beklemeden en eski aylar, doluluk sınırın altına inene kadar silinir.

Auto Disk Cleanup WAF Loglarını da Siler mi?

Evet. Settings → Device Management → Disk Management → Disk State → Auto Disk Cleanup ile ayarlanan temizlik, korunan üç tür dışındaki bütün dosya türlerini siler. Türler File Management sekmesindeki adlarıyla:

File Management'taki tür	Auto Disk Cleanup	İçerik
WAF Logs	Silinir	Event Logs ve Global WAF Event Log kayıtları; WAF Report ve Global WAF Report'un okuduğu saatlik özetler dahil
Learning	Silinir	Analysis & Learning'in okuduğu öğrenme günlüğü
Threat Event Logs	Silinir	L7 DDoS & Threat Protection olay logları
AGS Audit Logs	Silinir	AGS denetim kayıtları
Report Logs	Silinir	Reports profili atanmış vService'lerde Load Balancer tarafındaki Report ekranı için tutulan saatlik ham trafik kayıtları; WAF kayıtlarıyla ilgisi yoktur
Diagnostic Logs (debug & HTTP)	Silinir	Debug ve HTTP tanılama logları
OLD Stats, OLD Compressed Stats, Obsolete Stats	Silinir	Eski biçimli ve artık kullanılmayan istatistik dosyaları
Stats	Korunur	Dashboard ve Home grafiklerinin istatistikleri
Report Summaries	Korunur	Report Logs kayıtlarından üretilen saatlik rapor özetleri
OLD Stat Summaries	Korunur	Eski istatistik özetleri

• Silinen bir ayın Event Logs, Global WAF Event Log, WAF Report ve Global WAF Report verisi geri gelmez; o döneme ait Dashboard grafikleri ise Stats korunduğu için görünmeye devam eder.
• AI Learning ve Teacher geçmişi ile öğrenmeyi geri alma (Revert learning) için kullanılan öğrenme kayıtları ayrı tutulur; Auto Disk Cleanup bunlara dokunmaz.
• % Limit for Auto Disk Cleanup yalnızca kayıtların tutulduğu veri diskinin doluluğuna bakar; sınır aşıldığında içinde bulunulan ay da silinebilir.
• Otomatik temizlikte silinen dosyalar kullanıcı loglarına [Auto disk cleanup (>N month)] ya da [Auto disk cleanup (>N%)] etiketiyle yazılır.

Saklama Süresini Değiştirmek

Settings → Device Management → Disk Management ekranındaki Disk State sekmesindeki Auto Disk Cleanup butonuyla açılan düzenleme sekmesinde iki sınır değiştirilir; kural cihaz genelinde bütün log türlerine uygulanır. Ayrıntı ve adımlar: Loglar cihazda ne kadar süre tutulur?

• Bir ayın dosyalarını beklemeden silmek için File Management sekmesinde ay seçilip silinir; aylık boyutların ayrıntısı View Usage Details ile görülür.
• Daha uzun saklama gerekiyorsa ay sınırını büyütmek yerine kayıtlar SIEM'e gönderilir; disk dolduğunda doluluk sınırı ay sınırından önce devreye girer (WAF loglarını SIEM'e nasıl gönderirim; hangi formatlar saldırı bilgisini yapısal taşır (CEF, JSON)?).

Sık Karıştırılan Noktalar

• "WAF loglarının kendi saklama süresi vardır." Event Logs için ayrı bir ayar yoktur; cihaz genelindeki Auto Disk Cleanup kuralları uygulanır.
• "Kayıt silinince Dashboard grafikleri de kaybolur." Dashboard istatistikleri ayrı tutulur ve otomatik temizlikte korunur.
• "Cluster'da bir cihazda yapılan elle silme eş cihaza da uygulanır." Her cihaz kendi diskini yönetir (Cluster'da WAF logları hangi cihazdan gelir; Event Logs'ta cihazı nasıl ayırt ederim?).

Dokümantasyonda nasıl yapılır

• Disk Management · Auto Disk Cleanup
• Disk Management · File Management
• Event Logs · Log hangi durumda üretilir?
• Logs profili · Uyumluluk gereksinimleri

İlgili sorular

• Loglar cihazda ne kadar süre tutulur?
• WAF loglarını SIEM'e nasıl gönderirim; hangi formatlar saldırı bilgisini yapısal taşır (CEF, JSON)?
• Event Logs nedir; hangi istekler loglanır?