WAF Time değeri tam olarak neyi ölçer?

Kısa cevap

WAF Time, WAF denetiminin o istek için harcadığı işlemci (CPU) süresidir; milisaniye cinsindendir ve mikrosaniye hassasiyetle, üç ondalıkla tutulur. Ölçüm WAF denetimi başladığında başlar ve isteğin son puanı hesaplandığında, kayıt yazılmadan önce biter. Kapsadığı iş yolun normalleştirilmesi, host grubu ve kural eşleme, gövdenin ayrıştırılması (JSON, XML, form), bütün denetim alanlarında imza taraması, yapısal denetimler ve puanlamadır. Kapsamadığı süreler: WAF'a girmeden verilen whitelist kararı, gövdenin istemciden gelmesini bekleme, Event Logs kaydının yazılması, engelleme yanıtının üretilmesi, Kurum Servisinin yanıt süresi ve ağ gecikmesi. Değer duvar saati değil işlemci süresi olduğundan beklemeler sayılmaz; yoğun anlarda aynı anda işlenen başka istekler değeri büyütebilir. Değer yalnızca Event Logs kaydı yazılan isteklerde, kayıt önizlemesinin Request & Location sekmesinde görülür.

Nasıl Çalışır?

Süreye dahil	Süreye dahil değil
Yolun normalleştirilmesi, host grubu ve kural eşleme	Whitelist Condition ve statik içerik muafiyeti (bu istekler WAF'a hiç girmez)
Gövdenin ayrıştırılması (JSON, XML, form)	Gövdenin istemciden gelmesini bekleme (Wait for body for a time)
Bütün denetim alanlarında imza taraması	Event Logs kaydının yazılması
Structure Checks ve Argument Checks	Engelleme yanıtının üretilmesi
Saldırı puanının hesaplanması	Kurum Servisinin yanıt süresi ve ağ gecikmesi

• Süreyi büyüten etkenler: büyük ya da derin yapılı gövdeler (Max. Body Size to Process(kB) ne kadar gövdenin işleneceğini belirler), çok sayıda parametre ve daha fazla imzayı etkinleştiren OWASP Protection Level.
• Blocking modunda taraması süre sınırı içinde tamamlanamadığı için engellenen istekte SIEM'e giden saldırı bilgisindeki wafTime değeri sabit 2000'dir. Bu bir ölçüm değil, zaman aşımının işaretidir; bu istek Event Logs'a yazılmaz (Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?). Learning ya da Monitor modunda, Teacher ya da Conditional Learning isteğinde ve Fail-open açıkken bu istekler geçirilir ve saldırı bilgisi boş ({}) kalır.

Nerede Görülür?

Yer	Gösterim
Event Logs → önizleme → Request & Location	WAF Time satırı
WAF Report → Traffic	WAF Time dağılımı: <0.1ms, 0.1ms-0.5ms, 0.5ms-1ms, 1-10ms, 10-100ms, 100-1000ms, >1s
SIEM (CEF Format, TR7 JSON Format, TR7 WAF Log)	wafTime anahtarı

Adımlar: Bir isteğin WAF'ta ne kadar süre harcadığını görebilir miyim (WAF Time)?

Sık Karıştırılan Noktalar

• "WAF Time kullanıcının beklediği ek süredir." Değer yalnızca WAF denetiminin işlemci süresidir; gövdenin beklenmesi, Kurum Servisi yanıtı ve ağ gecikmesi dahil değildir. WAF'ın genel yükünün izlenmesi: WAF'ın bir isteğe eklediği süreyi nasıl ölçerim; hangi isteklerde görülür?
• "Temiz isteklerin WAF süresi de görülür." Süre yalnızca Event Logs kaydı yazılan isteklerde tutulur.
• "2000 değeri iki saniyelik yavaş bir taramadır." Bu sabit değer, taraması süre sınırında kesilip engellenen isteğin işaretidir.

Dokümantasyonda nasıl yapılır

• CEF · WAF info yapısı
• Event Logs · Request & Location sekmesi
• WAF Report · HTML raporu

İlgili sorular

• Bir isteğin WAF'ta ne kadar süre harcadığını görebilir miyim (WAF Time)?
• WAF'ın bir isteğe eklediği süreyi nasıl ölçerim; hangi isteklerde görülür?
• WAF sitemi yavaşlatır mı?