Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Learning modunda WAF ne yapar; saldırılar engellenir mi?
Kısa cevap
Hayır, saldırılar engellenmez. Learning Mode'da WAF her isteği imza taramasından geçirir ama path, başlık ve alan yapı denetimlerini çalıştırmaz ve imza isabetlerini saldırı puanına eklemez; saldırı içeren istekler ve kara listedeki adreslerden gelen istekler dahil hiçbir istek WAF kararıyla engellenmez. İstekler (path, metot, sorgu, başlıklar, gövde ve eşleşen imzalar) öğrenme günlüğüne yazılır ve Analysis & Learning bu günlükten Page Type'ları ve kural önerilerini üretir. Bu modda Event Logs'a kayıt düşmez; trafik Dashboard'daki WAF Inspection Distribution panelinin Learning serisinde sayılır.
Learning Modunda
| Davranış | |
|---|---|
| İmza taraması | Bütün istek bölümlerinde yapılır; Check Fields'taki alan bazlı OWASP anahtarları ve OWASP istisnaları yok sayılır |
| Yapısal ve alan denetimleri | Path, başlık ve alan yapı denetimleri çalışmaz; gövde boyutu, kesik gövde ve multipart/dosya yükleme denetimleri çalışır, puana girmez |
| Saldırı puanı | İmza isabetleri eklenmez; kara liste isabetinin 100 puanı eklenir ama engelleme kararı verilmez |
| Engelleme | Yok; taraması 2 saniyelik süre sınırı içinde tamamlanamayan istek de geçirilir ve öğrenme günlüğüne yazılmaz (Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?) |
| Kara liste (Blacklist Protection, Frontend Blacklist) | Eşleşme öğrenme günlüğüne işlenir; Event Logs/SIEM saldırı kaydı oluşmaz, istek engellenmez |
| Kayıt | Öğrenme günlüğü; 8 KB'tan küçük gövdeler içeriğiyle, multipart yüklemelerde dosyaların yalnızca adı, boyutu ve türü yazılır |
| Kayıt hacmi | Smart Sampling (learning log) varsayılan olarak açıktır; her istek şeklinin ilk 50 örneği tam yazılır, fazlası seyreltilir |
| Event Logs | Boş kalır |
| İzleme | Dashboard → Learning sekmesi (Learning Coverage, Learning Discovery Rate) |
- Learning modunda imza taraması istisnaları yok saydığı için öğrenme günlüğündeki imza kayıtları, aynı isteğin Monitor ya da Blocking modunda üreteceği listeden geniştir; Blocking modunda ne olacağını bu kayıtlar değil, Monitor modu kayıtları gösterir.
- Öğrenme günlüğü kendiliğinden kural üretmez; Page Type'lar Analysis & Learning çalıştırılıp sonucu uygulandığında oluşur (Analysis & Learning ile geçmiş trafikten nasıl kural üretirim?).
- Learning modundan çıkış: Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?
Sık Karıştırılan Noktalar
- "Learning modunda site korunur." Learning Mode koruma sağlamaz; koruma için grup Blocking Mode'a alınır.
- "Learning modunda saldırılar Event Logs'ta görülür." Event Logs yalnızca Monitor ve Blocking modlarında yazılır (Hangi moddayken Event Logs kaydı oluşur, hangisinde oluşmaz; eşik altında kalan saldırılar da loglanır mı?).
- "Kara listedeki adresler her modda engellenir." Kara liste eşleşmesi Learning modunda da saldırı puanına 100 olarak eklenir; ancak bu modda engelleme kararı verilmediği için istek engellenmez.
Dokümantasyonda nasıl yapılır
