Monitor modunda WAF ne yapar?

Kısa cevap

Monitor Mode'da WAF, Blocking modundakiyle aynı denetimi yapar: imza taraması, yapısal ve alan denetimleri ve puanlama tamdır, engelleme kararı da hesaplanır ama uygulanmaz. Puanı eşiğe ulaşan istek Kurum Servisine geçirilir ve bütün saldırı ayrıntısıyla Event Logs'a Not blocked — Monitor mode kararıyla yazılır; Dashboard'daki WAF Inspection Distribution panelinde Monitor serisinde sayılır. Bu modda kural seti gerçek trafikte engelleme yapmadan çalışır ve sonuçları izlenir; false positive'ler Event Logs'tan Allow / Teach ile öğretilir. Monitor modu koruma sağlamaz; bu modda WAF saldırı puanına göre hiçbir isteği engellemez.

Monitor Modunda

İstek	Sonuç	Event Logs (Action)	WAF Inspection Distribution
Puan ≥ eşik	Geçirilir	Not blocked — Monitor mode	Monitor
Puan < eşik, ama State = Monitor olan bir imza eşleşti	Geçirilir	Not blocked — Monitor mode	Clean
Puan < eşik, yalnızca Enabled imzalar eşleşti	Geçirilir	Kayıt yok	Clean
Teacher kimliği, puan ≥ eşik	Geçirilir	Not blocked — Teacher IP matched (kimliğe göre Teacher cookie ya da Teacher header)	Teacher
Conditional Learning kimliği	Learning modundaki gibi işlenir, geçirilir	Kayıt yok	Learning
Taraması 2 saniyelik süre sınırı içinde tamamlanamaz	Geçirilir (tarama kurallar yüklenirken ve host grubu belirlenmeden kesildiyse ve vService'te Blocking modunda bir grup varsa engellenir)	Kayıt yok	Gösterilmez

• Taraması 2 saniyelik süre sınırı içinde tamamlanamayan istek Monitor modunda Kurum Servisine geçirilir ve WAF kaydı bırakmaz (tek istisna, taramanın WAF kuralları yüklenirken ve host grubu belirlenmeden kesilmesidir: vService'te Blocking mode'da bir grup varsa bu istek engellenir (WAF Mode · Blocking Mode)); vService'te Debug Mode açık olsa da Debug Mode Logs kaydında WAF kararı görünmez. Aynı istek Blocking Mode'daki bir grupta engellenir; engellenen bu istek de Event Logs'a yazılmaz, Debug mode açıksa Debug Mode Logs'ta Attack blocked — scan timed out kararıyla görünür. Request Body Limits penceresindeki Fail-open açıksa Blocking modunda da geçirilir (Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?).
• Puan ve eşik Blocking modundakiyle aynı kurallarla hesaplanır: eşik, vService'in OWASP Protection Level değeridir (varsayılan Very tight, 4) (TR7 WAF bir isteği engelleyip engellememeye nasıl karar verir?).
• Dashboard'daki WAF Blocked Requests paneli bu modda artmaz; eşiğe ulaşan istekler WAF Detected Attack Requests panelinde sayılır.
• Bildirimlerde Block Threshold (per sec) yalnızca engellenen istekleri sayar; Monitor modundaki saldırı yoğunluğu için Detected Attack Threshold (per sec) kullanılır.
• Kayıtların incelenmesi: operasyonel en iyi uygulamalar · Meşru kullanıcıları yanlışlıkla engelliyorum; nasıl tespit ederim?

Sık Karıştırılan Noktalar

• "Monitor modunda denetim hafiftir." Denetim Blocking Mode ile birebir aynıdır; yalnızca engelleme uygulanmaz.
• "Monitor modu ile imzanın Monitor durumu aynıdır." İmzanın State değeri yalnızca o imzayı etkiler; mod bütün Virtual Host Group'u.
• "Event Logs'taki her Monitor mode kaydı Blocking'de engellenecek bir istektir." Monitor modunda State = Monitor olan bir imzanın eşik altı eşleşmeleri de aynı kararla yazılır; bu istekler Blocking modunda da engellenmez. Bu kayıtlar Event Logs'ta Log Filter'ın Monitor Only alanıyla ayrılır; vService'te Debug Mode açıksa Debug Mode Logs önizlemesindeki WAF kutusunun Verdict satırında da Not blocked — Below the blocking threshold olarak görünür.
• "Monitor modunda saldırılar engellenir." Saldırılar geçer (Monitor modunda kalmanın riski nedir; Monitor modu için bir süre sınırı var mı?).

Dokümantasyonda nasıl yapılır

• WAF Mode · Monitor Mode
• Event Logs · Action değerleri
• Event Logs · Operasyonel en iyi uygulamalar
• Dashboard · WAF Inspection Distribution

İlgili sorular

• Monitor modunda kalmanın riski nedir; Monitor modu için bir süre sınırı var mı?
• Blocking modunda WAF ne yapar?
• Meşru kullanıcıları yanlışlıkla engelliyorum; nasıl tespit ederim?