Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Blocking modunda WAF ne yapar?
Kısa cevap
Blocking Mode tam koruma modudur: istek denetlenir, imza eşleşmeleri ve yapısal ihlaller puanlanır ve toplam puan OWASP Protection Level ile belirlenen eşiğe ulaşırsa (eşit ya da büyükse) istek Kurum Servisine iletilmeden engellenir. İstemciye Blocking Page içeriği ve Blocking Status Code (varsayılan 418) döner; Conditional Blocking Pages tanımlıysa koşulu ilk eşleşen sayfa ve onun durum kodu kullanılır. Engellenen istek Event Logs'a Attack blocked kararıyla yazılır ve Dashboard'daki WAF Inspection Distribution panelinde Blocked serisinde sayılır. Taraması 2 saniyelik süre sınırı içinde tamamlanamayan istek de, denetlenmemiş bir istek Kurum Servisine ulaşmasın diye engellenir ve Event Logs'a yazılmaz; Request Body Limits penceresindeki Fail-open açıkken bu istekler taranmadan geçirilir. Teacher ve Conditional Learning kimliğiyle gelen istekler (taramaları süre sınırı içinde tamamlanamasa bile) ile whitelist tarafına (Do not WAF static contents, Whitelist Condition) uyan istekler Blocking modunda da engellenmez.
Blocking Modunda
| İstek | Sonuç | Event Logs (Action) |
|---|---|---|
| Puan ≥ eşik | Engellenir (TR7 WAF bir isteği engelleyip engellememeye nasıl karar verir?) | Attack blocked |
| Puan < eşik | Geçer | Kayıt yok |
| Puan < eşik, ama State = Monitor olan bir imza eşleşti | Geçer | Not blocked — Below the blocking threshold |
| Teacher açık ve istek Teacher kimliğini taşıyor | Geçer | Puan ≥ eşik ise ya da State = Monitor olan bir imza eşleştiyse Not blocked — Teacher IP matched (kimliğe göre Teacher cookie ya da Teacher header) |
| Conditional Learning kimliği | Learning modundaki gibi işlenir, geçer (Blocking modundayken belirli trafiği yine de öğrenmeye devam ettirebilir miyim (Conditional Learning)?) | Kayıt yok |
| Do not WAF static contents kapsamındaki statik içerik ya da Whitelist Condition'a uyan istek | WAF denetimine girmez | Kayıt yok |
| Blacklist Protection açık ve kaynak IP kara listede (Blacklist IP Category listeleri ya da Frontend Blacklist) | 100 puan eklenir; en gevşek eşik 24 olduğundan engellenir (Frontend Blacklist Exclusions'taki adresler hariç) | Attack blocked |
| Taraması 2 saniyelik süre sınırı içinde tamamlanamaz | Engellenir; Fail-open açıksa taranmadan geçirilir | Kayıt yok; vService'te Debug Mode açıksa Debug Mode Logs'ta Attack blocked — scan timed out (Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?) |
- Engelleme kararı tarama bittikten sonra verilir; isteğin bütün bölümleri taranır ve bütün eşleşmeler aynı kayda yazılır.
- vService'te Bot/DDoS koruması da açıksa onun engelleme aksiyonları WAF'ın engelleme yanıtından önce değerlendirilir (Blocking Page).
- Engellenen isteklerin izlendiği yerler: Dashboard'daki WAF Blocked Requests paneli ve Event Logs. Engelleyen kuralın bulunması: Meşru kullanıcılar engelleniyor; hangi kuralın engellediğini nasıl bulurum?
Sık Karıştırılan Noktalar
- "Blocking modunda yalnızca eşiği aşan istekler engellenir." Puanı eşiğe eşit olan istek de engellenir; eşik OWASP Protection Level değeridir (varsayılan Very tight, 4).
- "418 her zaman aynı sayfayla döner." 418 varsayılan Blocking Status Code değeridir; kod değiştirilebilir ve Conditional Blocking Pages kendi durum kodunu kullanabilir.
- "Blocking modunda öğrenme durur." Öğrenme yöntemleri moddan bağımsız çalışır; Blocking modundaki grupta Conditional Learning ile yeni sayfalar öğretilebilir.
Dokümantasyonda nasıl yapılır
