Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Hangi moddayken Event Logs kaydı oluşur, hangisinde oluşmaz; eşik altında kalan saldırılar da loglanır mı?
Kısa cevap
Event Logs kaydı yalnızca Monitor ve Blocking modlarında oluşur; Learning Mode'da istekler öğrenme günlüğüne yazılır ve Event Logs boş kalır, bu saldırı olmadığı anlamına gelmez. Monitor ve Blocking modlarında kayıt iki durumdan birinde yazılır: toplam puan engelleme eşiğine ulaştıysa ya da State değeri Monitor olan bir imza eşleştiyse. Eşiğin altında kalan ve yalnızca Enabled imzaların eşleştiği istekler hiçbir modda loglanmaz. Conditional Learning kimliğiyle gelen istekler Blocking modunda da loglanmaz; Blocking modunda taraması 2 saniyelik süre sınırı içinde tamamlanamadığı için engellenen istekler de Event Logs'ta görünmez; Debug Mode açıksa Debug Mode Logs'ta görünür.
Kayıt Oluşur mu?
| Durum | Learning mode | Monitor mode | Blocking mode |
|---|---|---|---|
| Puan ≥ eşik | Hayır | Evet · Not blocked — Monitor mode | Evet · Attack blocked |
| Puan < eşik, State = Monitor olan bir imza eşleşti | Hayır | Evet · Not blocked — Monitor mode | Evet · Not blocked — Below the blocking threshold |
| Puan < eşik, yalnızca Enabled imzalar eşleşti | Hayır | Hayır | Hayır |
| Teacher kimliği; puan ≥ eşik ya da State = Monitor olan bir imza eşleşti | Hayır | Evet · Not blocked — Teacher IP matched (kimliğe göre Teacher cookie ya da Teacher header) | Evet · Not blocked — Teacher IP matched (kimliğe göre Teacher cookie ya da Teacher header) |
| Conditional Learning kimliği | Hayır | Hayır | Hayır |
| Do not WAF static contents kapsamındaki statik içerik, Whitelist Condition'a uyan istek | Hayır | Hayır | Hayır |
| Taraması 2 saniyelik süre sınırı içinde tamamlanamaz | Hayır; istek, kurallar yüklenirken oluşabilen bir istisna dışında geçirilir | Hayır; istek, kurallar yüklenirken oluşabilen bir istisna dışında geçirilir | Hayır; istek engellenir (Fail-open açıksa geçirilir), Debug Mode açıksa Debug Mode Logs'ta Attack blocked — scan timed out olarak görünür |
Tablodaki kararlar Event Logs'un Action kolonunda ve önizlemesinde görünür. Monitor modunda State = Monitor olan bir imzanın eşik altı eşleşmesi de Not blocked — Monitor mode olarak yazılır. Bu kayıtlar Event Logs'ta Log Filter'ın Monitor Only alanıyla ayrılır; Debug Mode Logs'ta ise Not blocked — Below the blocking threshold olarak görünür.
- Bir kayıtta isteğin eşleştiği bütün imzalar listelenir. İstek gövdesi, boyutu Max. Body Size to Log(kB) değerine (varsayılan 2 kB) sığıyorsa tamamıyla kayda yazılır; bu değeri aşan gövde kayda hiç eklenmez.
- WAF Log Suppression Condition'a uyan kayıtlar yazılır ama Event Logs listesinde gösterilmez.
- Cluster kurulumunda her cihaz kendi kaydını tutar; Event Logs iki cihazın kayıtlarını tek listede gösterir ve kaydın geldiği cihaz Source kolonunda yazar.
- Eşik altındaki eşleşmeleri görmek için ilgili imzanın State değeri Monitor yapılır (Yeni bir imzayı canlıda risksiz nasıl denerim (Monitor durumu)?).
- İsteğin engellenip engellenmediği açısından aynı durumlar: Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?
Sık Karıştırılan Noktalar
- "Event Logs boşsa saldırı yoktur." Eşik altındaki eşleşmeler ve Learning Mode kayıt üretmez; Learning modundaki trafik Dashboard'daki WAF Inspection Distribution panelinin Learning serisinde görünür.
- "Eşiği düşürmeden eşik altı eşleşmeler görülemez." İlgili imzanın State değeri Monitor yapılırsa eşik altı eşleşmeleri de kaydedilir; bu imza saldırı puanına eklenmez.
- "Engellenen her istek Event Logs'ta görünür." Blocking modunda taraması süre sınırı içinde tamamlanamadığı için engellenen istek için kayıt yazılmaz (418 alan bir istek Event Logs'ta neden görünmüyor?).
Dokümantasyonda nasıl yapılır
İlgili sorular
