Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?

Kısa cevap

Ürün modu kendiliğinden değiştirmez ve süre sınırı koymaz; geçiş Dashboard'daki öğrenme göstergelerine ve Event Logs'a bakılarak elle yapılır (önerilen yaşam döngüsü). Learning'den Monitor'a, Dashboard'un Learning sekmesinde Learning Coverage %100'e yaklaşıp düzleştiğinde, Learning Discovery Rate panelindeki New shapes (accepted) çizgisi sıfıra indiğinde ve Analysis & Learning sonucu uygulandıktan sonra geçilir. Monitor'dan Blocking'e, Event Logs'taki Not blocked — Monitor mode kayıtları incelenip false positive'ler Allow / Teach ile öğretildikten ve yeni false positive gelmediği görüldükten sonra geçilir. Mod, WAF Management sekmesindeki mod kartının Edit penceresinde WAF Mode alanıyla değiştirilir; birden çok Virtual Host Group varsa her grubun kartı ayrıdır.

Sorun: Moda Geçiş Zamanı Belirsiz

Learning Mode ve Monitor Mode koruma sağlamaz; Blocking Mode'a erken geçiş ise öğrenilmemiş sayfaların ve meşru isteklerin engellenmesine yol açar. Üründe otomatik geçiş olmadığı için geçiş zamanı aşağıdaki ölçütlerle belirlenir.

Geçiş Ölçütleri

Geçiş	Bakılacak yer	Ölçüt
Learning → Monitor	Dashboard → Learning sekmesi → Learning Coverage	Değer %100'e yaklaşıp düzleşmiş; yeterli trafik yoksa değer hesaplanmaz, boş kalır
Learning → Monitor	Dashboard → Learning sekmesi → Learning Discovery Rate	New Shapes (accepted) çizgisi sıfıra inmiş
Learning → Monitor	Mod kartındaki Analysis & Learning satırı ve N page types satırı	Analiz çalıştırılmış, sonucundaki path'ler gözden geçirilip bilinmeyen ya da şüpheli olanlar Exclude from Analysis ile analizden çıkarılmış ve sonuç uygulanmış; öğrenilen Page type'lar listede görünüyor
Monitor → Blocking	Event Logs	Not blocked — Monitor mode kayıtlarında false positive kalmamış; Allow / Teach sonrasında yenisi gelmiyor
Monitor → Blocking	Dashboard → WAF Inspection Distribution	Monitor serisindeki istekler gerçek saldırılar

Bekleme süresi için üründe sabit bir değer yoktur; süre, sitenin olağan trafik döngüsünün (bütün sayfaların ve işlem tiplerinin) görülmesine bağlıdır (Önerilen yaşam döngüsü nedir (Learning → Monitor → Blocking); her aşamada ne kadar kalmalıyım?).

Çözüm: İki Yöntem

İki yöntem aynı ayarı değiştirir; biri seçilir.

Durumunuz	Uygun yöntem
Arayüzden, grup grup	Yöntem 1: Mod kartı
Komut satırından ya da çok sayıda grubu birlikte	Yöntem 2: WEB-CLI

Yöntem 1: Mod Kartı Önerilen

• Nasıl çalışır Virtual Host Group'un modu, WAF Management sekmesindeki mod kartının düzenleme penceresinden değiştirilir.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → mod kartı → Edit
• Gereksinim WAF'ın vService'te açık olması (Bir vService'te WAF korumasını nasıl etkinleştiririm?) · WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Geçiş ölçütlerini kontrol et

Yukarıdaki Geçiş Ölçütleri tablosundaki koşullar Dashboard ve Event Logs üzerinden kontrol edilir.

2

Adım 2 vService'in WAF Management sekmesini aç

Left Monitor Panel'de WAF-Protected vServices kategorisi seçilir, vService'e tıklanır ve WAF Management sekmesi açılır (ekrana erişim).

3

Adım 3 Mod kartının düzenleme penceresini aç

Modu değişecek grubun mod kartında, kartın başlık şeridindeki Edit tıklanır; Edit başlıklı pencere açılır. Birden çok Virtual Host Group varsa her grubun kendi kartı vardır; varsayılan grup Default host group adıyla en sondadır. Edit yalnızca WAF alanında değiştirme yetkisi olan kullanıcıya görünür.

4

Adım 4 Modu seç

WAF Mode alanında Monitor mode ya da Blocking mode seçilir. Pencerede ayrıca Virtual host group name alanı, varsayılan grup dışındaki gruplarda Virtual host patterns alanı bulunur; bunlar değiştirilmez. Mod değişikliği grubun Page type'larına dokunmaz.

5

Adım 5 Kaydet

Penceredeki Edit butonu tıklanır. Ek bir onay penceresi yoktur; değişiklik ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama

1Mod kartıTR7 tarafı

WAF Management'taki mod kartının rengine ve başlığına bakılır.

BeklenenMonitor mode: sarı · Attacks are only monitored, not blocked · Blocking mode: kırmızı · Attacks are blocked

2Test isteğiİstemci tarafı

Blocking'e geçildikten sonra, Teacher ya da Conditional learning kimliği taşımayan bir istemciden sorgusunda SQL injection deseni bulunan bir istek gönderilir.

Komut: curl -s -o /dev/null -w '%{http_code}\n' "https://www.example.com/?id=1%27%20OR%20%271%27%3D%271"

Beklenen418

Kod, vService'in Blocking Status Code ayarıdır (varsayılan 418). İstek Event Logs'ta Attack blocked kararıyla görünür; Monitor modunda aynı istek geçer ve Not blocked — Monitor mode kararıyla yazılır.

Yöntem 2: WEB-CLI

• Nasıl çalışır Virtual Host Group'un mode alanı WEB-CLI komutuyla değiştirilir; çok sayıda grup için toplu güncelleme kullanılır.
• Nerede açılır WEB-CLI → waf host-groups
• Gereksinim WEB-CLI erişimi · WAF alanında değiştirme yetkisi
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Grubun kimliğini bul

vService'in grupları ve kimlikleri listelenir (zorunlu alanlar); varsayılan grubun kimliği defaultHost'tur:

waf host-groups list poolId <vService>

2

Adım 2 Modu değiştir

<kimlik> yerine 1. adımdaki kimlik yazılır; --mode alanı learning, monitor ya da blocking alır (isteğe bağlı alanlar):

waf host-groups update poolId <vService> id <kimlik> --mode monitor

Blocking'e geçerken aynı komut --mode blocking ile çalıştırılır.

3

Adım 3 Birden çok grubu birlikte değiştir (isteğe bağlı)

Toplu güncellemede hedef gruplar açılan seçim listesinden işaretlenir (toplu güncelleme):

waf host-groups update-many target selected --mode blocking

Listede bütün WAF korumalı vService'lerin grupları yer alır; boşluk tuşuyla işaretlenip Enter'a basılır. Onay ekranına onay sözcüğü (Türkçe arayüzde evet, İngilizce arayüzde yes) yazılmadan hiçbir şey değişmez (hedef seçimi ve onay).

Doğrulama

1Grup kaydıTR7 tarafı

Grubun kaydı görüntülenir.

Komut: waf host-groups show poolId <vService> <kimlik>

Beklenenmode satırında yeni mod (monitor ya da blocking)

WAF Management'taki mod kartı da aynı modu gösterir.

Sık Yapılan Hatalar

• Analysis & Learning sonucunu uygulamadan Blocking'e geçmek. Kural seti öğrenilmiş Page Type'ları içermez; trafik yalnızca imzalarla ve varsayılan Any Paths kuralının genel sınırlarıyla denetlenir, sayfa bazlı pozitif model devreye girmez. Rule Creation Policy seçimi tek başına kuralları değiştirmez; varsayılan Data based politikasının öğrenilmemiş ve veri taşıyan erişimleri engelleme etkisi, eski kuralları yok sayan bir analiz uygulandığında ortaya çıkar. Önce Analysis & Learning sonucu uygulanır.
• Monitor modunda Event Logs boş diye temiz sanmak. Eşik altındaki ve yalnızca Enabled imzaların eşleştiği istekler kayıt üretmez (Hangi moddayken Event Logs kaydı oluşur, hangisinde oluşmaz; eşik altında kalan saldırılar da loglanır mı?).
• Learning Coverage boş kaldığı için öğrenmenin bitmediğini sanmak. Learning Coverage yeterli trafik olmadan hesaplanmaz; düşük trafikli sitelerde Learning Discovery Rate ve Event Logs birlikte değerlendirilir.
• Yeni bir alan adı için bütün grubu Learning'e döndürmek. Yeni alan adı ayrı bir Virtual Host Group'ta öğretilir; mevcut grup Blocking'de kalır (Aynı vService'te farklı domainler için farklı modlar kullanabilir miyim?).
• WEB-CLI'da target all yazmak. waf host-groups update-many target all bütün WAF korumalı vService'lerin bütün gruplarını değiştirir; belirli gruplar için target selected kullanılır.

Dokümantasyonda nasıl yapılır

• WAF Mode · Önerilen yaşam döngüsü
• WAF Mode · WAF Mode Edit ekranı
• Dashboard · Learning Coverage
• Event Logs · Allow / Teach
• WEB-CLI · waf host-groups toplu güncelleme

İlgili sorular

• Önerilen yaşam döngüsü nedir (Learning → Monitor → Blocking); her aşamada ne kadar kalmalıyım?
• Monitor modunda kalmanın riski nedir; Monitor modu için bir süre sınırı var mı?
• Learning Coverage ve Learning Discovery Rate ne anlama gelir?