Monitor modunda kalmanın riski nedir; Monitor modu için bir süre sınırı var mı?

Kısa cevap

Monitor Mode'da WAF koruma sağlamaz: puanı eşiğe ulaşan gerçek saldırılar da Kurum Servisine geçirilir, yalnızca Event Logs'a yazılır. Üründe Monitor modu için bir süre sınırı ya da Blocking'e otomatik geçiş yoktur; Virtual Host Group elle değiştirilene kadar Monitor'da kalır. Bu nedenle Monitor, Blocking'e geçmeden önceki izleme aşaması olarak kullanılır; sitenin olağan trafik döngüsünü kapsayacak kadar tutulur ve Event Logs'ta yeni false positive gelmediği görülünce Blocking'e geçilir. Monitor döneminde Block Threshold (per sec) bildirimi tetiklenmez; saldırı yoğunluğu Detected Attack Threshold (per sec) bildirimiyle, Dashboard'daki WAF Detected Attack Requests paneliyle ve Event Logs'ta izlenir.

Riskler

Risk	Açıklama
Koruma yok	Puanı eşiğe ulaşan saldırılar Kurum Servisine ulaşır; Blacklist Protection ve Frontend Blacklist eşleşmeleri de yalnızca kaydedilir
Süre sınırı yok	Grup kendiliğinden Blocking Mode'a geçmez; mod kartı değiştirilene kadar Monitor'da kalır
Bildirimler	Block Threshold (per sec) yalnızca engellenen istekleri sayar ve Monitor modunda tetiklenmez; Detected Attack Threshold (per sec) engellenen, Monitor'da geçirilen ve Teacher kimliğiyle gelen saldırıları birlikte sayar
Dashboard	WAF Blocked Requests paneline Monitor modundaki grubun istekleri girmez; bu saldırılar WAF Detected Attack Requests panelinde ve WAF Inspection Distribution panelinin Monitor serisinde görülür
Kayıt hacmi	Puanı eşiğe ulaşan her istek Event Logs'a yazılır; WAF Log Suppression Condition kayıtları yalnızca listeden gizler, yazılmalarını önlemez

• Olgunlaşmış alan adları Monitor'da tutulmak zorunda değildir: yalnızca yeni ya da değişen alan adı ayrı bir Virtual Host Group'ta Monitor'da tutulup diğerleri Blocking'de bırakılabilir (Aynı vService'te farklı domainler için farklı modlar kullanabilir miyim?).
• Tek bir imza sorun çıkarıyorsa bütün grubu Monitor'da tutmak yerine yalnızca o imzanın State değeri Monitor yapılır (Yeni bir imzayı canlıda risksiz nasıl denerim (Monitor durumu)?).
• Geçiş ölçütleri ve adımları: Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?

Sık Karıştırılan Noktalar

• "Monitor modu hafif bir korumadır." Monitor Mode'da WAF hiçbir isteği engellemez; saldırılar da Kurum Servisine geçirilir.
• "Monitor için güvenli bir gün sayısı vardır." Üründe sayısal bir süre tanımlı değildir; süre sitenin trafik döngüsüne ve Event Logs'taki false positive'lerin temizlenmesine bağlıdır.
• "Engelleme bildirimi gelmiyorsa saldırı yoktur." Monitor modunda engelleme olmadığı için Block Threshold (per sec) hiç tetiklenmez.

Dokümantasyonda nasıl yapılır

• WAF Mode · Monitor Mode
• Dashboard · WAF Detected Attack Requests
• Notifications · Detected Attack Threshold (per sec)
• Event Logs · Operasyonel en iyi uygulamalar

İlgili sorular

• Monitor modunda WAF ne yapar?
• Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?
• Saldırı sayısı belirli bir eşiği aşınca bildirim alabilir miyim?