Test ortamında hazırladığım WAF kurallarını canlıya nasıl taşırım?

Kısa cevap

Kural seti host grubu bazında, dosyayla taşınır: test vService'inin host grubunda Page Types ekranındaki Export ile JSON alınır, canlı vService'in hedef host grubunda Import ile yüklenir. Import hedef grubun bütün sayfa tiplerinin yerine geçtiği için önce canlıdaki set Export ile yedeklenir. Canlıdaki kuralları koruyup yalnızca testte hazırlanan path'leri eklemek için Export (OpenAPI) ve Import (OpenAPI) kullanılır; bu birleştirmedir: aynı path'li kural belgedekiyle değişir, diğerleri kalır, ancak TR7'nin ürettiği belge Any paths kuralını da taşıdığı için canlının Any paths'i belgedekiyle değişir. Dosyaya yalnızca kural listesi girer; host grubunun adı, deseni ve modu, koruma düzeyi, Checks, engelleme sayfası, gövde sınırları ve öğrenme ayarları gibi vService WAF ayarları ile OWASP Rules ve Signature & Rule Library değişiklikleri canlıda ayrıca yapılır; ayarlar WEB-CLI'da waf options komutlarıyla aktarılabilir. Yüklemeden önce canlı host grubu Monitor Mode'a alınır, yanlış engelleme görülmezse Blocking Mode'a döndürülür. Dosyalar cihazdan bağımsızdır; test ve canlı farklı TR7 cihazlarında olabilir.

Sorun: Testte Hazırlanan Kuralların Canlıya Hatasız Aktarılması Gerekiyor

Kural seti test ortamında öğrenildi ya da elle hazırlanıp denendi. Aynı kuralların canlı vService'e elle yeniden girilmeden, canlı trafiği yanlış engellemelere açmadan ve gerektiğinde eski hâline dönülebilecek biçimde aktarılması gerekiyor.

Çözüm: Üç Yöntem

Yöntem 1 ve 2 kural setini taşır ve birbirinin alternatifidir; Yöntem 3 kural dosyasına girmeyen vService WAF ayarlarını aktarmak için bunlardan sonra kullanılır.

Durumunuz	Uygun yöntem
Canlı grubun kural setini test setiyle tümüyle değiştirmek	Yöntem 1: Export ve Import
Canlıdaki kuralları koruyup testte hazırlanan path'leri eklemek ya da güncellemek	Yöntem 2: Export (OpenAPI) ve Import (OpenAPI)
Koruma düzeyi, engelleme sayfası gibi vService WAF ayarlarını da aktarmak	Yöntem 3: WAF ayarlarını WEB-CLI ile aktarmak
Bir uygulama sürümünün yayın sürecini planlamak	Uygulama sürüm yayın sürecime WAF'ı nasıl dahil etmeliyim?

Yöntem 1: Export ve Import Önerilen

• Nasıl çalışır Test grubunun kural seti (sayfa tipleri, Any paths ve Check fields denetimleri) dosyaya alınır ve canlı grubun setinin yerine yüklenir (Import yaptığımda mevcut kurallar ne olur (tam değiştirme)?).
• Nerede açılır Her iki vService'te: Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → mod kartı → N page types
• Gereksinim İki vService'te de WAF koruması açık; WAF alanında değiştirme yetkisi (Export de bu yetkiyi ister)
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Test grubunun Page types ekranını aç

Test vService'inde WAF Management sekmesine geçilir ve taşınacak host grubunun mod kartındaki N page types satırına tıklanır (ekrana erişim).

2

Adım 2 Test setini dışa aktar

Araç çubuğundaki Export butonuna tıklanır; dosya onay sorulmadan iner (dışa aktarma adımları).

3

Adım 3 Canlıda hedef host grubu penceresini aç (gerekiyorsa)

Kurallar canlıda varsayılan gruba değil de ayrı bir alan adı grubuna yüklenecekse ve bu grup yoksa: canlı vService'in WAF Management sekmesinde Virtual Host Groups bandındaki artı ikonuna tıklanır; Add başlıklı pencere açılır (Host Group nasıl eklenir; Virtual Host Patterns alanına ne yazılır?). Hedef grup zaten varsa 3–7. adımlar atlanır. Grubun adı, desenleri ve modu kural dosyasında yoktur.

4

Adım 4 Grubun adını gir

Virtual Host Group Name alanına grubun adı yazılır.

5

Adım 5 Monitor mode'u seç

WAF Mode alanında Monitor mode seçilir; alan vService'in varsayılan moduyla önseçili gelir.

6

Adım 6 Canlı alan adlarını gir

Virtual Host Patterns alanına canlı alan adları yazılır.

7

Adım 7 Grubu ekle

Pencerenin altındaki Add butonuna tıklanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual Sync Mode açıksa Synchronize ile gönderilir.

8

Adım 8 Canlı grubun Page types ekranını aç

Canlı vService'in WAF Management sekmesinde hedef grubun mod kartındaki N page types satırına tıklanır.

9

Adım 9 Canlı seti yedekle

Export butonuna tıklanır; inen dosya geri dönüş için saklanır.

10

Adım 10 Canlı grubun mod penceresini aç

WAF Management sekmesinde hedef grubun mod kartının başlık şeridindeki Edit yazısına tıklanır. Grup 3–7. adımlarda Monitor mode ile oluşturulduysa 10–12. adımlar atlanır.

11

Adım 11 Monitor mode'u seç

WAF Mode alanında Monitor mode seçilir. Bu modda saldırılar kaydedilir ama engellenmez (Monitor modunu false positive ayıklamak için nasıl kullanırım?).

12

Adım 12 Modu kaydet

Pencerenin altındaki Edit butonuna tıklanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual sync mode açıksa Synchronize ile gönderilir.

13

Adım 13 Import butonuna tıkla

Canlı grubun Page types ekranında Import butonuna tıklanır; dosya seçici açılır (içe aktarma adımları).

14

Adım 14 Test dosyasını seç

2. adımda inen .json dosyası seçilir.

15

Adım 15 İçe aktarmayı onayla

Are you sure? sorusunda Yes tıklanır. Dosya bozuksa (Corrupted WAF rules file) ya da geçersiz desen içeriyorsa (Invalid WAF pattern (...)) içe aktarma reddedilir ve mevcut set değişmez. Başarılı yüklemede ayrı bir dağıtım adımı yoktur. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual sync mode açıksa Synchronize ile gönderilir.

16

Adım 16 Monitor süresince Event Logs'u izle

Canlı vService'in Event Logs sekmesinde, gerçek trafikte yeni kuralların tetiklediği kayıtlar incelenir; false positive'ler düzeltilir (Yanlışlıkla engellenen bir isteğe nasıl izin veririm?). Sorun büyükse 9. adımdaki dosya aynı yolla Import edilerek eski sete dönülür.

17

Adım 17 Mod penceresini yeniden aç

False positive kalmadığında mod kartının başlık şeridindeki Edit yazısına tıklanır.

18

Adım 18 Blocking mode'u seç

WAF Mode alanında Blocking Mode seçilir.

19

Adım 19 Blocking mode'u kaydet

Pencerenin altındaki Edit butonuna tıklanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual sync mode açıksa Synchronize ile gönderilir.

Doğrulama

1Kural listesiTR7 tarafı

Canlı grubun mod kartındaki sayaç ve Page types listesi test grubunkiyle karşılaştırılır.

BeklenenN page types sayısı ve path'ler test grubuyla aynı

2User LogsTR7 tarafı

Canlı cihazda User Logs ekranında Field = WAF ve Action type = Import süzülür.

BeklenenN WAF rules are imported from file for grup@vService

Yöntem 2: Export (OpenAPI) ve Import (OpenAPI)

• Nasıl çalışırExport (OpenAPI) kural setini OpenAPI 3.0 belgesi olarak verir; belge her kuralın tam yapılandırmasını TR7'ye özel bir bölümde taşır. Import (OpenAPI) belgeyi hedef gruba birleştirir: belgedeki her path için aynı path'li kural varsa belgedekiyle tümüyle değiştirilir, yoksa eklenir; belgede olmayan kurallara dokunulmaz. TR7 belgesindeki Any paths yapılandırması hedef grubun Any paths'inin yerine geçer.
• Nerede açılır Test grubunun Page types ekranı → Export (OpenAPI) · canlı grubun Page types ekranı → Import (OpenAPI)
• Gereksinim İki vService'te de WAF koruması açık; WAF alanında değiştirme yetkisi; hedef host grubu canlıda mevcut olmalıdır
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Test grubunu OpenAPI belgesi olarak dışa aktar

Test grubunun Page types ekranında Export (OpenAPI) butonuna tıklanır; adında _openapi_ geçen .json belge onay sorulmadan iner (dışa aktarma adımları).

2

Adım 2 Canlıyı hazırla

Yöntem 1'in 3–12. adımları uygulanır: gerekiyorsa hedef grup oluşturulur, canlı set düz Export ile yedeklenir ve grup Monitor mode'a alınır. Birebir geri dönüş yalnızca düz Export dosyasıyla yapılır.

3

Adım 3 Import (OpenAPI) butonuna tıkla

Canlı grubun Page types ekranında Import (OpenAPI) butonuna tıklanır; dosya seçici açılır.

4

Adım 4 Belgeyi seç

1. adımda inen belge seçilir; .json, .yaml ve .yml dosyaları kabul edilir.

5

Adım 5 İçe aktarmayı onayla

Are you sure? sorusunda Yes tıklanır. İşlem sonunda OpenAPI import: N path applied bildirimi gösterilir; dönüştürme uyarısı varsa bildirime eklenir (doğrulama ve hatalar). Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual Sync Mode açıksa Synchronize ile gönderilir. Ardından Yöntem 1'in 16–19. adımlarıyla izlenir ve Blocking mode'a dönülür.

Doğrulama

1Kural listesiTR7 tarafı

Canlı grubun Page types listesine bakılır.

BeklenenCanlıdaki eski path'ler yerinde; testteki path'ler eklenmiş ya da güncellenmiş

Yöntem 3: WAF Ayarlarını WEB-CLI ile Aktarmak

• Nasıl çalışır Kural dosyasına girmeyen vService WAF ayarları (koruma düzeyi, Checks, Whitelist & Blacklist, engelleme sayfası, gövde sınırları, öğrenme, rapor ve bildirim ayarları) test vService'inde waf options show ile okunur ve canlı vService'e waf options update ile yazılır (waf options · Komut özeti). Arayüzde aynı ayarlar canlı vService'in WAF Management kartlarından tek tek girilir.
• Nerede açılırWEB-CLI → waf options
• Gereksinim Kullanıcıda CLI erişimi ve WAF alanında değiştirme yetkisi. Test ve canlı farklı cihazlardaysa okuma test cihazının, yazma canlı cihazın WEB-CLI'ında yapılır.
• Kapsam vService WAF ayarları; OWASP rules ve Signature & Rule Library değişiklikleri bu komutlarla taşınmaz

Adım adım yapılandırma

1

Adım 1 Test vService'inin ayarlarını oku

waf options show poolId <test-vService>

2

Adım 2 Ayarları canlı vService'e yaz

Farklı olan alanlar aynı adlarla yazılır; örnekte koruma düzeyi Very tight (4) ve Blocking Status Code 403 yapılır (yazılabilen alanlar):

waf options update poolId <canlı-vService> --owaspProtectionLevel 4 --blockingStatusCode 403 --syncWithDefaultFwRules false

--syncWithDefaultFwRules saklanan bir ayar değil, bir yazma tetiğidir: yalnız true yazıldığında Any paths kuralı varsayılan tanımıyla yeniden kurulur; komutta yazılmazsa kural setine dokunulmaz. Komuttaki false bunu açıkça belirtir (Sync with Default WAF Rules; temel denetimler).

Aynı ayarlar birden çok canlı vService'e yazılacaksa: Birden fazla vService'in WAF ayarını veya host group modunu tek seferde değiştirebilir miyim?

3

Adım 3 İmza değişikliklerini canlıda yinele

Test vService'inin OWASP Rules ekranında yapılmış durum, puan ya da özel kural değişiklikleri canlı vService'in OWASP rules ekranında aynı biçimde yapılır. Test ve canlı vService aynı cihazdaysa değişiklik Signature & Rule Library'de bir kez yapılarak bütün WAF korumalı vService'lere uygulanabilir (Aynı false positive'i birden fazla vService'te tek seferde nasıl çözerim (global katman)?). Farklı cihazlarda Signature & Rule Library değişiklikleri canlı cihazda ayrıca yapılır.

Doğrulama

1AyarlarTR7 tarafı

İki vService'te waf options show çıktıları ya da WAF Management kartları karşılaştırılır.

BeklenenOWASP protection level ve Blocking page kartları iki vService'te aynı

Sık Yapılan Hatalar

• Canlı seti yedeklemeden Import yapmak. Import ve Import (OpenAPI) geri alınamaz; canlının önceki hâline yalnızca öncesinde alınan Export dosyasıyla dönülür.
• Import (OpenAPI) ile canlı Any paths'in korunacağını sanmak. TR7'nin ürettiği belge Any paths'i de taşır; canlıda Any paths'e öğretilmiş istisnalar belgedekiyle değişir. Yalnızca belirli path'leri eklemek isteniyorsa Import sonrasında Any paths kuralı gözden geçirilir.
• Ayarların ve modun da taşındığını sanmak. Kural dosyası host grubunun modunu, koruma düzeyini, Checks'i, engelleme sayfasını ve öğrenme ayarlarını taşımaz (Bir host group'un kural setini JSON olarak dışa aktarıp başka bir ortama taşıyabilir miyim; hangi ayarlar bu dosyaya girmez?).
• Doğrudan Blocking mode'daki gruba yüklemek. Yeni kurallar canlı trafikte önce Monitor mode'da denenir.
• Yanlış gruba yüklemek. Dosya hangi gruptan alındığını taşımaz; Import hangi grubun Page types ekranında yapılırsa o grubun kuralları değişir.
• WEB-CLI'da Export/Import komutu aramak. Kural dosyası aktarımı yalnızca arayüzdedir; WEB-CLI'da kurallar waf fw-rules ve waf rule-parts ile tek tek eklenir (WAF'ı WEB-CLI ile yönetebilir miyim; hangi işlemler WEB-CLI'da yok?).

Dokümantasyonda nasıl yapılır

• Export · Dışa aktarma adımları
• Import · İçe aktarma adımları
• Export (OpenAPI) · Düz Export ile karşılaştırma
• Import (OpenAPI) · Belgenin kurallara dönüştürülmesi

İlgili sorular

• Bir host group'un kural setini JSON olarak dışa aktarıp başka bir ortama taşıyabilir miyim; hangi ayarlar bu dosyaya girmez?
• WAF kurallarımı yedekleyebilir miyim?
• Uygulama sürüm yayın sürecime WAF'ı nasıl dahil etmeliyim?