Bir sayfaya yalnızca belirli HTTP metotlarına izin verebilir miyim (Allowed Methods)?

Kısa cevap

Evet. Kuralın Allowed Methods alanında Multiple methods seçilip izinli metotlar işaretlenir; listede olmayan bir metotla gelen istek Structure Policies kategorisinde Allowed methods ihlali olarak 24 puan alır. Bu puan her OWASP Protection Level'da engelleme eşiğine ulaştığından istek Blocking modunda tek başına engellenir, Monitor modunda engellenmeden kaydedilir; Learning modunda metot denetimi yapılmaz. Any methods (yeni kuralda varsayılan) metot denetimi yapmaz, None her metodu ihlal sayar. Ayar devralınmaz: her exact ve glob kural kendi listesini uygular, Any Paths'in listesi (GET, OPTIONS, HEAD, POST, PUT, PATCH, DELETE) yalnızca kendi kuralı olmayan path'lere uygulanır. Metot denetimi Structure Checks anahtarından bağımsızdır. Aynı ayar WEB-CLI'da waf fw-rules update ile de yapılır.

Sorun: Bir Path Beklenmeyen HTTP Metotlarıyla Çağrılıyor

Yalnızca GET ve POST beklenen bir sayfaya PUT, DELETE ya da TRACE gibi metotlarla gelen istekler uygulamaya ulaşıyor. Path'in kendi kuralında metot kısıtı yoksa (Any Methods) Any paths'in metot listesi de o path'e uygulanmaz; kısıt path'in kendi kuralında tanımlanır.

Çözüm: İki Yöntem

Durumunuz	Uygun yöntem
Arayüzden	Yöntem 1: Kural formu
Betik ya da komut satırı; kuralın metot listesi boş (Any methods)	Yöntem 2: WEB-CLI
Path için henüz kural yok	Önce kural eklenir → Yeni bir page type'ı elle nasıl eklerim?

Yöntem 1: Kural Formu Önerilen

• Nasıl çalışır Kuralın Edit formunda Allowed methods listesi belirlenir; listede olmayan metotla gelen istek ihlal üretir.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → host grubunun mod kartı → N page types → kural → Edit
• Gereksinim vService'te WAF koruması etkin; path için bir kural (yoksa önce eklenir)
• vService tipi WAF koruması etkin HTTP vService

Adım adım yapılandırma

1

Adım 1 Page types sekmesini aç

Left Monitor Panel'de WAF-Protected vServices sekmesinde vService'e tıklanır, WAF Management sekmesi açılır ve ilgili host grubunun mod kartı altındaki N page types satırına tıklanır (ekrana erişim).

2

Adım 2 Kuralı seç

Listede path'in kuralı işaretlenir.

3

Adım 3 Edit formunu aç

Araç çubuğundaki Edit tıklanır (düzenleme ekranına erişim). Aynı form satırın sağ tık menüsündeki Edit, detay panelinin başlığındaki Edit ya da Path sekmesindeki Edit Common Rule for Path ile de açılır.

4

Adım 4 Metotları seç

Allowed Methods listesinden Multiple Methods seçilir; yanındaki listeden izinli metotlar işaretlenir (en az bir metot zorunludur; liste dışında metot yazılamaz). Diğer seçenekler: Any Methods metot denetimi yapmaz, None her metodu ihlal sayar.

5

Adım 5 Kaydet

Formun altındaki Edit tıklanır; değişiklik ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da otomatik gönderilir; Manual Sync Mode açıksa Synchronize ile elle gönderilir.

Doğrulama

1Detay paneliTR7 tarafı

Satıra tıklanıp detay panelinin Path sekmesindeki Allowed methods değerine bakılır (görüntülenen alanlar).

BeklenenGET, POST

2İzinsiz metotİstemci tarafı

Host grubu Blocking modundayken path'e izinsiz metotla istek gönderilir; ardından Event Logs kaydının Attacks sekmesine bakılır.

Komut: curl -i -X PUT https://www.example.com/sayfa

BeklenenEngelleme yanıtı (varsayılan 418) · Attack name: Allowed methods

Monitor modunda istek geçer, kayıt yine düşer. Engelleme yanıtının durum kodu Blocking Status Code ayarından gelir.

Yöntem 2: WEB-CLI

• Nasıl çalışır Kuralın metot listesi waf fw-rules update ile yazılır.
• Nerede açılır WEB-CLI → waf fw-rules list · waf fw-rules show · waf fw-rules update
• Gereksinim WEB-CLI erişimi; kuralın ve host grubunun kimliği
• vService tipi WAF koruması etkin HTTP vService

Adım adım yapılandırma

1

Adım 1 Kuralın kimliğini al

Host grubunun kuralları listelenir; kuralın kimliği id değeridir (varsayılan host grubunun kimliği defaultHost):

waf fw-rules list poolId <vService> hostGroupId <grup>

2

Adım 2 Mevcut metot listesini gör

waf fw-rules show poolId <vService> hostGroupId <grup> <kural>

allowedMethods değeri Any Methods (any) ya da None (none) ise metot listesi kullanılmıyordur ve yeni liste indeks 0'dan yazılır. Kuralda zaten bir metot listesi varsa --allowedMethods.input.N o sıradaki metodun yerine geçer ve fazladan kalan metotları silmez. Kural daha önce Multiple Methods ile kaydedilip sonra Any Methods ya da None'a alındıysa eski liste kayıtta kalabilir; dolu ya da daha önce kullanılmış bir liste daraltılacaksa Yöntem 1 kullanılır.

3

Adım 3 Metot listesini yaz

Örnek, boş listeli kurala yalnızca GET ve POST izni verir (izinli HTTP metotları):

waf fw-rules update poolId <vService> hostGroupId <grup> id <kural> --allowedMethods.type multiple --allowedMethods.input.0 GET --allowedMethods.input.1 POST

WEB-CLI yalnızca GET, HEAD, OPTIONS, POST, PUT, PATCH, DELETE, TRACE ve CONNECT metotlarını kabul eder; arayüzdeki liste bunlara ek olarak WebDAV metotlarını da içerir.

Doğrulama

1Kural kaydıTR7 tarafı

Kural yeniden görüntülenir.

Komut: waf fw-rules show poolId <vService> hostGroupId <grup> <kural>

BeklenenallowedMethods: multiple · GET, POST

Sık Yapılan Hatalar

• None'ı "kısıt yok" sanmak. None her metodu ihlal sayar ve path'e gelen her isteği engeller; kısıt istenmiyorsa Any Methods seçilir.
• Any paths'in listesine güvenmek. Exact ve glob kurallar metot listesini devralmaz; Any methods ile bırakılan kuralda metot kısıtı olmaz (Bir istek birden fazla page type'a uyarsa kurallar nasıl uygulanır (exact path önceliği, glob kurallarının Any Paths ile birleşmesi)?).
• OPTIONS'ı unutmak. Tarayıcıların CORS ön kontrolü OPTIONS ile gelir; listede yoksa bu istekler ihlal üretir.
• Sıkılaştırmayı doğrudan Blocking'de yapmak. Etkisi önce Monitor modunda gözlenir; Learning modunda metot denetimi çalışmadığından sonuç orada görülmez.
• Structure checks'i kapatınca metot denetiminin de kapandığını sanmak. Structure checks uzunluk, sayı, boyut, derinlik ve değer kalıbı denetimlerini ve geçersiz gövde engellerini kapatır; Allowed methods denetimi sürer (Structure Checks ve Argument Checks ana anahtarları ne yapar; kapatırsam ne olur?).

Dokümantasyonda nasıl yapılır

• Add · Allowed Methods
• Path · Görüntülenen alanlar
• Edit · Düzenleme ekranına erişim
• WEB-CLI waf fw-rules · İzinli HTTP metotları

İlgili sorular

• API için pozitif güvenlik modelini (izin verilen endpoint, metot, parametre) nasıl kurarım?
• Structure Checks ve Argument Checks ana anahtarları ne yapar; kapatırsam ne olur?
• Merge sırasında ayarlar (metotlar, OWASP) nasıl birleştirilir?