Page Type seviyesinde OWASP taramasını açıp kapatmak ne anlama gelir?

Kısa cevap

Kural formundaki OWASP kutusu yalnızca path bölümünün imza taramasını yönetir. İşaretliyken isteğin path'i vService'te geçerli imza setiyle taranır (OWASP Exclusions alanında seçilen imzalar hariç); işaretsizken path, Blocking ve Monitor modunda taranmaz. Query, Header, JSON, Xml, Form ve Raw bölümlerinin taraması bu kutudan bağımsızdır; her biri Check Fields'taki kendi OWASP Check ayarına bağlıdır. Yeni kuralda kutu varsayılan olarak işaretsiz, Any Paths'te işaretlidir. Path ayarı devralınmadığından exact ya da glob kuralda kutuyu işaretsiz bırakmak, o path'i Any paths'in path taramasından da çıkarır. OWASP exclusions listesi Max. OWASP Exclusions sınırını aşarsa o noktada tarama kapanır. Learning modunda path her durumda taranır. Yapısal denetimler (Allowed methods, Path length, Path depth) bu kutudan etkilenmez.

Nasıl Çalışır?

Bölüm	Taramayı yöneten ayar
Path	Kural formundaki OWASP kutusu ve OWASP Exclusions listesi
Query, Header, JSON, Xml, Form, Raw	Check fields'ta ilgili bölümün ortak kuralındaki ve argüman kurallarındaki OWASP Check ayarı (Belirli bir parametrede OWASP taramasını kapatabilir miyim?)
Yüklenen dosyalar	Form bölümündeki OWASP Check in Upload ayarı (Raw bölümünün OWASP check ayarıyla birlikte)
Allowed methods, Path length, Path depth	OWASP kutusundan bağımsız

• Taramada kullanılan imza seti, vService'in OWASP Rules ekranında görünen settir; imzaların durum ve puanları da oradan gelir. Bir imzanın isabeti puana eklenir, engelleme kararı OWASP Protection Level eşiğine göre verilir.
• OWASP Exclusions alanı yalnızca kutu işaretliyken görünür; vService'in imzalarından çoklu seçimle istisna seçilir.
• Detay panelinin Path sekmesinde OWASP Check satırı, kutu işaretliyse onay işaretiyle ve istisna varsa istisna sayısıyla görünür (görüntülenen alanlar).
• Ayar Page types → kural → Edit → OWASP yolundan değiştirilir ve formun Edit butonuyla kaydedilir. WEB-CLI'da waf fw-rules update poolId <vService> hostGroupId <grup> id <kural> --argOwasp true komutu kullanılır (OWASP denetimi).
• Bütün kurallarda (Any paths dahil) bütün OWASP ayarları kapatılırsa vService, Learning modu dışında yalnızca pozitif modelle çalışır (TR7'nin hibrit güvenlik modeli nedir; iki model birlikte nasıl çalışır?).

Sık Karıştırılan Noktalar

• "Kutu işaretsizse istek hiç imza taramasına girmez." Yalnızca path taranmaz; diğer bölümler kendi OWASP check ayarlarına göre taranır.
• "Yeni kuralda kutu işaretli gelir." Varsayılan işaretsizdir; path taraması isteniyorsa işaretlenir.
• "Any paths'te tarama açıksa her path taranır." Path ayarı devralınmaz; kendi kuralı olan path'te o kuralın kutusu geçerlidir.
• "İmzayı kapatmanın tek yolu istisnadır." İmza vService genelinde OWASP Rules ekranından da kapatılabilir (Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?).

Dokümantasyonda nasıl yapılır

• Add · OWASP
• Path · Görüntülenen alanlar
• OWASP Protection Level · Max. OWASP Exclusions
• WEB-CLI waf fw-rules · OWASP denetimi

İlgili sorular

• Belirli bir parametrede OWASP taramasını kapatabilir miyim?
• Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?
• TR7'nin hibrit güvenlik modeli nedir; iki model birlikte nasıl çalışır?