Saldırı puanı (attack score) nedir, nasıl hesaplanır?

Kısa cevap

Saldırı puanı, bir istekte tespit edilen bütün ihlallerin puanlarının toplamıdır ve engelleme kararı yalnızca bu toplama göre verilir. Her imzanın Score değeri Low (2), Medium (4), High (6) ya da Very High (8)'dir; yerleşik kütüphanedeki üç imza kuralı 9 puanlıdır ve Very High olarak görünür. Yapısal ihlaller 24, kara liste isabeti 100 puan ekler. Aynı istekte birden çok imza ya da aynı imza farklı parametrelerde tetiklenirse puanlar toplanır. OWASP Rules ekranında Monitor durumuna alınmış imzalar gerçek puanlarıyla kaydedilir ama toplama katılmaz; Learning modunda imza isabetleri puana eklenmez ve engelleme kararı verilmez. Toplam puan Event Logs'ta Log Filter'ın WAF score alanıyla süzülebilir.

Nasıl Çalışır?

İhlal	Puan	Event Logs'taki Severity
İmza isabeti: Score Low · Medium · High · Very High	2 · 4 · 6 · 8	Low · Medium · High · Very high
Yerleşik üç imza kuralı: Spring4Shell Exploitation, ProxyShell ProxyLogon Exploit, Cloud Metadata SSRF	9	Very high
Yapısal ihlal: Check Fields denetimlerine uymayan path, parametre, header ya da gövde	24	Structural
Kara liste isabeti: Blacklist Protection kapsamındaki kaynak adres	100	Blacklist

1. Tarama sırasında bulunan her isabet ayrı bir kayıt olarak eklenir. Aynı imza taranan tek bir değerde bir kez sayılır; farklı parametrelerde ya da farklı istek bölümlerinde (path, query, header, JSON, XML, form, ham gövde) tetiklenirse her biri ayrı puan ekler.
2. Her kaydın puanı toplama eklenir. İki istisna vardır: Monitor durumundaki imzanın kaydı gerçek puanını taşır ama toplama katılmaz; Learning modundaki ya da Conditional Learning ile tanınan istekte imza isabetleri toplama eklenmez; Learning modundaki grupta kara liste isabetinin 100 puanı eklenir ama engelleme kararı verilmez.
3. Tarama bitince toplam, vService'in OWASP Protection Level değeriyle karşılaştırılır; toplam bu değere eşit ya da büyükse istek saldırı sayılır (TR7 WAF bir isteği engelleyip engellememeye nasıl karar verir?).

Örnek: Varsayılan Very Tight düzeyinde (eşik 4) ve Blocking modundaki bir grupta, bir parametrede High (6), başka bir parametrede Medium (4) puanlı imza tetiklenirse toplam 10 olur ve istek saldırı sayılır. Aynı istekte yalnızca Monitor durumundaki bir High imza tetiklenseydi toplam 0 kalırdı; istek geçer ve Event Logs'ta Not blocked — Below the blocking threshold olarak görünürdü.

Yapısal ihlaller yalnızca Monitor ve Blocking modlarında üretilir; yapısal denetimlerin çoğu Structure Checks ya da Argument Checks ana anahtarına bağlıdır ve anahtar kapalıyken çalışmaz. Kara liste isabeti yalnızca Blacklist protection açıkken (varsayılan açık) yazılır.

TR7'de Puan Nerede Ayarlanır ve Görülür?

• Puanı değiştirmek: İmzanın Score değeri cihaz genelinde Signature & Rule Library ekranında, tek bir vService için o vService'in OWASP Rules ekranında değiştirilir; seçilebilen değerler yalnızca Low, Medium, High ve Very High'dır (Score). Bir imzanın puanı önce yerleşik değerden, sonra global katmandan, en son vService katmanından okunur; daha özel katman kazanır (kural katmanları). Elle eklenen bir imzanın varsayılan puanı Medium'dur (Bir imzanın puanını (Low / Medium / High / Very High) değiştirebilir miyim?).
• Yapısal ve kara liste puanları: 24 ve 100 sabittir; arayüzden değiştirilmez.
• Görmek: Left Monitor Panel → WAF-Protected vServices → vService → Event Logs açılır. Kaydın önizlemesindeki Attacks sekmesi her isabeti ayrı satırda, Attack name satırında önem derecesiyle (ör. (Very high)) gösterir. Log Filter'ın WAF grubundaki WAF score alanı toplam puana göre süzer.
• Severity kolonu: Event Logs'taki Severity kaydın toplam puanını değil, kayıttaki en yüksek tek isabetin düzeyini gösterir.
• Kaydın oluşma koşulu: Event Logs'a yalnızca toplamı eşiğe ulaşan istekler ve Monitor durumundaki bir imzanın tetiklendiği istekler yazılır; eşiğin altında kalan etkin imza isabetleri kayıt üretmez (log üretimi).

Sık Karıştırılan Noktalar

• "Eşik altında kalan isabetler de loglanır." Toplamı eşiğin altında kalan istek Event Logs'a yazılmaz; yalnızca Monitor durumundaki bir imza tetiklenmişse kayıt oluşur.
• "Severity toplam puandır." Severity en yüksek tek isabeti gösterir; toplam puan Log filter'daki WAF score alanıyla görülür.
• "Özel imzaya ara puan verilebilir." Score yalnızca Low, Medium, High ya da Very High olabilir.
• "Monitor durumundaki imza tek başına isteği engeller." Monitor durumundaki imza toplama katılmaz; aynı istekteki etkin isabetler eşiğe ulaşırsa istek yine engellenir.

Dokümantasyonda nasıl yapılır

• WAF · İhlal puanları
• Signature & Rule Library · Score değerleri ve koruma düzeyi
• Signature & Rule Library · Kural katmanları
• Event Logs · Severity değerleri

İlgili sorular

• TR7 WAF bir isteği engelleyip engellememeye nasıl karar verir?
• Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?
• Bir imzanın puanını (Low / Medium / High / Very High) değiştirebilir miyim?
• Bir istekte birden fazla saldırı varsa WAF ilk eşleşmede mi durur, hepsini mi değerlendirir?