Koruma düzeyini sıkılaştırmak false positive'leri nasıl etkiler?

Kısa cevap

OWASP Protection Level sıkılaştırıldıkça (sayı küçüldükçe: Elementary 24 → Aggressive 2) eşiğe ulaşmak için gereken puan düşer; daha az isabet yettiği için temiz trafiğin yanlışlıkla engellenme olasılığı artar. Kart bu olasılığı Elementary, Normal ve Tight için very low, Very tight için low, Aggressive için high olarak gösterir. Aggressive'e geçiş ayrıca diğer düzeylerde hiç taranmayan Low puanlı imzaları devreye alır; bu yüzden en büyük artış Very tight → Aggressive adımındadır. Eşik düştükçe Event Logs'a yazılan kayıt sayısı da artar. Yapısal ihlallerin (24 puan) yol açtığı false positive'ler düzeyden etkilenmez; bunlar ve imza kaynaklı false positive'ler düzeye dokunmadan imza durumu, OWASP Exclusions ya da Allow / Teach ile giderilir.

Nasıl Çalışır?

Düzey	Eşik	Tek isabetle eşiğe ulaşan imzalar	Low imzalar	Karttaki olasılık
Elementary	24	Hiçbiri	Taranmaz	very low
Normal	16	Hiçbiri	Taranmaz	very low
Tight	8	Very High	Taranmaz	very low
Very Tight (varsayılan)	4	Medium, High, Very High	Taranmaz	low
Aggressive	2	Low dahil bütün imzalar	Taranır	high

• Eşik etkisi: Sıkı düzeyde tek bir meşru isteğin bir Medium imzaya takılması eşiğe ulaşmaya yeter; gevşek düzeyde aynı istek geçer. Etki, Score değeri düşük imzalarda en belirgindir.
• Low imzalar: Aggressive dışındaki düzeylerde Low imzalar hiç taranmaz; Aggressive'de taranır ve her biri tek başına eşiğe ulaşır. vService'in OWASP Rules ekranında hangi imzaların düzey nedeniyle devre dışı kaldığı Low* işaretiyle görülür.
• Kayıt hacmi: Event Logs'a yalnızca toplamı eşiğe ulaşan istekler (ve Monitor durumundaki bir imzanın tetiklendiği istekler) yazılır; eşik düştükçe kayda giren istek sayısı artar.
• Sync with default WAF rules: Düzey Aggressive yapılırken Sync with Default WAF Rules işaretlenirse Any Paths kuralı sıkı setle yeniden kurulur: path uzunluğu en çok 1024, path derinliği en çok 8 ve izinli metotlar yalnızca GET, OPTIONS ve HEAD olur; JSON, XML ve form gövdeleri ile dosya yükleme engellenir, Argument Checks açıksa izinli parametre listeleri boş başlar (her parametre ihlal sayılır) ve Host ile User-Agent başlıkları zorunlu olur. Bu set POST gibi metotlarla gelen meşru istekleri de yapısal ihlal sayar; düzeyden ayrı bir false positive kaynağıdır.
• Yapısal ihlaller: 24 puan her düzeyin eşiğine ulaştığı için düzey değişikliği yapısal false positive'leri ne artırır ne azaltır.

False Positive'i Düzey Dışında Azaltmak

Yöntem	Etkisi	Nerede
İmzayı Monitor durumuna almak	İmza kaydedilir ama toplama katılmaz	vService'te OWASP Rules, cihaz genelinde Signature & Rule Library → Change State (Bir imzanın durumu (Enabled / Monitor / Disabled) ne anlama gelir?)
İmzanın Score değerini düşürmek	İmza daha az puan ekler	OWASP rules · Signature & Rule Library (Bir imzanın puanını (Low / Medium / High / Very High) değiştirebilir miyim?)
Alan bazlı istisna	İmza yalnızca ilgili parametrede taranmaz	Page type → Check Fields → OWASP Exclusions (Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?)
Kaydı öğretmek	İlgili kural, isteği kabul edecek biçimde güncellenir	Event Logs → Allow / Teach

Düzey değişikliğinin etkisi önce Monitor modunda görülebilir: Virtual Host Group Monitor modundayken düzey değiştirilir, Event Logs'taki Not blocked — Monitor mode kayıtları incelenir ve ardından Blocking moduna geçilir (Monitor modunu false positive ayıklamak için nasıl kullanırım?).

Sık Karıştırılan Noktalar

• "Gevşek düzey false positive'leri tamamen önler." Yapısal ihlaller (24) ve kara liste isabetleri (100) her düzeyde eşiğe ulaşır.
• "Aggressive yalnızca eşiği düşürür." Aggressive ayrıca diğer düzeylerde taranmayan Low imzaları da çalıştırır.
• "Gevşek düzey yalnızca false positive'leri azaltır." Eşiğin altında kalan gerçek saldırılar da geçer ve Event Logs'a yazılmaz.
• "Sıkı düzeye doğrudan Blocking modunda geçmek güvenlidir." Etkisi önce Monitor modunda izlenir; meşru trafik engellenmeden false positive'ler görülür.

Dokümantasyonda nasıl yapılır

• OWASP Protection Level · OWASP Protection Level nedir?
• OWASP Rules · Koruma düzeyinin görünümdeki etkisi
• Signature & Rule Library · State değerleri ve trafikteki karşılığı
• Event Logs · Allow / Teach

İlgili sorular

• Hangi koruma düzeyini seçmeliyim? (Elementary, Normal, Tight, Very Tight ve Aggressive)
• Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?
• Monitor modunu false positive ayıklamak için nasıl kullanırım?
• Meşru kullanıcıları yanlışlıkla engelliyorum; nasıl tespit ederim?