Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?

Kısa cevap

Saldırı tespit edildiği hâlde istek altı durumda geçirilir. Virtual Host Group Monitor modundaysa puan Blocking'deki gibi tam hesaplanır, eşiğe ulaşan istek geçer ve Event Logs'ta Not blocked — Monitor mode olarak kaydedilir. İmza OWASP Rules ekranında Monitor durumundaysa isabet gerçek puanıyla kaydedilir ama toplama katılmaz; toplam eşiğin altında kalırsa istek geçer ve Not blocked — Below the blocking threshold olarak görünür. Teacher olarak tanınan istek puanı eşiğe ulaşsa bile WAF kararıyla engellenmez ve Not blocked — Teacher IP matched (kimliğe göre Teacher cookie ya da Teacher header) olarak kaydedilir. Learning modundaki grupta ve Conditional Learning ile tanınan istekte imzalar taranır ama isabetleri puana eklenmez; isabetler Event Logs'a değil öğrenme günlüğüne yazılır. Etkin imzaların toplamı eşiğin altında kalırsa istek de geçer ve kayıt üretilmez. Monitor durumundaki imza aynı istekteki etkin imzaların engellemesini önlemez. Taraması 2 saniyelik süre sınırı içinde tamamlanamayan istek de Teacher ya da Conditional Learning kimliğiyle geldiğinde geçirilir; Learning ve Monitor modunda da, kurallar yüklenirken oluşabilen bir istisna dışında, geçirilir.

Nasıl Çalışır?

Durum	Puan	Event Logs kaydı	Dashboard serisi	Engellenir mi
Virtual Host Group Monitor modunda	Tam hesaplanır (yapısal denetimler dahil)	Toplam eşiğe ulaşırsa ya da Monitor durumundaki bir imza tetiklenirse: Not blocked — Monitor mode	Toplam eşiğe ulaştıysa Monitor	Hayır
İmza Monitor durumunda, grup Blocking modunda	İsabet gerçek puanıyla kaydedilir, toplama katılmaz	Her zaman; toplam eşiğin altındaysa Not blocked — Below the blocking threshold	Toplam eşiğin altındaysa Clean	Hayır (etkin isabetler eşiğe ulaşmadıkça)
Teacher olarak tanınan istek, grup Monitor ya da Blocking modunda	Tam hesaplanır	Toplam eşiğe ulaşırsa ya da Monitor durumundaki bir imza tetiklenirse: Not blocked — Teacher IP matched (kimliğe göre Teacher cookie ya da Teacher header)	Toplam eşiğe ulaştıysa Teacher	Hayır
Grup Learning modunda	Toplanmaz; yapısal denetimler çalışmaz	Yok; istek öğrenme günlüğüne yazılır	Learning	Hayır
Conditional Learning ile tanınan istek	Learning modundaki gibi toplanmaz	Yok; istek öğrenme günlüğüne yazılır	Learning	Hayır
Yalnızca etkin imzalar, toplam eşiğin altında	Hesaplanır	Yok	Clean	Hayır

Teacher kaydında Teacher tanımının kaynağı biliniyorsa cümle Not blocked — <kaynak> matched biçiminde yazılır. Learning modunda imza taraması alan bazlı OWASP Check anahtarları ve OWASP Exclusions listeleri yok sayılarak yapılır; Disabled durumundaki imzalar ve düzey nedeniyle devre dışı kalan Low imzalar bu modda da taranmaz.

Tarama süre sınırı: WAF taraması 2 saniyelik süre sınırı içinde tamamlanamazsa istek Learning ve Monitor modunda ve Teacher ya da Conditional Learning kimliğiyle geldiğinde geçirilir; yalnızca Blocking modundaki grupta engellenir (tek istisna, taramanın WAF kuralları yüklenirken ve host grubu belirlenmeden kesilmesidir: vService'te Blocking mode'da bir grup varsa Learning ya da Monitor modundaki gruba gelen istek de engellenir, Teacher ve Conditional Learning istekleri bu istisnanın dışındadır (WAF Mode · Blocking Mode); Request Body Limits penceresindeki Fail-open açıksa orada da taranmadan geçirilir). Engellenen bu istek Event Logs'a yazılmaz; vService Debug Mode'dayken Debug Mode Logs'ta Attack blocked — scan timed out olarak görünür (Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?).

TR7'de Nereden İzlenir?

• Event Logs: Left Monitor Panel → WAF-Protected vServices → vService → Event Logs. Action kolonu üç ikonla kararı gösterir: engelleme, izleme (Monitor modu ve Monitor durumundaki imza) ve Teacher; kaydın önizlemesindeki cümle yukarıdaki değerlerden birini yazar. Log Filter'daki Monitor only alanı, toplamı eşiğe ulaşmadan yalnızca Monitor durumundaki bir imza nedeniyle yazılan kayıtları süzer.
• Dashboard: vService Dashboard'undaki WAF Inspection Distribution paneli Whitelisted, Clean, Blocked, Monitor, Teacher ve Learning serilerini gösterir.
• İmza durumu: Bir imzanın Monitor durumunda olup olmadığı vService'in OWASP Rules ekranındaki State kolonunda görülür (Bir imzanın durumu (Enabled / Monitor / Disabled) ne anlama gelir?).

Modlara göre kayıt üretimi: Hangi moddayken Event Logs kaydı oluşur, hangisinde oluşmaz; eşik altında kalan saldırılar da loglanır mı?

Sık Karıştırılan Noktalar

• "Monitor modu puan hesaplamaz." Monitor modunda denetim, puan ve eşik karşılaştırması Blocking ile aynıdır; yalnızca engelleme uygulanmaz.
• "Monitor durumundaki imza isteği her koşulda geçirir." İmza toplama katılmaz ama aynı istekteki etkin isabetler eşiğe ulaşırsa istek engellenir.
• "Learning modunda saldırılar Event Logs'ta görülür." Learning modunda isabetler yalnızca öğrenme günlüğüne yazılır; Event Logs boş kalır.
• "Kara listedeki adres Learning modunda da engellenir." Kara liste isabeti Learning modunda da puana 100 olarak eklenir, ancak bu modda engelleme kararı verilmediği için istek engellenmez (WAF Mode · Blocking Mode).

Dokümantasyonda nasıl yapılır

• WAF · Puana girmeyen üç durum
• Event Logs · Action değerleri
• Event Logs · Log hangi durumda üretilir?
• WAF Mode · Modların çalışma anı davranışı

İlgili sorular

• TR7 WAF bir isteği engelleyip engellememeye nasıl karar verir?
• Hangi moddayken Event Logs kaydı oluşur, hangisinde oluşmaz; eşik altında kalan saldırılar da loglanır mı?
• Yeni bir imzayı canlıda risksiz nasıl denerim (Monitor durumu)?
• Meşru kullanıcıları yanlışlıkla engelliyorum; nasıl tespit ederim?