Bir istekte birden fazla saldırı varsa WAF ilk eşleşmede mi durur, hepsini mi değerlendirir?

Kısa cevap

Hepsini değerlendirir. TR7 WAF ilk eşleşmede ya da puan eşiğe ulaştığı anda durmaz; isteğin path, query, header ve gövde bölümlerinin tamamını tarar, bulduğu her imza isabetini ve yapısal ihlali ayrı kayıt olarak ekler ve engelleme kararını tarama bittikten sonra toplam saldırı puanına göre verir. Kara liste isabeti de isteği hemen sonlandırmaz; 100 puan olarak eklenir ve tarama sürer. Aynı imza taranan tek bir değerde bir kez sayılır; farklı parametrelerde ya da farklı istek bölümlerinde tetiklenirse her biri ayrı puan ekler. Kayda geçen istekte tetiklenen bütün saldırılar Event Logs önizlemesinin Attacks sekmesinde listelenir. Tarama 2 saniyelik süre sınırı içinde tamamlanamazsa kesilir; istek Blocking modunda engellenir (Fail-open açıksa geçirilir), Learning ve Monitor modunda, kurallar yüklenirken oluşabilen bir istisna dışında, geçirilir.

Nasıl Çalışır?

1. Kara liste: Blacklist Protection kapsamındaki kaynak adres 100 puanlık bir ihlal olarak eklenir; istek kesilmez.
2. Bölüm bölüm tarama: Path, query, header ve gövde (JSON, XML, form ya da ham gövde) sırayla imza taramasından ve Check Fields denetimlerinden geçer. Her imza isabeti ve her yapısal ihlal ayrı bir kayıt olarak eklenir; birden çok yapısal ihlalin her biri 24 puan getirir.
3. Tekrarlar: Bir değer hem ham hem URL-çözülmüş hâliyle taransa da aynı imza o değer için bir kez sayılır. Aynı imza iki farklı parametrede tetiklenirse iki kayıt ve iki kez puan oluşur.
4. Karar: Tarama boyunca puan eşiğe ulaşsa bile tarama sürer; tarama bittiğinde toplam OWASP Protection Level değeriyle karşılaştırılır (TR7 WAF bir isteği engelleyip engellememeye nasıl karar verir?).

Örnek: Varsayılan Very Tight düzeyinde (eşik 4) bir isteğin q parametresinde High (6), id parametresinde Very High (8) puanlı imza tetiklenir ve istek kara listedeki bir adresten gelirse toplam 6 + 8 + 100 = 114 olur. Üç isabetin hepsi kayda girer.

Taranmayan kısımlar erken durma değildir:

• Do not WAF static contents ya da Whitelist Condition kapsamındaki istekler WAF'a hiç girmez.
• OWASP Check anahtarı kapalı alanlarda imza taraması yapılmaz (Learning modu hariç); OWASP Exclusions listesindeki imzalar o alanda aranmaz.
• Disabled durumundaki imzalar ve OWASP Protection Level Aggressive değilken Low puanlı imzalar hiçbir modda taranmaz.
• Gövdesi işlenebilir boyutu aşan istekte gövde taranmaz; Raw alanındaki Block Unparsed Contents ayarında Block Unparsed Body seçiliyse bu durum 24 puanlık yapısal ihlal olarak eklenir (Max. Body Size to Process).

Süre sınırı: Tarama 2 saniyelik süre sınırı içinde tamamlanamazsa kesilir ve WAF istek hakkında karar veremez. İstek Blocking modundaki grupta engellenir (Request Body Limits penceresindeki Fail-open açıksa taranmadan geçirilir) ve Event Logs'a yazılmaz; Learning ve Monitor modunda geçirilir (tek istisna, taramanın WAF kuralları yüklenirken ve host grubu belirlenmeden kesilmesidir: vService'te Blocking mode'da bir grup varsa bu istek engellenir (WAF Mode · Blocking Mode); Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?).

TR7'de Nereden Görülür?

• Left Monitor Panel → WAF-Protected vServices → vService → Event Logs açılır.
• Listedeki Attacks kolonunun ikinci sayısı, kayıt oluştuğu anda tetiklenen imza sayısıdır.
• Kaydın önizlemesindeki Attacks sekmesi her isabeti Attack area ve Attack name ile ayrı satırda gösterir; parametre üzerinde yakalanan isabette alan adının yanına @parametre eki gelir.
• Toplam puan Log Filter'daki WAF score alanıyla süzülür.

Sık Karıştırılan Noktalar

• "Puan eşiğe ulaşınca tarama durur." Tarama tamamlanır; karar sonda verilir ve bütün isabetler kayda girer.
• "Kara listedeki adresin isteği taranmaz." İstek taranır; Blacklist Protection isabeti diğer ihlallerle birlikte puana eklenir.
• "Aynı saldırı bir istekte yalnızca bir kez sayılır." Farklı parametrelerdeki ya da farklı istek bölümlerindeki tekrarlar ayrı sayılır.
• "Attacks sekmesinde görünmeyen bir isabet sayılmamıştır." Event Logs kaydı yalnızca toplamı eşiğe ulaşan ya da Monitor durumundaki bir imzayı tetikleyen istekler için yazılır; eşiğin altında kalan isteklerin isabetleri hiç kayda girmez.

Dokümantasyonda nasıl yapılır

• WAF · Nasıl çalışır
• WAF · İhlal puanları
• Event Logs · Attacks sekmesi
• Event Logs · Attacks kolonu

İlgili sorular

• TR7 WAF bir isteği engelleyip engellememeye nasıl karar verir?
• Saldırı puanı (attack score) nedir, nasıl hesaplanır?
• Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?