SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Temel

İmza nedir? ​

Kısa cevap

İmza, WAF'ın istekte aradığı bilinen bir saldırı desenidir. Her imza bir düzenli ifadeden (regex), desenin arandığı istek bölümlerinden (Inspection Scopes: Path, Query, Header, Form, JSON, XML, Raw), eşleştiğinde saldırı puanına eklenen ağırlıktan (Score: Low, Medium, High, Very High) ve durumdan (State: Enabled, Monitor, Disabled) oluşur. Karar puanla verilir: bir istekte eşleşen imzaların puanları toplanır ve toplam, vService'te seçili OWASP Protection Level eşiğine ulaşınca istek engellenir; tek bir isabetin puanı eşiğe ulaşıyorsa o isabet tek başına yeter. Yerleşik imzalar cihaz genelindeki Signature & Rule Library ekranında listelenir ve buraya özel kural eklenebilir. İmzalar bilinen saldırıyı tanıyan negatif güvenlik modelidir; sayfa tiplerindeki yapısal denetimler (pozitif güvenlik modeli) bunu tamamlar.

Nasıl Çalışır? ​

  1. WAF isteği yedi bölüme ayırır (path, query, header, form, JSON, XML, ham gövde). Bir bölüm ya da parametre, isteğin eşleştiği sayfa tipinde OWASP Check ayarı açıksa imza taramasına girer; host grubu Learning modundayken bu ayardan bağımsız olarak taranır.
  2. Her bölüm, Inspection Scopes listesinde o bölüm bulunan imzalarla taranır. Disabled imzalar hiç taranmaz; koruma düzeyi Aggressive değilse Low puanlı imzalar da taranmaz.
  3. Eşleşen her Enabled imzanın puanı isteğin toplam puanına eklenir. Monitor durumundaki imza gerçek puanıyla kaydedilir ama toplama eklenmez.
  4. Toplam puan koruma düzeyinin eşiğine ulaştığında host grubu Blocking modundaysa istek engellenir; Monitor modunda geçirilir ve kaydedilir.
  5. Toplam eşiğe ulaştığında ya da bir Monitor durumundaki imza eşleştiğinde Event Logs kaydı yazılır; eşiğin altında kalan Enabled isabetler kayıt üretmez.

Bir İmzanın Parçaları ​

ParçaAçıklamaNerede görülür
DesenSaldırıyı tanıyan düzenli ifadeYerleşik imzalarda arayüzde gösterilmez; özel kuralda Pattern (Regex) alanı
KapsamlarDesenin arandığı istek bölümleriKural formunda Inspection Scopes (Path, Query, Header, Form, JSON, XML, Raw); listede Signatures kolonu kapsam sayısını, önizlemede Active Signature Fields kapsam adlarını (URI Path, Query String, HTTP Headers, Form Data, JSON Body, XML Body, Raw Body) gösterir
PuanLow, Medium, High, Very High (sayısal karşılıkları 2, 4, 6, 8; yerleşik kütüphanedeki 9 puanlı üç kural da Very High görünür)Score kolonu
DurumEnabled, Monitor, DisabledState kolonu
SınıflandırmaSaldırı kategorisi, CWE, CAPEC, MITRE ATT&CK, OWASP Web, OWASP API, korunan platformSignature Category kolonu, önizlemede Classification sekmesi
KimlikYerleşik imzalarda 1.000.000'in altında; global özel kurallarda 1.000.000–4.999.999, vService'e özel kurallarda 5.000.000–9.999.999ID kolonu

TR7'de İmzalar ​

Sık Karıştırılan Noktalar ​

  • "İmza eşleşince istek engellenir." İsabetin puanı toplama eklenir; engelleme kararını toplam puan ile koruma düzeyinin eşiği verir.
  • "İmzalar yalnızca URL'de arar." Her imza, Inspection Scopes listesindeki bölümlerin her birinde aranır.
  • "Low puanlı bir imza Enabled göründüğüne göre çalışıyordur." Koruma düzeyi Aggressive değilse Low imzalar taranmaz (Koruma düzeyi OWASP Rules ekranındaki görünümü nasıl etkiler?).

Dokümantasyonda nasıl yapılır

İlgili sorular