SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Orta

Bir imzayı tüm cihazda değil yalnızca tek bir vService'te kapatabilir miyim? ​

Kısa cevap

Evet. İşlem cihaz genelindeki Signature & Rule Library ekranından değil, o vService'in OWASP Rules ekranından yapılır: imza seçilip Change State ile Disabled (false positive şüphesinde önce Monitor) seçildiğinde değişiklik yalnızca o vService'in katmanına yazılır; diğer vService'ler ve global kütüphane etkilenmez. İmzayı vService'in yalnızca belirli bir sayfasında ya da parametresinde devre dışı bırakmak için daha dar yol, Page Types ekranında ilgili sayfa tipinin o bölümüne ya da parametresine ait kuralda imzayı OWASP Exclusions listesine eklemektir. İki değişiklik de ayrı bir dağıtım adımı olmadan uygulanır ve imza veritabanının yeniden derlenmesini gerektirmez; durum değişikliği Restore to Default ile geri alınır.

Sorun: Bir İmza Yalnızca Bir Uygulamada False Positive Üretiyor ​

Bir imza tek bir uygulamanın meşru isteklerini yakalıyor. İmzayı cihaz genelinde kapatmak, aynı imzanın koruduğu diğer uygulamalardan da korumayı kaldırır; bu yüzden değişikliğin yalnızca ilgili vService'te ya da ilgili sayfada kalması gerekir.

Çözüm: İki Yöntem ​

Yöntemler birbirinin alternatifidir; aynı imza için ikisinin birden uygulanması gerekmez.

DurumunuzUygun yöntem
İmza bu vService'in hiçbir yerinde çalışmasınYöntem 1: vService katmanında Change State
İmza yalnızca belirli bir sayfada ya da parametrede çalışmasınYöntem 2: Sayfa tipinde OWASP exclusions
False positive Event Logs'ta görünüyor; tek tıkla öğretmek istiyorumAllow / Teach: Yanlışlıkla engellenen bir isteğe nasıl izin veririm?
  • Nasıl çalışır Seçilen imzaların durumu yalnızca bu vService'in katmanında değişir. Disabled imza bu vService'te hiç taranmaz; Monitor imza taranır ve kaydedilir ama puana katılmaz.
  • Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → imza özeti şeridindeki OWASP Rules bağlantısı → Change State
  • Gereksinim vService'te WAF koruması açık; WAF alanında değiştirme yetkisi
  • vService tipi HTTP

Adım adım yapılandırma ​

1
Adım 1 vService'in WAF ekranını aç

Left Monitor Panel'de WAF-Protected vServices sekmesi seçilir ve vService'e tıklanır; ekran vService'in Dashboard sekmesiyle açılır.

2
Adım 2 WAF Management sekmesine geç

WAF Management sekmesi tıklanır.

3
Adım 3 OWASP rules ekranını aç

Mod kartlarının altındaki imza özeti şeridinin sağ altındaki OWASP Rules → bağlantısı tıklanır; OWASP Rules sekmesi açılır (nasıl erişilir). Bu ekranda yapılan değişiklik yalnızca bu vService'i etkiler.

4
Adım 4 İmzayı bul

Tablonun üstündeki Search alanına imzanın kimliği ya da adı yazılır. Kimlik, Event Logs kaydının Attacks sekmesindeki Attack ID satırında görülür (Attacks sekmesi).

5
Adım 5 Satırı seç

İmzanın satırı satır başındaki kutuyla işaretlenir; birden fazla imza birlikte seçilebilir.

6
Adım 6 Change State penceresini aç

Araç çubuğundaki Change State tıklanır; Change State penceresi açılır. Aynı pencere satırın sağ tık menüsünden ve satıra tıklanınca açılan önizlemenin başlığındaki Change State ikonundan da açılır. Seçimde yalnızca yapısal denetim kayıtları ya da IP Reputation kaydı varsa buton pasiftir; bu kayıtlar salt okunurdur.

7
Adım 7 Yeni durumu seç

New State alanında Disabled seçilir; imzanın gerçekten gereksiz olup olmadığı önce gözlenecekse Monitor seçilir. Alan her açılışta Enabled seçili gelir.

8
Adım 8 Kaydet

Accept tıklanır; ayrı bir onay penceresi açılmaz ve değişiklik dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Edit formuyla

Durumla birlikte puanın ya da kapsamların da değişmesi gerekiyorsa satır seçilip Edit tıklanır; Edit Rule Changes formunda State anahtarı Keep Original konumundan Change konumuna alınır, Disabled seçilir ve Accept tıklanır (Kural Düzenleme Formu). Sonuç aynı katmana yazılır.

Doğrulama ​

1OWASP rules ekranıTR7 tarafı

Kuralın satırına bakılır: bu katmanda değiştirilen satır italik yazılır ve sarı tonla boyanır; Disabled satır soluk görünür. Satıra tıklanınca önizleme Original rule ve Edited rule kolonlarına ayrılır, State satırı vurgulanır.

BeklenenState: Disabled · iki kolonlu önizleme
2Global ekranTR7 tarafı

Configuration Menu → WAF → Signature & Rule Library'de aynı kimlik aranır.

BeklenenDurum değişmemiş

Yöntem 2: Sayfa Tipinde OWASP Exclusions ​

  • Nasıl çalışır İmza, yalnızca seçilen sayfa tipinin seçilen bölümünde ya da parametresinde aranmaz; aynı vService'in diğer sayfalarında ve parametrelerinde çalışmaya devam eder.
  • Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → host grubunun N page types satırı → sayfa tipi → bölüm sekmesi
  • Gereksinim vService'te WAF koruması açık; WAF alanında değiştirme yetkisi
  • vService tipi HTTP

Adım adım yapılandırma ​

1
Adım 1 Saldırının yerini belirle

Event Logs kaydının Attacks sekmesinde Corresponding rule (eşleşen sayfa tipi), Attack area (bölüm) ve Argument (parametre) satırlarına bakılır.

2
Adım 2 Page types listesini aç

WAF Management sekmesinde host grubunun N page types satırı tıklanır; Page Types sekmesi açılır (ekrana erişim).

3
Adım 3 Sayfa tipini seç

Corresponding Rule satırındaki sayfa tipine (hiçbir sayfa tipine uymayan isteklerde italik Any Paths satırına) tıklanır; sağda detay paneli açılır.

4
Adım 4 Bölüm sekmesine geç

Panelin sekme şeridinde saldırının bölümüne karşılık gelen sekme (Query, Header, JSON, Xml, Form ya da Raw) tıklanır (Path Check Fields).

5
Adım 5 Parametrenin kural formunu aç

Argument tablosunda parametre bu sayfa tipinin kendi kuralıysa (kalın) satıra tıklanır ve detayın üstündeki Edit tıklanır. Parametre tabloda yoksa ya da italik (devralınmış) görünüyorsa tablonun üstündeki Add Argument Rule for … (ör. Add Argument Rule for Query) tıklanır ve Argument Name alanına parametrenin adı yazılır. İstisna bölümdeki bütün parametrelere uygulanacaksa bunun yerine ortak kuralın Edit Common Rule for … (bölüm devralınmışsa Add Common Rule for …) butonu kullanılır.

6
Adım 6 İmzayı istisnaya ekle

OWASP Check kutusu işaretli bırakılır; kutu işaretliyken görünen OWASP Exclusions alanında imza adıyla seçilir (Query · OWASP Exclusions). Bir alandaki istisna sayısı Max. OWASP Exclusions ayarıyla sınırlıdır ("Max. Owasp Exclusions" ayarı ne işe yarar; sınır aşılırsa ne olur?).

7
Adım 7 Kaydet

Form, düzenlemede Edit, eklemede Add butonuyla kaydedilir; ayrı bir dağıtım adımı yoktur. Cluster kurulumunda değişiklik varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

Doğrulama ​

1Detay paneliTR7 tarafı

Sayfa tipinin ilgili sekmesinde parametrenin OWASP check satırına bakılır.

Beklenen✓ işaretinin yanında istisna sayısı
2Event LogsTR7 tarafı

Aynı sayfaya, aynı parametreyle istek gönderilip Event Logs'a bakılır.

BeklenenBu imza için bu parametrede kayıt yok

Sık Yapılan Hatalar ​

  • Kapatmayı Signature & Rule Library'de yapmak. Global ekrandaki değişiklik WAF koruması açık bütün vService'lere uygulanır.
  • Doğrudan Disabled'a almak. Disabled imza hiç taranmadığından kayıt da üretmez; imzanın gereksizliğinden emin olunmadıysa önce Monitor ile isabetler izlenir (Yeni bir imzayı canlıda risksiz nasıl denerim (Monitor durumu)?).
  • Devralınan (italik) parametre satırında Edit aramak. Devralınan satır yalnızca kaynağı olan kuraldan (çoğu zaman Any paths) düzenlenir; sayfa tipine özel istisna için o sayfa tipinde ayrı değişken kuralı eklenir.
  • OWASP check kutusunu kapatıp istisna eklediğini sanmak. Kutu kapatılınca o alanda bütün imzalar devre dışı kalır; tek imza için kutu açık bırakılıp OWASP exclusions kullanılır (Bir imzayı tamamen kapatmak mı, OWASP istisnası (exclusion) eklemek mi daha doğru?).

Dokümantasyonda nasıl yapılır

İlgili sorular