Bir imzanın durumu (Enabled / Monitor / Disabled) ne anlama gelir?

Kısa cevap

State üç değer alır. Enabled: imza taranır ve eşleştiğinde puanı isteğin toplam puanına eklenir; toplam, vService'in OWASP Protection Level eşiğine ulaşırsa istek engellenir. Monitor: imza taranır ve her eşleşmesi gerçek puanıyla Event Logs kaydına yazılır, ama puanı toplama eklenmez; tek başına hiçbir isteği engellemez. Disabled: imza hiç taranmaz; eşleşme aranmaz, kayıt üretilmez. Durum tek bir kurala aittir ve host grubunun WAF Mode ayarını aşmaz: Monitor modundaki ya da Learning modundaki host grubunda Enabled imza da isteği engellemez. Derlenemeyen bir kuralın durumunun yanında (Faulty) eki görünür (Filter penceresinde Faulty seçeneğiyle süzülür); o kural uygulanmaz.

Nasıl Çalışır?

	Enabled	Monitor	Disabled
Taranır mı	Evet	Evet	Hayır
Puanı toplama eklenir mi	Evet	Hayır (kayıtta gerçek puanıyla görünür)	-
Event Logs kaydı	Toplam puan eşiğe ulaşırsa	Her eşleşmede	Yok
Tek başına engeller mi	Puanı eşiğe ulaşıyorsa evet (ör. varsayılan Very Tight düzeyinde Medium ve üstü)	Hayır	Hayır
Listedeki görünüm	State kolonunda yeşil	State kolonunda sarı (amber)	State kolonunda gri; satır soluk

• Monitor durumundaki bir imza eşleştiğinde istek engellenmemişse kaydın kararı Not blocked — Below the blocking threshold olarak görünür; host grubu Monitor modundaysa karar Not blocked — Monitor mode olur (Action değerleri). Aynı istekte Enabled imzaların puanı eşiğe ulaşırsa istek yine engellenir.
• Koruma düzeyi Aggressive değilse Low puanlı imzalar durumları Enabled ya da Monitor olsa da taranmaz (Koruma düzeyi OWASP Rules ekranındaki görünümü nasıl etkiler?).
• Host grubu Learning modundayken Disabled imzalar yine taranmaz; Enabled ve Monitor imzaların eşleşmeleri Event Logs'a değil öğrenme kaydına yazılır.
• Durum, Change State penceresinden ya da Edit formundan değiştirilir; değişiklik imza veritabanının yeniden derlenmesini gerektirmez. Signature & Rule Library ekranında yapılırsa bütün vService'lerde, vService'in OWASP rules ekranında yapılırsa yalnızca o vService'te geçerlidir.
• Yalnızca durumu değiştirilen kural listede italik ve renkli görünür, ama Filter → Customizations grubunda Changed değil Unchanged sayılır; durum kırılımı State grubundan izlenir.
• Filter → State grubunda derlenemeyen kurallar ayrı bir Faulty seçeneğinde toplanır; State kartında ise kendi durumları altında sayılır (Özel kuralım derlenemezse WAF korumaya devam eder mi; bundan nasıl haberim olur?).
• Monitor durumunun yeni bir imzayı denemek için kullanımı: Yeni bir imzayı canlıda risksiz nasıl denerim (Monitor durumu)?

Sık Karıştırılan Noktalar

• "Monitor durumundaki imza, Monitor modu gibi çalışır." Durum tek bir imzayı puandan çıkarır; Monitor modu ise host grubunun bütün kural setini engellemeden çalıştırır (Monitor modunda WAF ne yapar?).
• "Disabled imza Learning modunda öğrenmeye katılır." Disabled imza hiçbir modda taranmaz.
• "Enabled imza her eşleşmede kayıt üretir." Enabled isabetler, toplam puan eşiğe ulaşmadıkça Event Logs'a yazılmaz; yalnızca Monitor durumundaki imzalar her eşleşmede kayıt üretir.

Dokümantasyonda nasıl yapılır

• Signature & Rule Library · State değerleri ve trafikteki karşılığı
• WAF · Puana girmeyen üç durum
• Event Logs · Log hangi durumda üretilir?
• WAF Mode · Modların çalışma anı davranışı

İlgili sorular

• Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?
• Monitor modunda WAF ne yapar?
• Event Logs'taki Action değerleri ne anlama gelir?