Yeni bir imzayı canlıda risksiz nasıl denerim (Monitor durumu)?

Kısa cevap

İmza Monitor durumunda çalıştırılır: yeni özel kural Add Custom Rule penceresinde State = Monitor seçilerek eklenir, mevcut bir imza ise Change State ile Monitor'a alınır. Monitor durumundaki imza taranır ve her eşleşmesi gerçek puanıyla Event Logs kaydına yazılır, ama puanı toplama eklenmez; bu yüzden tek başına hiçbir isteği engellemez (State değerleri). Bir süre Event Logs'ta filtre şeridinin Signature sekmesiyle yalnızca bu imzanın kayıtları incelenir; meşru isteklerde eşleşme yoksa durum Enabled yapılır. İşlem Signature & Rule Library ekranında yapılırsa bütün vService'lerde, vService'in OWASP Rules ekranında yapılırsa yalnızca o vService'te geçerlidir. Deneme için host grubu Monitor ya da Blocking modunda olmalıdır; Learning modunda Event Logs kaydı üretilmez.

Sorun: Yeni İmza Meşru Trafiği Engelleyebilir

Yeni bir özel kural ya da daha önce kapalı bir imza canlıya alınacak. Desen meşru istekleri de yakalıyorsa, kullanıcılar engellenmeden önce bu eşleşmelerin görülmesi gerekiyor.

Çözüm: İki Yöntem

Durumunuz	Uygun yöntem
Yeni bir özel kural ekliyorum	Yöntem 1: Monitor durumunda ekle
Mevcut bir imzayı (yerleşik ya da özel) denemek istiyorum	Yöntem 2: Mevcut imzayı Monitor'a al
Tek imza değil, host grubunun bütün kural seti denenecek	Host grubunu Monitor moduna alın: Monitor modunu false positive ayıklamak için nasıl kullanırım?

Yöntem 1: Monitor Durumunda Ekle Önerilen

• Nasıl çalışır Kural ilk andan itibaren eşleşmelerini kaydeder ama hiçbir isteği engellemez.
• Nerede açılır Signature & Rule Library ya da vService'in OWASP rules ekranı → Add
• Gereksinim Kuralın ekleneceği katmanda yazma yetkisi; denenecek vService'lerde host grubu Monitor ya da Blocking modunda
• Kapsam Signature & Rule Library'de bütün vService'ler, OWASP rules ekranında yalnızca o vService

Adım adım yapılandırma

1

Adım 1 Ekleme formunu aç

Kuralın katmanına göre Configuration Menu → WAF → Signature & Rule Library ya da vService'in OWASP Rules ekranı açılır ve araç çubuğundaki Add tıklanır; Add Custom Rule penceresi açılır.

2

Adım 2 Kuralı tanımla

Name, Description, Score, Inspection Scopes ve Pattern (Regex) alanları doldurulur ve desen kaydetmeden denenir (Kendi özel kuralımı (regex) nasıl eklerim?).

3

Adım 3 Durumu Monitor yap

State listesinde varsayılan Enabled yerine Monitor seçilir.

4

Adım 4 Kaydet

Accept tıklanır; kural ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.

5

Adım 5 Event Logs ekranını aç

Left Monitor Panel → WAF-Protected vServices → vService seçilir ve Event Logs sekmesi tıklanır (Event Logs'a erişim).

6

Adım 6 Yalnızca bu imzanın kayıtlarını süz

Tablonun üstündeki filtre şeridinde Signature sekmesi açılır ve kuralın adı seçilir.

7

Adım 7 Kayıtları incele

Bir satıra tıklanır; önizlemenin Attacks sekmesinde eşleşen içerik ve imzanın puanı görülür. Başka bir imza isteği engellemediyse kaydın kararı Not blocked — Below the blocking threshold olarak görünür; host grubu Monitor modundaysa karar Not blocked — Monitor mode olur. Eşleşmeler meşru istekleri içeriyorsa desen ya da kapsamlar daraltılır.

8

Adım 8 Kuralı devreye al

Kütüphane ekranında kuralın satırı işaretlenir, Change State tıklanır, New State = Enabled seçilir ve Accept tıklanır.

Doğrulama

1Kural listesiTR7 tarafı

Kuralın State kolonuna ve üstteki State kartındaki Monitor sayısına bakılır.

BeklenenState: Monitor (sarı)

2Eşleşen istekİstemci ve TR7 tarafı

Desene uyan bir istek gönderilir ve Event Logs'a bakılır.

Beklenenİstek normal yanıt alır · Event Logs'ta kayıt var

Yöntem 2: Mevcut İmzayı Monitor'a Al

• Nasıl çalışır Mevcut imzanın puanı toplamdan çıkarılır; eşleşmeleri kaydedilmeye devam eder.
• Nerede açılır Signature & Rule Library ya da vService'in OWASP rules ekranı → Change State
• Gereksinim Değişikliğin yapılacağı katmanda yazma yetkisi
• Kapsam Signature & Rule Library'de bütün vService'ler, OWASP rules ekranında yalnızca o vService

Adım adım yapılandırma

1

Adım 1 İmzayı bul ve seç

Kütüphane ekranında Search alanına imzanın kimliği ya da adı yazılır ve satır işaretlenir.

2

Adım 2 Change State penceresini aç

Araç çubuğundaki Change State tıklanır.

3

Adım 3 Monitor seç

New State alanında Monitor seçilir; alan her açılışta Enabled seçili gelir.

4

Adım 4 Kaydet

Accept tıklanır; değişiklik onay sorulmadan uygulanır.

5

Adım 5 İzle ve devreye al

Yöntem 1'deki 5–8. adımlar uygulanır; imza yerleşik bir imzaysa Enabled'a dönmek için Restore to Default de kullanılabilir.

Doğrulama

1Kural listesiTR7 tarafı

Kuralın State kolonuna bakılır; yerleşik imzada satır italik ve sarı tonla boyanır.

BeklenenState: Monitor

Sık Yapılan Hatalar

• Monitor durumu ile Monitor modunu karıştırmak. Durum tek bir imzayı puandan çıkarır; mod host grubunun bütün kural setini engellemeden çalıştırır (Monitor modunda WAF ne yapar?).
• Learning modundaki host grubunda deneme yapmak. Learning modunda eşleşmeler öğrenme kaydına gider, Event Logs kaydı üretilmez; deneme Monitor ya da Blocking modundaki grupta yapılır.
• Monitor imzanın isteği hiç engelleyemeyeceğini sanmak. Aynı istekte Enabled imzaların puanı eşiğe ulaşırsa istek engellenir (Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?).
• Low puanla deneme yapmak. Koruma düzeyi Aggressive değilse Low puanlı imzalar Monitor durumunda da taranmaz; deneme için puan Medium ve üstü seçilir.

Dokümantasyonda nasıl yapılır

• Signature & Rule Library · State değerleri ve trafikteki karşılığı
• WAF · Puana girmeyen üç durum
• Event Logs · Filtre şeridi
• Event Logs · Action değerleri

İlgili sorular

• Monitor modunu false positive ayıklamak için nasıl kullanırım?
• Hangi durumlarda saldırı tespit edildiği hâlde istek engellenmez (Monitor durumundaki imza, Monitor modu, Teacher, Learning modu)?
• Monitor modunda WAF ne yapar?