Quarantine History

Quarantine History Nedir?

Quarantine History, bir route tablosunda L4 DDoS korumasının karantinaya aldığı her kaynağı kalıcı bir log olarak kaydeder ve seçilen tarih aralığında listeler. Her satır bir karantina girişidir: kaynağın IP adresi ve ülkesi, onu karantinaya gönderen kural, kuralın o andaki eşiği, karantina süresi ve kaynağın karantinadan çıkacağı zaman birlikte yazılır.

Bu ekran L4 DDoS Live View'daki karantina tablosunun geçmişe dönük karşılığıdır. Live View yalnız şu anda karantinada bulunan kaynakları gösterir; süresi dolan kaynak oradan düşer. Quarantine History ise karantinaya girmiş her kaynağı, süresi dolduktan sonra da saklar; "dün gece hangi adresler karantinaya alındı ve hangi kural yüzünden" sorusu buradan yanıtlanır.

Giriş

Kayıt anı

Kaynak karantinaya girdiğinde bir satır yazılır

7 Gün

Varsayılan aralık

Tarih aralığı seçiciyle değiştirilir

5 sn

Algılama adımı

Karantina listeleri beş saniyede bir okunur

Log İletimi

Dış sistemlere

Kayıtlar seçilen log hedeflerine de gönderilebilir

Yalnız karantinaya girişler kaydedilir

Log, bir kaynağın karantinaya girişini kaydeder; çıkış ayrı bir satır olarak yazılmaz. Her satırın Released At kolonu, kaynağın karantina süresi dolduğunda çıkacağı zamanı zaten taşır.

Kayıt Ne Zaman Oluşur?

Cihaz, route tablosundaki karantina listelerini beş saniyede bir okur ve her okumayı bir öncekiyle karşılaştırır. Önceki okumada bulunmayan her kaynak için bir satır yazılır. Bu nedenle Date kolonundaki zaman, kaynağın listeye eklendiği andan en fazla beş saniye sonrasıdır.

Aşağıdaki durumlar geçmişe satır olarak yansımaz:

Durum	Sonuç
Kaynak, L4 DDoS Live View'dan elle karantinadan çıkarılır ya da bir kuralın karantina listesi boşaltılır	Geçmişteki satır değişmez; Released At planlanan çıkış zamanını göstermeye devam eder. İşlem User Logs ekranına kaydedilir.
Karantina süresi dolar	Ayrı bir satır yazılmaz; çıkış zamanı giriş satırının Released At kolonundadır.
Kaynak, beş saniyelik iki okuma arasında karantinaya girip çıkar	Kayıt oluşmaz.
Karantinadaki izleme yeniden başlar (ör. cihaz açılışı)	O anda listede bulunan kaynaklar ilk okumada başlangıç durumu sayılır ve satır olarak yazılmaz; yalnız bundan sonra gelen girişler kaydedilir.
Tek bir karantina listesinde (kural ve IP sürümü başına) 5000'den fazla kaynak bulunur	Listede 5000'in üzerindeki kaynaklar okunmadığından kaydedilmez.

Log iletimi aynı girişleri kullanır

Route tablosunda Quarantine Log Forwarding tanımlıysa, bu ekrana yazılan girişler seçilen log hedeflerine de gönderilir. İletim de yalnız karantinaya girişte yapılır. Her hedefe saniyede en fazla 200 kayıt gönderilir; bu sınırı aşan kayıtlar iletilmez ama bu ekranda bulunmaya devam eder.

Quarantine History'ye Erişim

1. Left Monitor Panel açılır.
2. Sol üstteki kategori sekmelerinden Route Tables & L4 DDoS seçilir.
3. TR7 üzerinde tanımlı route tabloları listelenir.
4. İzlenecek route tablosuna tıklanır; ekran, route tablosunun adını taşıyan Dashboard sekmesiyle açılır.
5. Açılan ekranda Quarantine History sekmesine tıklanır.

Sekme, route tablosunu görüntüleme yetkisi olan her kullanıcıya görünür. Ekran açıldığında son yedi günün kayıtları kendiliğinden yüklenir.

Quarantine History Listeleme Ekranı

Seçilen route tablosunun karantina geçmişi, tarih aralığına göre listelenir.

Quarantine History Listeleme Ekranı

Tablo varsayılan olarak şu kolonlarla açılır:

Kolon	Açıklama
Date	Kaynağın karantinaya girdiğinin algılandığı tarih ve saat.
Source	Kaydı yazan TR7 cihazının adı. Yalnız cluster kurulumunda görüntülenir.
IP	Karantinaya alınan kaynak adres, ülke bayrağıyla. Adres, IP Intelligence & Reputation kara listesindeyse kırmızı, başka bir kara listedeyse turuncu, bir beyaz listedeyse yeşil yazılır; bir IP Tag ile eşleşiyorsa yanında ikonu görüntülenir; liste durumu olmayan etiketli adres etiket rengiyle, etiketsiz adres varsayılan renkte yazılır. Renk, ekranın açıldığı andaki durumu gösterir; kaynağın karantinaya girdiği andaki durumu değil.
Country	Kaynağın ülkesi. Ülkesi çözümlenemeyen adreslerde - yazar.
Reason	Kaynağı karantinaya gönderen kuralın arayüzdeki tam adı; adın kalın kısmı kuralın ailesini ya da saldırı türünü verir (ör. (Syn flood) - Drop SYN with suspicious MSS, Christmas Tree attack protection).
Limit	Kuralın, kaynak karantinaya girdiği andaki eşiği: hız kurallarında <değer>/s, bağlantı kurallarında <değer> concurrent. İmza tabanlı kurallarda (ör. şüpheli MSS, geçersiz bayraklar, port tarama) eşik bulunmadığından - yazar.
Duration	Kaynağın karantinada kalacağı süre (ör. 2h). Algılama beş saniyelik adımlarla yapıldığından süre, karantina süresinin birkaç saniye altında görünebilir (ör. 1h 59m).
Released At	Kaynağın karantina süresi dolduğunda çıkacağı zaman. Hâlâ karantinada olan kaynaklarda ileri bir tarih gösterir; elle çıkarılan kaynaklarda da planlanan zaman yazmaya devam eder.

Aşağıdaki kolon varsayılan olarak gizlidir ve kolon seçicisinden eklenir:

Kolon	Açıklama
IP Version	Kaynağın IP sürümü: IPv4 veya IPv6.

Satıra tıklandığında önizleme paneli açılmaz ve satır sağ tık menüsü bulunmaz. Kayıtlar yalnız görüntülenir; karantinadan çıkarma ve muafiyet listesine ekleme işlemleri L4 DDoS Live View ekranındadır.

Araç çubuğundaki öğeler soldan sağa aşağıdaki sırayla yer alır; son iki öğe (Page Information ve Page Size) tablonun altındaki bilgi şeridinde bulunur.

Columns

Tabloda hangi kolonların gösterileceği seçilir; IP Version dışındaki kolonlar varsayılan olarak açıktır. Aynı panelde kolonlar sürüklenerek yeniden sıralanır ve kolon başına hizalama seçilir; Fit rows to the page butonuyla satır yüksekliği sayfaya sığdırılır, Reset butonuyla kolon düzeni varsayılana alınır. Elle genişletilmiş bir kolonun yanındaki genişlik rozetine tıklandığında kolon otomatik genişliğe döner. Kolon seçimi kullanıcı bazında saklanır.

Time Range

Logların görüntüleneceği zaman aralığı seçilir. Önceden tanımlı aralıklar: 5 dk · 15 dk · 30 dk · 1 saat · 3 saat · 12 saat · 1 gün · 3 gün · 7 gün · 1 ay · 3 ay; ayrıca Custom Duration (serbest süre) ve Custom Date Range (takvimden başlangıç-bitiş) kullanılır. Varsayılan değeri Last 7 day(s)'tır. Aralık değiştirildiğinde kayıtlar yeniden yüklenir.

Get Logs

Seçilen zaman aralığındaki kayıtları sunucudan yeniden yükler. Liste kendiliğinden güncellenmez; ekran açıkken karantinaya giren yeni kaynakları görmek için butona tekrar tıklanır. Yükleme sürerken buton pasif kalır.

Filter

Filter butonu, filtre şeridini açar ve kapatır; şerit bu ekranda varsayılan olarak açık gelir. Kartların sırası sürüklenerek değiştirilir ve kullanıcı bazında saklanır. Kartlar Filtre Şeridi bölümünde açıklanmıştır.

Export

Export butonuna tıklanarak tablo Excel, CSV veya PDF olarak dışa aktarılır. Açılan pencerede Filename, Format ve Data Source ile dışa aktarılacak Columns belirlenir; kalan alanlar biçime göre görüntülenir: CSV'de CSV Separator, Excel'de Excel Sheet Name, PDF'te Page Orientation ve Page Size.

Search

Tablodaki tüm bilgilerde arama yapmak için kullanılır.

RegExp Search

Tabloda bulunan tüm bilgilerde düzenli ifade (RegExp) ile arama yapmak için kullanılır.

Column Based Search

Tabloda bulunan bilgilerde sütun bazlı arama yapmak için kullanılır.

Page Information

Yüklenen toplam kayıt sayısı ile listede görüntülenen kayıt aralığına ait bilgiler yer alır: Showing N-M of T records. Kayıt yoksa No records to show, aramayla eşleşen kayıt yoksa No results for the search query yazar.

Page Size

Sayfada görüntülenecek maksimum kayıt sayısı seçilir. Varsayılan 100; seçenekler 5, 10, 20, 50, 100, 200, 500 ve All.

Filtre Şeridi

Şeritteki her kart, yüklenen kayıtlardan üretilir; kartın yanındaki sayı, o kartta seçilebilecek farklı değer sayısıdır. Birden fazla kartta seçim yapıldığında seçimler birlikte uygulanır.

Kart	İçeriği
Reason	Kaynakları karantinaya gönderen kurallar; birden fazla kural seçilebilir.
Country	Kaynakların ülkeleri; kart içinde arama yapılır ve birden fazla ülke seçilebilir.
IP Tags	Kaynak adreslere uyan IP Tags etiketleri; etiketsiz adresler için No Tags seçeneği bulunur. Geniş bir bloğun etiketi seçildiğinde, içindeki daha dar bir bloğun etiketini taşıyan kaynaklar da listede kalır.
IP Version	IPv4 veya IPv6.
Device	Kaydı yazan TR7 cihazı. Yalnız cluster kurulumunda görüntülenir.

IP Adresine Tıklama

IP kolonundaki adresin üzerine gelindiğinde adresin konum, ASN, ağ tipi ve varsa etiket bilgilerini gösteren küçük bir pencere açılır. Adrese tıklandığında aynı bilgileri içeren <ip> details penceresi açılır; bu pencerede adres için aşağıdaki işlemler bulunur:

İşlem	Ne yapar
Add IP Tag	Adrese bir IP Tag verir; adresin kendine ait bir etiketi varsa Edit IP Tag adını alır.
Add to Blacklist (IP Intelligence)	Adresi IP Intelligence & Reputation kara listesine ekler. Adres elle eklenmiş bir kara liste girdisiyse Remove from Blacklist (IP Intelligence) görüntülenir; tehdit veritabanından gelen adreslerde çıkarma butonu bulunmaz.
Add to Whitelist (IP Intelligence)	Adresi IP Intelligence & Reputation beyaz listesine ekler; adres elle eklenmiş bir beyaz liste girdisiyse Remove from Whitelist (IP Intelligence) görüntülenir.

Add IP Tag dışındaki işlemler, altında IP address: <ip> (<ülke>) satırı bulunan bir onay sorusundan sonra uygulanır; soru metinleri IP Intelligence & Reputation sayfasında listelenmiştir. Bu işlemler IP Intelligence & Reputation listelerini değiştirir; L4 DDoS karantinasını ya da L4 DDoS muafiyet listesini değiştirmez.

Cluster Davranışı

Cluster kurulumunda her TR7 cihazı kendi karantina girişlerini kendi logunda tutar. Ekran iki cihazın kayıtlarını birleştirerek listeler; kaydın hangi cihazdan geldiği Source kolonunda ve Device filtre kartında görüntülenir.

Kapsam ve Sınırlar

INFO

• Geçmiş, route tablosu başına tutulur; ekran yalnız açıldığı route tablosunun kayıtlarını gösterir.
• Satırlar yalnız karantinaya girişte yazılır. Elle çıkarma ve liste boşaltma işlemleri geçmişi değiştirmez; bu işlemler User Logs'ta görülür.
• IP kolonundaki renk ve etiketler kayıt anına değil, ekranın açıldığı ana aittir.
• Kayıtlar Dashboard'daki karantina grafikleriyle aynı algılamadan beslenir; beş saniyeden kısa süren karantinalar iki ekranda da görünmez.