WAF Attack ID

WAF Attack ID Koşulu Nedir?

WAF Attack ID koşulu, TR7 Web Application Firewall (WAF) tarafından işaretlenen belirli saldırı kurallarına göre trafik yönlendirme ve manipülasyon kararları almak için kullanılan bir koşul tipidir.

Koşul; istek, WAF'ın blok eşiğine ulaştığında veya monitor modundaki bir kural tetiklendiğinde değerlendirilebilir hale gelir: eşiğin altında kalan tekil tespitler koşulu tetiklemez. vService'e WAF profili bağlı değilse koşul hata üretmez, sessizce eşleşmez.

Incoming Request

↓

WAF Analizi (Saldırı Tespiti)

↓

Tespit edilen Saldırı ID'leri:
· 110045 (SQL Injection kategorisinden bir kural)

↓

Eşleştir: ID yapılandırılan listede mi?
[ seçilen kuralların ID listesi ]

↓

Sonuç: Eşleşme bulundu (110045)

Bu koşul sayesinde WAF tarafından tespit edilen belirli saldırı türlerine özel aksiyonlar uygulanabilir.

TIP

Bu koşul yalnızca HTTP ve WAF modülü aktif olan vService'lerde kullanılabilir.

WAF Attack ID Koşulunun Önemi

WAF Attack ID koşulu, saldırı tipine göre özelleştirilmiş güvenlik politikaları oluşturmak için güçlü bir araçtır.

WAF Attack ID koşulu sayesinde;

• Belirli saldırı türlerine özel aksiyonlar tanımlanabilir,
• Farklı saldırı tipleri farklı şekilde işlenebilir,
• False positive durumlarında özel istisna kuralları oluşturulabilir,
• Kritik saldırılar için ek güvenlik önlemleri alınabilir,
• Saldırı tipine göre loglama seviyesi ayarlanabilir.

WAF ve Condition Entegrasyonu:

Bileşen	Rol
WAF Profile	Saldırı tespiti ve skorlama
Condition	Tespit edilen saldırıya göre koşul eşleştirme
Action	Koşul sağlandığında uygulanacak aksiyon

WAF Attack ID vs WAF Attack Group Karşılaştırması

Yaklaşım	Avantaj	Kullanım
WAF Attack ID	Hassas kontrol	Belirli kurallar için
WAF Attack Group	Kapsamlı kontrol	Kategori bazlı politikalar için

Kullanılabildiği vService Tipleri

HTTP (WAF Aktif Olmalı)

L7 TCP

Network

Koşul, hem istek (At Request) hem yanıt (At Response) aşamasında kullanılabilir.

Nasıl Eklenir?

Yeni bir WAF Attack ID Koşulu, TR7 web yönetim arayüzü üzerinden aşağıdaki adımlar izlenerek eklenebilir:

1. Sol altta bulunan TR7 logosuna tıklanarak Configuration Menu açılır.
2. Load Balancer → Conditions → Add adımları takip edilir.
3. Criteria olarak WAF attack ID seçilir.
4. Koşula ait ilgili konfigürasyonlar yapılandırılır.
5. Add butonuna tıklanarak koşul eklenir.

WAF Attack ID Koşulu Ekleme Formu

WAF Attack ID Koşulu Ekleme Formu

INFO

Condition Name

Oluşturulacak koşul için isteğe bağlı bir isim girilebilir.

Bu alan, özellikle aşağıdaki senaryolarda önemlidir:

• Aynı vService altında çok sayıda koşul tanımlandığında,
• Benzer kriterlere sahip koşulların ayırt edilmesi gerektiğinde,
• Koşulun hangi iş kuralını temsil ettiğinin hızlıca anlaşılması istendiğinde.

Bu alan boş bırakıldığında, TR7 ilgili koşulun içeriğini analiz ederek Condition Description alanında otomatik ve açıklayıcı bir isim oluşturur. Oluşturulan bu açıklama, koşul listelerinde isim olarak kullanılır.

INFO

Criteria Zorunlu

Koşulun tipini belirleyen alandır; aranabilir açılır listeden WAF attack ID seçilir. Bu seçim, formda görüntülenecek alanları belirler. Kriter, koşul kaydedildikten sonra değiştirilemez: farklı bir kritere ihtiyaç duyulursa yeni bir koşul tanımlanır. Listedeki tüm kriterler ve kapsamları için Conditions sayfasındaki kriter kataloğuna bakılabilir.

INFO

WAF Attack Signatures Zorunlu

Kontrol edilecek WAF kuralları, kural adlarıyla aranan çoklu seçim listesinden seçilir; ID elle yazılmaz. Listede 3000'den fazla kural bulunduğundan liste arama yapılarak kullanılır ("tümünü seç" işlemi arama sonuçlarına uygulanır). En az bir kural seçilmelidir.

• Loglarda veya WAF Dashboard'da görülen kural adı ile listede arama yapılır; seçim kaydedildiğinde arka planda kuralın ID'si kullanılır.
• Listede OWASP kuralları ve yapısal kurallar (Structure Limits/Policies, Content Integrity, IP Reputation) yer alır; özel (custom) WAF kuralları bu listede sunulmaz.

TIP

Birden fazla kural seçildiğinde, herhangi birinin eşleşmesi durumunda koşul sağlanır (OR mantığı).

INFO

Condition Description

Girilen kriter ve değerler doğrultusunda TR7 tarafından otomatik olarak oluşturulur.

Bu açıklama;

• Koşulun hangi değer için geçerli olduğunu,
• Hangi kriter üzerinden çalıştığını,
• Listeleme ekranlarında koşulun hızlıca anlaşılmasını

sağlayacak şekilde sistem tarafından dinamik olarak üretilir. Bu kriterde açıklama, seçilen kuralları değil yalnızca seçilen kural sayısını gösterir (ör. WAF.signature(3)); listeler ayırt edilecekse Condition Name verilmesi önerilir.

TIP

Yalnızca "istek WAF tarafından bloklandı mı" denetimi için koşul seçim listelerinde hazır If is a WAF block koşulu sunulur; kural ayrımı gerekmiyorsa ayrı koşul tanımlamaya gerek yoktur.

INFO

Form Butonları

Add

Add butonuna tıklanarak koşul ekleme işlemi tamamlanır.

Add & Repeat

Add & Repeat butonu ile koşul ekleme işlemi tamamlanır ve farklı konfigürasyonlarla ilgili pencereden çıkılmadan yeni bir koşul daha eklenebilir.

Koşul Eklendi

Operasyonel Kullanım Önerileri

• False Positive Yönetimi. Belirli saldırı ID'leri için false positive yaşanıyorsa, bu ID'leri bir koşulla tespit edip farklı işleme tabi tutun (örn: log but allow).
• Kritik Saldırılar için Ek Önlem. SQL Injection, Command Injection gibi kritik saldırılar için ekstra güvenlik aksiyonları (IP ban, CAPTCHA) tanımlayın.
• Saldırı Grupları için WAF Attack Signature Group Kullanın. Tek tek ID yerine bir saldırı kategorisindeki tüm ID'leri kontrol etmek istiyorsanız WAF Attack Group koşulunu tercih edin.
• WAF Logs ile Koordinasyon. Koşul oluştururken WAF loglarında görülen kural adlarını listede aratarak doğru kuralları belirleyin.