Smarter by Design.Simpler for Business
CEF Format (L7 TCP)
Format Hakkında
CEF (Common Event Format), L7 TCP vService'ler için TCP bağlantı bilgilerini SIEM uyumlu formatta sunan log formatıdır. Profil formundaki Line Format listesinde CEF Format seçeneğiyle yer alır.
HTTP CEF formatından farklı olarak TCP CEF formatı daha basit bir yapıya sahiptir ve yalnızca dokuz alan taşır: vService adı, istemci ve frontend adresleri, frontend TLS bilgisi ve aktarılan bayt miktarları. İstek/yanıt başlıkları, Kurum Servisi adresi, WAF bilgileri, zamanlama metrikleri, bağlantı sonlandırma durumu (%ts), bağlantı sayaçları ve kuyruk bilgileri bu formatta yer almaz. Bağlantının nasıl sonlandığını görmek için Standard ya da TR7 JSON kullanılır.
Kullanım senaryoları
- SIEM entegrasyonu (ArcSight, Splunk, QRadar).
- TCP proxy güvenlik izleme.
- Uyumluluk ve denetim gereksinimleri.
Desteklenen Özellikler
HTTP vService
L7 TCP vService
WAF Bilgisi
SSL Bilgisi (frontend)
Örnek Log
text
CEF:0|TR7|TR7 ASP|v1.9|TCP|TCP|5|name=LOGTEST-T src=172.16.101.42 srcPort=64657 dst=172.16.102.85 dstPort=8080 fCipher=TLS_AES_128_GCM_SHA256 fProtocol=TLSv1.3 reqUploadBytes=4792 resDownloadBytes=6969CEF Header Yapısı
text
CEF:Version|Device Vendor|Device Product|Device Version|Signature ID|Name|Severity|Extension| Alan | Değer | Açıklama |
|---|---|---|
| Version | 0 | CEF format versiyonu |
| Device Vendor | TR7 | Üretici adı |
| Device Product | TR7 ASP | Ürün adı |
| Device Version | v1.9 | Biçim sürümü. Sabittir; kurulu TR7 sürümüyle değişmez. |
| Signature ID | TCP | Olay tipi (sabit) |
| Name | TCP | Olay adı (sabit) |
| Severity | 5 | Sabittir; TR7 bu değeri olayın şiddetine göre değiştirmez. CEF'in tanımladığı 0–10 aralığı yalnızca biçimsel bilgidir. |
Extension Alanları
Ağ Bilgileri
| Alan | Örnek | Açıklama |
|---|---|---|
name | LOGTEST-T | vService adı; ad boşsa vService ID yazılır |
src | 172.16.101.42 | İstemci IP adresi |
srcPort | 64657 | İstemci kaynak portu |
dst | 172.16.102.85 | Frontend (vService) IP adresi |
dstPort | 8080 | Frontend port |
SSL/TLS Bilgileri
| Alan | Örnek | Açıklama |
|---|---|---|
fCipher | TLS_AES_128_GCM_SHA256 | Frontend SSL cipher suite. Şifresiz dinlenen bir frontend'de - yazılır. |
fProtocol | TLSv1.3 | Frontend SSL/TLS protokolü. Şifresiz dinlenen bir frontend'de - yazılır. |
Veri Transferi
| Alan | Örnek | Açıklama |
|---|---|---|
reqUploadBytes | 4792 | İstemciden alınan byte |
resDownloadBytes | 6969 | İstemciye gönderilen byte |
SSL/TLS Cipher Örnekleri
Yaygın cipher suite değerleri:
| Cipher | Protokol | Güvenlik |
|---|---|---|
TLS_AES_256_GCM_SHA384 | TLSv1.3 | Yüksek |
TLS_AES_128_GCM_SHA256 | TLSv1.3 | Yüksek |
TLS_CHACHA20_POLY1305_SHA256 | TLSv1.3 | Yüksek |
ECDHE-RSA-AES256-GCM-SHA384 | TLSv1.2 | Yüksek |
ECDHE-RSA-AES128-GCM-SHA256 | TLSv1.2 | Yüksek |
AES256-GCM-SHA384 | TLSv1.2 | Orta; ileri gizlilik (PFS) sağlamaz; TR7'de yalnızca eski uyumluluk ön ayarında sunulur |
- | – | SSL yok |
Kullanım Örneği: SIEM Kuralları
Yüksek Veri Transferi Tespiti
text
CEF:0|TR7|TR7 ASP|v1.9|TCP|TCP|5|... resDownloadBytes>10000000Kural: resDownloadBytes > 10000000 (10 MB üzeri transfer).
TLS Versiyon İzleme
text
CEF:0|TR7|TR7 ASP|v1.9|TCP|TCP|5|... fProtocol=TLSv1.1Kural: fProtocol != TLSv1.3 AND fProtocol != TLSv1.2 AND fProtocol != "-" (eski TLS kullanımı).
WARNING
- dışlaması olmadan kural, şifresiz bağlantıları da "eski TLS" diye alarma sokar. Ayrıca TLS 1.0 kullanan bağlantılarda alan TLSv1.0 değil TLSv1 olarak yazılır; kural bu değere göre kurulmalıdır.
SSL Olmayan Bağlantılar
text
CEF:0|TR7|TR7 ASP|v1.9|TCP|TCP|5|... fCipher=- fProtocol=-Kural: fCipher = "-" (şifresiz bağlantı).
