Global WAF Event Log

Global WAF Event Log Nedir?

Global WAF Event Log, cihaz üzerindeki tüm WAF korumalı vService'lerin loglarını tek tabloda toplayan ekrandır. Görünümü ve çalışma mantığı Event Logs ile aynıdır: aynı kolonlar, aynı araç çubuğu, aynı iki katmanlı filtreleme ve aynı üç sekmeli önizleme kullanılır. Farkı kapsamıdır.

	Event Logs	Global WAF Event Log
Nereden açılır	Bir vService'in WAF ekranından	Configuration Menu'den
Kapsanan trafik	Yalnızca o vService	WAF koruması etkin tüm vService'ler
Ek kolon	-	vService
Ek filtre sekmesi	-	vService
Varsayılan satır sınırı	1.000	5.000
Okuma biçimi	Tek vService'in saatlik dosyaları	Tüm vService'lerin dosyalarında zaman dilimli tarama
Erişim	WAF yetkisi	WAF yetkisi ve kısıtsız vService kapsamı

Ekranın değeri, bir saldırının yalnızca tek bir uygulamayı mı hedeflediğini yoksa cihaz genelinde mi dolaştığını tek bakışta göstermesidir. Aynı kaynak adresin farklı vService'lerde bıraktığı izler tek listede yan yana gelir; bir imzanın bütün uygulamalarda kaç kez tetiklendiği tek sorguyla görülür.

Bu, bir soruşturmanın başlangıç noktasını değiştirir. Cihaz üzerindeki her vService'in log ekranını tek tek gezmek yerine tek bir tablodan başlanır; arama, hangi uygulamanın etkilendiği daha bilinmeden yapılabilir. Elde yalnızca engellenen bir isteğin kimliği varken bile kayda doğrudan ulaşılır.

Tek Tablo

Cihazın tamamı

WAF koruması açık bütün vService'lerin logları tek listede

UID

Kimlikle doğrudan erişim

Engellenen isteğin kimliği yeterli; hangi vService olduğu bilinmeden bulunur

Çapraz İzleme

Aynı saldırgan, çok servis

Bir adresin bütün uygulamalarda bıraktığı iz yan yana görünür

Tek Tık

Servise geçiş

vService adına tıklanarak o servisin WAF panosu açılır

Çapraz Öğretme

Tek işlemde

Farklı vService'lere ait satırlar birlikte seçilip öğretilebilir

5.000

Varsayılan satır sınırı

Cihaz geneli tarama için vService ekranının beş katı

Kapsam Uyarısı

Eksik tarama gizlenmez

Tarama aralığın tamamına ulaşamazsa nereye kadar geldiği listenin üstünde yazar

Ayrı Ayarlar

Kendi görünümü

Kolon düzeni ve filtreler vService ekranından bağımsız saklanır

Anlatımın tamamı Event Logs sayfasındadır

Kolonlar, Action karar ikonları, Attacks sayacı, Severity değerleri, araç çubuğu, sunucu filtresi alanları, filtre şeridi sekmeleri ve önizleme sekmelerinin tamamı Event Logs sayfasında anlatıldığı gibidir. Bu ekranda sunucu filtresine bir alan, gelişmiş filtreye de bir alan eklenir; ikisi de aşağıda anlatılmıştır. Sayfanın geri kalanı yalnızca cihaz geneli çalışmaya özgü davranışı ele alır.

Ne İşe Yarar?

Elde yalnızca bir istek kimliği varken En sık kullanım

Bir kullanıcı ya da uygulama ekibi "isteğim engellendi" diye başvurduğunda elde çoğu zaman yalnızca engelleme sayfasındaki istek kimliği bulunur. Sunucu filtresindeki Request Unique ID alanına bu kimlik girildiğinde, hangi vService'in etkilendiği bilinmeden kayda doğrudan ulaşılır. vService'leri tek tek gezmek gerekmez.

Bir saldırganı cihaz genelinde izlemek Soruşturma

Bir kaynak adresin, ağın ya da ülkenin yalnızca tek bir uygulamayı mı denediği yoksa bütün servislerde mi dolaştığı, Client IP, ASN ve Country sekmeleriyle tek ekranda görülür. Dağılım geniş çıkıyorsa adres, servis kapsamı yerine cihaz geneli kara listeye alınır.

Bir imzanın gerçek etkisini ölçmek Kural bakımı

Signature & Rule Library üzerinden global katmanda açılan ya da kapatılan bir imzanın bütün vService'lerde kaç kez tetiklendiği Signature sekmesinden okunur. Yanlış pozitif üreten bir imza, tek bir uygulamanın sorunu mu yoksa cihaz geneli bir sorun mu olduğu buradan anlaşılır. Sekmedeki sayılar çekilmiş satırlar üzerinden hesaplandığı için, satır sınırının kestiği bir aramada bunlar dönem toplamı değil örneklem sayısıdır.

Olay sonrası kırılım çıkarmak Raporlama

Bir saldırı dalgasının ardından taksonomi sekmeleriyle (Category, OWASP Web, CWE, MITRE ATT&CK) cihaz geneli kırılım çıkarılır ve tablo Excel, CSV ya da PDF olarak dışa aktarılır. Dışa aktarma varsayılan olarak görünen sayfayı değil, filtrelenmiş ve sıralanmış kayıtların tamamını içerir; istenirse yalnızca görünen sayfa da aktarılabilir.

Nasıl Erişilir?

1. Sol altta bulunan TR7 logosuna tıklanarak Configuration Menu açılır.
2. WAF → Global WAF Event Log adımları takip edilir.

Ekran, WAF yetkisi bulunmayan kullanıcılara gösterilmez. Yetkisi belirli vService'lerle sınırlandırılmış kullanıcılarda ise menüde hiç görüntülenmez; sunucu tarafı da bu kullanıcıların isteklerini kapsam denetimiyle reddeder. Tek bir vService'in loglarına bakmak için o vService'in kendi Event Logs sekmesi kullanılır.

Logları Listeleme Ekranı

Global WAF Event Log - Listeleme Ekranı

Ekran bir vService'in yönetim ekranının içinde değil, kendi başına açılır; bu nedenle üstünde WAF Management ve Live Stats sekmelerini taşıyan sekme çubuğu bulunmaz.

Tabloda vService'e özel ekrandan iki fark vardır:

• Listenin başına vService kolonu eklenir. Kolondaki ad tıklanabilir: tıklandığında o vService'in WAF panosu açılır.
• Filtre şeridinin başına, sabit sunucu filtresi sekmesinden hemen sonra vService sekmesi gelir. Bu sekme çekilmiş logları vService'e göre daraltır.

Kalan kolonlar, araç çubuğu ve önizleme penceresi vService ekranındakiyle aynıdır. Tek incelik filtre şeridindeki Client IP sekmesindedir: oradaki adres menüsü bu ekranda tek bir vService'e bağlı olmadığı için servis kapsamlı kara liste seçenekleri sunmaz. Servis kapsamlı işlem, önizleme penceresindeki Attacker IP menüsünden yapılır.

Cluster kurulumunda satır sınırı

vService ekranında iki cihazın logları birleştirildikten sonra satır sınırına yeniden kırpılmaz; bu ekranda ise birleştirilen sonuç yeniden sınıra kırpılır. Bu nedenle global ekranda listelenen satır sayısı Line Limit değerini aşmaz.

Tarama Kapsamının Belirlenmesi

Kapsam, Event Logs sayfasında anlatılan sunucu filtresi sekmesinden belirlenir. Bu ekranda sekme iki noktada farklılaşır:

INFO

Line Limit Varsayılan: 5.000

Cihaz genelinde çok daha fazla log tarandığı için varsayılan değer vService ekranındakinden yüksektir. Alanın üst sınırı iki ekranda da 20.000'dir; farklılaşan yalnızca varsayılandır.

INFO

vService Varsayılan: All vServices

Taramanın hangi vService'lerde yapılacağı belirlenir. Varsayılan durumda bütün WAF korumalı vService'ler taranır; Pick vServices seçilerek liste daraltılır.

Bu alan filtre şeridindeki vService sekmesinden farklıdır: sekme yalnızca çekilmiş satırları süzer, bu alan taramanın kendisini daraltır. Seçim yapıldığında diğer vService'lerin log dosyaları hiç açılmaz ve satır sınırının tamamı seçilenlere harcanır.

Seçim aktifken filtre şeridinde kaç vService'in seçili olduğunu gösteren bir özet çipi görüntülenir; çip tek tıkla temizlenir.

Gelişmiş filtrede de bir alan eklenir: Request grubuna, logun ait olduğu vService'i süzen vService alanı gelir. Bu alan yalnızca eşitlik ve liste üyeliği operatörlerini sunar.

Gelişmiş filtredeki vService koşulu da, sunucu filtresindeki seçici gibi taramayı daraltır: koşul her satır için geçerli olmak zorundaysa, dışarıda kalan vService'lerin dosyaları hiç açılmaz.

Taramanın Çalışması

Tek bir vService'in ekranı yalnızca o vService'in saatlik dosyalarını okur. Global ekran ise sorguyu bütün vService'lere yayar ve zaman aralığını dilimlere bölerek en yeniden en eskiye doğru ilerler. Her tur bir dilimin bütün vService dosyalarını tarar.

İlk dilim bir saatliktir; her turda dilim genişliği katlanarak büyür ve en fazla yirmi dört saate çıkar. Dilim, taranmayı bekleyen en yeni dosyaya göre konumlandığı için kayıt bulunmayan zaman aralıkları tek turda geçilir.

Satır sınırı dolduğunda tarama durur, çünkü o noktada listedeki satırların cihaz genelindeki en yeni satırlar olduğu kesinleşmiştir. Bu nedenle satır sınırı, bu ekranda taramanın da durma koşuludur.

Taramanın bir süre bütçesi vardır: arayüz her isteğe iki dakikalık bir süre tanır, sunucu bunun beş saniye eksiğini bütçe olarak kullanır ve en fazla beş dakikaya kadar çalışır. Bütçe dolduğunda tarama yarıda kesilmez; o ana kadar tamamlanan turlar eksiksiz sonuç olarak döner ve nereye kadar ulaşıldığı bildirilir.

Ekranın üstünde duruma göre bir bilgi şeridi görüntülenir:

Durum	Şeritte yazan	Anlamı
Süre bütçesi doldu	Results are complete back to <tarih> — narrow the range to go deeper	Tarama verilen sürede aralığın tamamına ulaşamadı. Liste yazan tarihe kadar eksiksizdir; daha eskisi taranmamıştır.
Kaynak hatası	<sayı> source(s) could not be scanned fully	Bazı vService'lerin ya da bölgelerin dosyaları tümüyle okunamadı.
Tarama meşgul	Another global scan is running right now — please try again shortly	Aynı anda çalışabilecek global tarama sayısı doludur.
Tarama hatası	The global log scan failed — try refreshing	Tarama tamamlanamadı.

Kısmi sonuç, boş sonuçtan farklıdır

Kapsam uyarısı görüntülendiğinde "bulunamadı" ile "taranmadı" aynı şey değildir. Aranan kayıt, taramanın ulaşamadığı daha eski bir dilimde olabilir. Böyle bir durumda zaman aralığı daraltılarak arama derinleştirilir.

Satır sınırının doğal olarak dolması bu uyarıyı üretmez: o durumda liste, aralığın en yeni satırlarını eksiksiz içerir.

Eşzamanlı tarama sınırı

Aynı anda en fazla iki global tarama çalışabilir. Üçüncü istek kuyruğa alınmaz, doğrudan meşgul yanıtı döner.

Bu kota cihaz geneli tarama yapan diğer yüzeylerle ortaktır: Global WAF Report üretimi ve cihaz geneli Bot/DDoS log taraması da aynı kapıdan geçer. Bu nedenle meşgul yanıtı, yalnızca bu ekranın başka bir yöneticide açık olmasından kaynaklanmayabilir.

İşlemler

Araç çubuğundaki öğretme butonu bu ekranda da çalışır ve farklı vService'lere ait satırlar birlikte seçilebilir. Butonun adı seçime göre Allow, Teach ya da Allow / Teach olur. Öğretme işlemi vService başına gruplanır ve her vService için ayrı ayrı, sırayla uygulanır: her vService kendi kural setine yazar.

Önizleme penceresindeki Attacker IP menüsünün servis kapsamlı seçenekleri, satırın ait olduğu vService'e göre adlandırılır. Genel kapsamlı seçenekler ise cihazın tamamını etkiler.

Ekran ayarları vService ekranındakinden ayrı tutulur: kolon düzeni, filtre şeridi sekmeleri, zaman aralığı ve satır sınırı bu ekran için kullanıcı bazında ayrıca saklanır.

Operasyonel En İyi Uygulamalar

• Arama dar bir zaman aralığıyla başlatılmalı. Tarama, aralığı en yeniden en eskiye doğru saatlik dilimlerle işler ve bir süre bütçesi vardır. Geniş bir aralık bütçenin dolmasına ve listenin kısmi kalmasına yol açar; aranan kayıt bulunamazsa aralık daraltılıp yeniden denenir.
• Kapsam uyarısı okunmadan "kayıt yok" sonucuna varılmamalı. Listenin üstünde taramanın nereye kadar ulaştığını bildiren bir şerit varsa, aranan kayıt taranmamış bir dilimde olabilir.
• Etkilenen vService biliniyorsa tarama önden daraltılmalı. Sunucu filtresindeki vService alanıyla seçim yapıldığında diğer servislerin dosyaları hiç açılmaz ve satır sınırının tamamı seçilenlere harcanır. Şeritteki vService sekmesi bu işi yapmaz; o yalnızca çekilmiş satırları süzer.
• İstek kimliğiyle arama, filtre şeridinden değil sunucu filtresinden yapılmalı. Request Unique ID alanı aramayı sunucu tarafında çalıştırır ve kimliği taşıyan kayda doğrudan ulaşır.
• Satır sınırı gereksiz büyütülmemeli. Bu ekranda sınır yalnızca sonucu kısmaz, taramanın durma koşuludur: tampon dolduğunda tarama biter. Sınırı büyütmek daha çok tur ve daha çok dosya okuması demektir ve süre bütçesinin dolma riskini artırır. Daha derine inmek için sınır yerine zaman aralığı ya da filtre daraltılmalıdır.
• Çapraz öğretmede seçim gözden geçirilmeli. Farklı vService'lere ait satırlar birlikte öğretildiğinde her vService kendi kural setine yazar; bir yanlış pozitif yalnızca ilgili servislerde öğretilmelidir.
• Kara liste kararı dağılıma bakılarak verilmeli. Bir adres tek bir uygulamayı deniyorsa servis kapsamı yeterlidir; birden çok vService'te görünüyorsa cihaz geneli kara liste daha uygundur.
• Yoğun saatlerde tazeleme yanıtı beklenmeli. Aynı anda en fazla iki global tarama çalışabildiği için, ekran birden çok yönetici tarafından kullanılırken tazeleme isteği meşgul yanıtı alabilir.
• Sürekli izleme için bu ekran kullanılmamalı. Liste kendiliğinden tazelenmez; cihaz geneli dönemsel özet için Global WAF Report, anlık takip için ilgili vService'in Live Stats ekranı kullanılır.

Kapsam ve Sınırlar

INFO

• Yetki. Ekran, yetkisi belirli vService'lerle sınırlandırılmış kullanıcılara kapalıdır. Menüde görünmez ve isteği sunucu tarafında da reddedilir.
• Ekran kendiliğinden tazelenmez. Liste açılışta, Refresh ile ve sunucu filtresi değiştirildiğinde çekilir; zamana bağlı otomatik yenileme yoktur.
• Log üretimi vService ayarlarına bağlıdır. Bu ekran yalnızca yazılmış logları okur. Bir vService'in host grubu Learning modundayken o vService için log üretilmez ve burada da görünmez. Aynı biçimde Log Settings ekranında tanımlı bastırma koşulları, ilgili satırları bu listede de gizler.
• Yalnızca HTTP tipindeki vService'ler. WAF koruması yalnızca HTTP tipindeki vService'lerde bulunduğu için listede yalnızca bu servislerin logları yer alır. Network (Layer 4) ve L7 TCP vService'ler hiçbir koşulda görünmez.
• Sunucu filtresi kalıcıdır. Zaman aralığı, satır sınırı, istek kimliği, gelişmiş filtre ve vService seçimi kullanıcı bazında saklanır. Ekran bir sonraki açılışında bu kapsamla otomatik olarak sorgu çalıştırır; bu nedenle liste, önceki oturumda bırakılan daraltmayı taşıyor olabilir.
• Saklama süresi. Logların ne kadar süre tutulacağı Disk Management ayarlarına bağlıdır ve cihaz genelinde ortaktır; bu ekran için ayrı bir saklama ayarı bulunmaz.