Live Stats

Live Stats Nedir?

Live Stats, WAF koruması etkin bir vService'in o anki durumunu saniyede bir yenilenen bir panoda gösteren sekmedir. vService'i taşıyan trafik motorunun sağlığı, WAF denetiminin sonuç dağılımı, tespit edilen saldırıların kategori ve OWASP kırılımı ile saldırıların geldiği ülkeler tek ekranda, canlı olarak izlenir.

Ekran "şu anda ne oluyor?" sorusuna yanıt verir: bir saldırı dalgası başladığında engelleme oranının yükselişi, hangi kategorinin tetiklendiği ve trafiğin hangi ülkeden geldiği aynı anda görülür. Bir kartın değeri değiştiğinde kart kısa bir vurguyla parlar ve değerin yanına yön oku basılır; artan bir metrik yeşil, azalan kırmızı okla gösterilir. Ok birkaç saniye sonra kendiliğinden kaybolur. Böylece ekrana bakan operatör, sayıları okumadan önce neyin değiştiğini fark eder.

Canlı izleme cihazın kendi üzerinde çalışır: veriler doğrudan trafik motorundan okunur, harici bir toplayıcıya, ajana veya analitik ürüne gerek duyulmaz. Yayın yalnızca ekran açıkken kurulur; başka bir sekmeye geçildiğinde veya oturum kapandığında abonelik sonlandırılır ve cihaz üzerinde ek yük bırakmaz.

1 sn

Canlı yenileme

Veriler saniyede bir yenilenir; yenileme aralığı 1, 5, 10 veya 30 saniye olarak seçilir

4 Bölüm

Tek ekranda

Frontend, WAF Inspection Distribution, WAF Detected Attack Requests ve OWASP

6

Denetim sonucu kartı

Panoda altı kart gösterilir: Whitelisted, Clean, Blocked, Monitor, Teacher, Learning

35+

Saldırı kategorisi

Kategori tablosu tüm kategorileri listeler; hiç tetiklenmeyenler de sıfır değeriyle görünür

10 + 10

OWASP kırılımı

OWASP Web Top 10 ve OWASP API Top 10 maddeleri ayrı tablolarda canlı izlenir

Harita

Ülke kırılımı

Tespit edilen saldırılar kaynak ülkeye göre dünya haritasında renklenir

Cluster

Cihaz başına pano

Cluster kurulumunda her cihazın verisi kendi kolonunda, karıştırılmadan gösterilir

Yerleşik

Ajan gerektirmez

Veriler doğrudan trafik motorundan okunur; harici toplayıcı veya analitik ürün gerekmez

Live Stats mi, Dashboard mı

İki ekran aynı kelime dağarcığını kullanır ancak farklı soruları yanıtlar. Live Stats anlık durumu gösterir: veriler saklanmaz, zaman aralığı seçilmez, ekranda görünen her zaman "şu an"dır. Dashboard ise aynı metrikleri zamana yayar ve arşivler: geçmişe dönük eğilim, karşılaştırma ve rapor üretimi oradan yapılır.

Live Stats'a Erişim

1. Left Monitor Panel açılır.
2. Sol üstteki kategori sekmelerinden WAF-Protected vServices seçilir.
3. TR7 üzerinde tanımlı, WAF koruması etkin vService'ler listelenir.
4. İzlenecek vService'e tıklanır; ekran, vService'in adını taşıyan Dashboard sekmesiyle açılır.
5. Açılan ekranda Live Stats sekmesine tıklanır.

Sekme, WAF yetkisi bulunan kullanıcılara görüntülenir. Ekran açıldığı anda canlı yayın başlar ve ilk veri beklemeden gelir.

WAF Live Stats

Ekran Kontrolleri

Panonun sol üstünde iki kontrol bulunur:

• LIVE göstergesi yayını durdurur ve yeniden başlatır. Gösterge dört hâl alır: abone olunmamışken sönük bir daire, abone olunmuş ancak ilk veri henüz gelmemişken dönen bir bekleme işareti, veri akarken nabız gibi atan bir daire, son güncellemenin üzerinden beş saniye geçtiğinde ise durdurma işareti görüntülenir.
• Yanındaki 1s, 5s, 10s, 30s çipleriyle yenileme aralığı seçilir; varsayılan değer 1 saniyedir. Seçim kullanıcı bazında saklanır ve sonraki oturumlarda korunur; aynı tercih kullanıcının bütün HTTP vService panolarında geçerlidir. Aralık değiştirildiğinde yayın kısa bir kesintiyle yeniden kurulur; bu sırada oranlar bir kez sıfır okunur.

Cluster kurulumunda pano, her bölümü cihaz başına ayrı bir kolonda gösterir ve kolonların üstünde cihaz adları yer alır; tekil kurulumda kolon başlığı yazılmaz. Değerler cihazlar arasında toplanmaz: sayaç tabloları cluster genelinde eşitlenmediği için her cihaz yalnızca kendi üzerinden geçen trafiği gösterir. Eş cihaza ulaşılamadığında o cihazın kolonu boş kalır ve ekranda ayrıca bir uyarı görüntülenmez.

Canlı yayının süresi

Bir canlı yayın oturumu yaklaşık 30 dakika sürer; süre denetimi dakikada bir çalıştığı için yayın 30 ile 31 dakika arasında kendiliğinden sonlanır. Ekranda değerler son okundukları hâlde kalır ve yenilenmez.

Sonlanma sunucudan bildirilmez: gösterge etkin görünmeye devam eder, yalnızca nabız durur ve simge durdurma işaretine döner. İzlemeye devam edilecekse sayfa yenilenmeli ya da LIVE göstergesi önce kapatılıp yeniden açılmalıdır. Yenileme aralığının değiştirilmesi de yayını yeniden kurar ve bu süreyi baştan başlatır.

Frontend

Bölümde vService'in trafik motoruna ve frontend'ine ait anlık durum altı kartta özetlenir. Kartların hiçbiri cihaz genelini göstermez; üç sistem kartı da yalnızca o vService'in kendi trafik motoruna aittir.

Kart	Gösterdiği
Uptime	Trafik motorunun kesintisiz çalışma süresi. Değer süreye göre kademeli yazılır: bir günün altında saat, dakika ve saniye; daha uzun sürelerde gün, ay ve yıl kırılımları da eklenir.
CPU	vService'in trafik motorunun anlık işlemci meşguliyeti (%).
Memory Usage	vService'in trafik motorunun anlık bellek kullanımı.
WAF Attack Rate	Saniyede tespit edilen saldırı isteği sayısı. Engellenen, izlenen ve öğretici trafiğinde tespit edilen istekler birlikte sayılır.
Current Sessions	O anda açık istemci oturumu sayısı. Kartın ipucunda oturum sayısının tepe değeri ve tanımlı üst sınır görüntülenir. Rozetinde ise Kurum Servislerine o an devam eden istek sayısı yer alır; rozetin üzerine gelindiğinde bu sayının neden açık bağlantı sayısından düşük olduğu açıklanır (bağlantılar istekler arasında açık kaldığı için işlenmekte olan istek sayısı normalde çok daha düşüktür).
HTTP Request/s	Saniyedeki HTTP istek sayısı. Trafik koruması etkinse tanımlı yumuşak sınıra göre doluluk oranı rozet olarak eklenir; rozetin rengi trafik korumasının o anki baskı kademesini yansıtır, ipucunda ise yumuşak ve sert sınırlar, ölçüm penceresi ve çalışma modu yazar.

WAF Inspection Distribution

WAF denetiminden geçen her isteğin akıbeti tek bir kategoriye yazılır ve panoda bunların altısı kart olarak, saniyelik oranla gösterilir. Bir istek yalnızca tek bir kategoriye sayılır; kategoriler sırayla değerlendirilir ve ilk uyan kazanır. Değerlendirme sırası, kartların görüntülenme sırasından farklıdır:

01TimeoutedWAF denetimine giren ancak tarama oturumu zaman aşımına uğradığı için sonuç üretemeyen istekler. Panoda kart olarak gösterilmez.

02WhitelistedDenetime hiç girmeyen istekler.

03LearningÖğrenme modundaki istekler. Learning, Teacher'dan önce değerlendirildiği için Learning modundaki bir host grubuna gelen öğretici trafiği Teacher'a değil buraya yazılır.

04TeacherÖğretici kimliğiyle gelen istekler.

05Monitorİzlenen istekler. Monitor, Blocked'dan önce değerlendirilir.

06BlockedEngellenen istekler.

07CleanYukarıdakilerin hiçbirine uymayan istekler.

Zincirin ilk halkası olan Timeouted panoda kart olarak gösterilmez; bu nedenle altı kartın toplamı denetlenen trafiğin tamamını vermeyebilir.

Kart	Anlamı
Whitelisted	WAF denetimine hiç girmeyen istekler. Dört atlama gerekçesi bu kategoride toplanır: Whitelist & Blacklist ekranındaki Do Not WAF Static Contents ayarıyla denetim dışı bırakılan statik içerik istekleri, aynı ekrandaki koşullu whitelist eşleşmesi, ürünün kendi AGS protokol trafiği ve CAPTCHA protokol trafiği. Statik içerik ağırlıklı bir sitede bu kategorinin büyük bölümünü ilk gerekçe oluşturur.
Clean	Denetimden geçen ve hiçbir kurala takılmayan istekler.
Blocked	Engelleme eşiğini aşan ve engellenen istekler.
Monitor	Eşiği aşan ancak host grubu Monitor modunda olduğu için engellenmeyen istekler.
Teacher	Öğretici kimliğiyle geldiği için engellenmeyen, Learning Methods kapsamında yanlış pozitif temizliğine kaynak olan istekler. Yalnızca engelleme eşiğini aşan öğretici istekleri buraya yazılır; öğreticiden gelen temiz trafik Clean sayılır.
Learning	Host grubu Learning modunda olduğu ya da isteğin kaynağı Conditional Learning kimliğiyle (IP adresi, çerez veya başlık) eşleştiği için kural sonuçları uygulanmadan öğrenme kaydına yazılan istekler.

Dağılımın okunması

Kartlar birlikte okunduğunda WAF'ın o anki duruşu görünür: Clean yüksek ve Blocked düşükse trafik normaldir; Monitor yüksekse ilgili host grubu henüz engellemeye geçmemiş, saldırılar yalnızca kaydediliyordur; Learning yüksekse ilgili host grubu hâlâ öğrenme aşamasındadır ve kural sonuçları uygulanmıyordur.

WAF Detected Attack Requests

Bölüm iki parçadan oluşur.

Detected Attacks by Country haritası, tespit edilen saldırıların kaynak ülkelere dağılımını renk yoğunluğuyla gösterir; yoğunluk arttıkça renk sarıdan kırmızıya döner. Renk ölçeği logaritmiktir; bu nedenle geçiş doğrusal değildir ve az sayıda isteğin geldiği ülkeler de haritada görünür kalır. Harita sürüklenebilir ve yakınlaştırılabilir; başlangıç konumuna dönmek için ayrı bir buton bulunur. Harita üzerinde gösterilemeyen kaynaklar haritanın altında çip olarak özetlenir: ilk dört kaynak tek tek yazılır, kalanlar tek bir toplam çipinde birleştirilir ve üzerine gelindiğinde tek tek listelenir.

Yanındaki tabloda saldırılar kategorilere göre listelenir. Tablo üç sütun taşır: Category, Requests/sec ve Share. Tabloda ürünün tüm saldırı kategorileri yer alır; o anda hiç tetiklenmeyen kategoriler de sıfır değeriyle listede kalır, böylece kategori listesi sabit kalır ve karşılaştırma kolaylaşır. Kullanıcı tanımlı kuralların isabetleri bu tabloda hiçbir kategoriye sayılmaz; aynı şekilde OWASP tablolarına ve haritaya da girmez. Bu isabetler Event Logs üzerinden izlenir. Sütun başlığına tıklanarak sıralama değiştirilir; tablo varsayılan olarak orana göre azalan sıradadır.

Oran kolonunun okunması

Requests/sec kolonu kural eşleşmelerini sayar. Tek bir istek birden çok kurala takılabildiğinden ve bir kural birden çok sınıflandırmaya karşılık gelebildiğinden, satırların toplamı saniyedeki istek sayısına eşit olmayabilir. Share kolonu da isteklerin değil, tablodaki eşleşmelerin payını gösterir. Aynı durum OWASP tabloları için de geçerlidir.

Yalnızca saldırı sayılan istekler bu tablolara girer

Kategori tablosu, OWASP tabloları ve harita, denetlenen bütün eşleşmeleri değil, bölümün adının da söylediği gibi yalnızca saldırı olarak tespit edilmiş isteklerin eşleşmelerini sayar. Bir istek engellenmediyse ve izlenen bir kural da tetiklemediyse, kurallara takılmış olsa bile bu tablolara yazılmaz.

Learning modundaki trafik bu tablolarda hiç görünmez. Öğrenme modunda denetim sonuçları uygulanmadığı için sayaçlar da işletilmez: bir host grubu Learning modundayken kategori tablosu, OWASP tabloları ve harita o gruba ait saldırıları göstermez. Bu trafiğin izlenmesi Event Logs ve Analysis & Learning üzerinden yapılır.

OWASP

Bölümde iki tablo yan yana görüntülenir. Tablolar ayrı bir başlık taşımaz; kimliklerini ilk kolon başlıklarından alır: OWASP Web ve OWASP API. Her tablo, ilgili listenin on maddesini A01:2021 · Broken Access Control ve API1:2023 · Broken Object Level Authorization biçiminde tam adıyla listeler; yanlarında Requests/sec ve Share kolonları yer alır.

Bu tablolar, saldırıların ürünün kendi kategori adlandırmasından bağımsız olarak, sektörün ortak sınıflandırmasında nereye düştüğünü gösterir. Bir uyum raporlaması ya da güvenlik değerlendirmesi sırasında, korunan uygulamaya gelen saldırıların OWASP maddelerine dağılımı doğrudan buradan okunur.

Kapsam ve Sınırlar

INFO

• Veriler saklanmaz. Live Stats yalnızca anlık durumu gösterir; geçmişe dönük inceleme için Dashboard, ayrıntılı çıktı için WAF raporu kullanılır.
• Zaman aralığı seçilemez. Tek pencere kontrolü yenileme aralığıdır.
• Host grubu kırılımı yoktur. Sayaçlar vService genelindedir; host grubu bazlı inceleme Event Logs ve WAF raporu üzerinden yapılır.
• Panellerden başka bir ekrana geçilmez. Kartlar, tablo satırları ve harita bir bağlantı taşımaz; ayrıntı incelemesi için Event Logs ve Dashboard kullanılır. Ekranda tıklanabilen öğeler yalnızca tablo kolon başlıkları (sıralama), haritanın kendisi ve harita dışı kaynakların özetidir.
• Oranlar seçilen aralıktan bağımsız olarak saniyeliktir. 30 saniyelik aralık seçmek değerleri büyütmez; yalnızca panonun kaç saniyede bir tazelendiğini ve oranın hangi pencere üzerinden düzleştirildiğini değiştirir. Ani dalgalanmaların görülmesi için kısa, eğilimin okunması için uzun aralık uygundur.
• Yeniden yapılandırmada oranlar bir kez sıfır okunabilir. Trafik motoru yeniden yapılandırıldığında sayaçlar sıfırlandığı için o ana denk gelen yenilemede oranlar bir kez sıfır okunabilir. Aynı durum yenileme aralığı değiştirildiğinde de yaşanır: yayın yeniden kurulduğu için ilk turda karşılaştırılacak önceki ölçüm bulunmaz.
• Okuma hatası ile trafiğin olmaması ekranda ayırt edilemez. Sayaç okuması başarısız olduğunda pano hata göstermez, ilgili değerleri sıfır olarak gösterir. Sürekli sıfır okunan bir bölümde trafiğin gerçekten olup olmadığı Event Logs üzerinden doğrulanmalıdır.