Analysis & Learning

Analysis & Learning Nedir?

Analysis & Learning, bir host grubunun geçmiş trafiğini toplu olarak inceleyip o gruba ait sayfa tipi ve kural önerileri üreten çevrimdışı analizdir. Uygulamanın gerçekte hangi adresleri sunduğu, hangi parametreleri aldığı ve hangi boyut sınırlarında çalıştığı bu analizle çıkarılır; sonuç incelenip onaylandığında host grubunun WAF Rules kural setine dönüşür.

Analiz elle başlatılır; kendiliğinden çalışan bir zamanlayıcısı yoktur. Kaynak verisi öğrenme günlüğüdür: bir istek yalnızca host grubu Learning modundayken ya da Conditional Learning kimliğiyle geldiğinde bu günlüğe yazılır. Bu nedenle analizden sonuç alınabilmesi, seçilen dönemde bu iki koşuldan en az birinin sağlanmış olmasına bağlıdır.

Analiz, günlüğe düşen kümeyi olduğu gibi okur. Log Settings ekranındaki Smart Sampling ayarı açıkken aynı istek şeklinin yalnızca ilk örnekleri tam yazıldığından, analiz de bu örneklenmiş kümeyi görür.

Diğer öğrenme yöntemlerinden farkı

Learning Methods altındaki AI Learning ve Teacher, arka planda sürekli çalışan ve tek tek yanlış pozitifleri gideren yöntemlerdir. Analysis & Learning ise tek seferlik ve toplu çalışır: seçilen dönemin tamamını okuyup host grubunun kural setini baştan kurar ya da genişletir.

İkisi aynı kaydı kullanmaz ve birbirini tetiklemez. Conditional Learning ise analizin okuyacağı ham veriyi üreten ayardır; analiz onun ürününü tüketir.

Nasıl Çalışır?

Bir web uygulamasının hangi adresleri sunduğunu, hangi parametreleri aldığını ve hangi boyutlarda çalıştığını elle çıkarmak, orta ölçekli bir sitede bile günler süren bir iştir. Analysis & Learning bu işi trafiğin kendisine yaptırır: geçmiş öğrenme günlüğü okunur, sitenin gerçek yapısı bir sayfa ağacına dönüştürülür ve her sayfa tipi için ölçülmüş değerlerden oluşan bir kural seti önerilir. Yönetici, yazılmadan önce bu öneriyi görür, daraltır ve onaylar.

Çevrimdışı

Çalışma biçimi

Analiz ayrı bir süreçte çalışır; trafiğe, WAF denetimine ve yürürlükteki kurallara dokunmaz

3 ay

Varsayılan aralık

Hazır aralıklar bir günden üç aya kadar uzanır; özel aralıkla on yıl geriye gidilebilir

8

Analiz filtresi

Ülke, yanıt kodu, bot, kaynak adres ve host filtreleri ile üç hazır eleme seçeneği

3

Kural üretim modu

Her sayfa öğrenilir, yalnız veri taşıyan sayfalar öğrenilir ya da sayfa öğrenilmez

Onaylı

Uygulama

Sonuç incelenip onaylanmadan hiçbir kural yazılmaz; öneri ile canlı kural seti ayrı tutulur

01 · KayıtTrafik günlüğe yazılırHost grubu Learning modundayken ya da istek Conditional Learning kimliğiyle geldiğinde, isteğin yolu, metodu, parametreleri ve yanıt kodu saatlik öğrenme günlüğüne düşer.

02 · AnalizGünlük okunur, ağaç kurulurSeçilen dönemin dosyaları ayrı bir süreçte okunur; filtrelerden geçen satırlar host grubuna eşlenir ve adresler bir dizin ağacına yerleştirilir.

03 · DüzenlemeAğaç daraltılırAnalyze Page Types ekranında benzer adresler tek desende toplanır, ilgisiz dizinler analiz dışına alınır ve alt sınır eşikleri belirlenir.

04 · UygulamaKural seti yazılırGünlük ikinci kez okunarak her sayfa tipinin değerleri üretilir ve sonuç host grubunun Page Types listesine yazılır.

Analiz Aşaması

Analiz, seçilen zaman aralığındaki saatlik öğrenme günlüklerini baştan sona okur. Her satır ayrıştırılır ve sırasıyla üç elemeden geçer: pencerede tanımlanan filtreler (ülke, yanıt kodu, bot, kaynak adres, host), isteğin hangi host grubuna ait olduğu ve o grubun analize dahil edilip edilmediği. Elenen satırların sebep kırılımı Filter Reasons listesinde tutulur, böylece "neden bu kadar az log işlendi" sorusu tahmine bırakılmaz.

Elemeden geçen her istek, yolu üzerinden bir ağaç düğümüne yazılır. Düğümde yalnızca adres değil, o adrese ait ölçümler de birikir: istek ve ziyaretçi sayısı, kaynak IP ve ülke dağılımı, kullanılan metotlar, gövde türleri, yanıt kodları ve dinamik istek sayısı. Bir isteğin kendi sayfa tipini üretip üretmeyeceğini Rule Creating Mode belirler: Comprehensive her adresi ayrı sayfa tipi sayar, Data Based yalnızca sorgu, gövde ya da dinamik metot taşıyanları, Page Independent ise hiçbirini.

Analiz tamamen çevrimdışıdır. Ayrı bir süreçte çalışır, trafiğe ve yürürlükteki kurallara dokunmaz; sonucu yalnızca bir öneri kaydıdır.

Uygulama Aşaması

Uygulama, kaydedilmiş ağacı olduğu gibi yazmaz. Aynı zaman aralığının günlüğü ikinci kez okunur ve her sayfa tipi için kuralın değerleri ölçülerek üretilir: izin verilen HTTP metotları, path uzunluk ve derinlik sınırları, sorgu ve gövde boyutları, başlık ve parametre adlarından oluşan izin listeleri. Bu nedenle işlem en az analizin kendisi kadar sürer ve ilerlemesi kendi çubuğundan izlenir.

Ölçüm yerine tahmin kullanılmadığı için üretilen kural seti, sitenin gerçekte gösterdiği davranışın sınırlarını taşır: uygulamanın hiç kullanmadığı bir metot izin listesine girmez, hiç görülmemiş bir parametre adı kabul edilmez. Koruma değeri de buradan gelir; kural seti ne kadar dar olursa, saldırganın deneyebileceği alan o kadar küçülür.

İki Sayaç

Sonucun büyüklüğü iki sayıyla izlenir. Analysis Page Count, analizin ham olarak bulduğu farklı adres sayısıdır ve değişmez. Current Page Count, gruplama ve eşikler uygulandıktan sonra ağaçta kalan sayfa sayısıdır; düzenleme ekranındaki her değişiklikte yeniden hesaplanır ve uygulandığında yazılacak sayfa tipi sayısını verir.

İkisi arasındaki fark, düzenlemenin ne kadar iş gördüğünü gösterir: binlerce adres, birkaç glob deseniyle onlarca sayfa tipine indirildiğinde kural seti hem yönetilebilir kalır hem de uygulama sınırının altına iner.

Operasyonel En İyi Uygulamalar

• Analiz, öğrenme yeterince olgunlaştıktan sonra çalıştırılmalı. Kural seti yalnızca günlüğe düşmüş trafikten üretilir; kampanya, sezon ya da ay sonu gibi yalnızca belirli dönemlerde çalışan akışlar günlükte yoksa, o akışların adresleri ve parametreleri kural setine de girmez. Analiz aralığı, sitenin tüm iş akışlarını kapsayacak kadar geniş seçilmelidir.
• Country Filter varsayılanı her analizde gözden geçirilmeli. Pencere varsayılan olarak yalnızca Local Networks ve Turkey seçili gelir. Yurt dışından hizmet alan bir uygulamada bu ayar değiştirilmezse, gerçek trafiğin büyük bölümü analiz dışında kalır ve eksik bir kural seti üretilir.
• Uygulamadan önce mevcut kural seti dışa aktarılmalı. Uygulama, host grubunun kural listesini analiz sonucuyla değiştirir ve geri alma işlemi bulunmaz. Export ile alınan yedek, beklenmeyen bir sonuçta önceki duruma dönmenin tek yoludur.
• Elle düzenleme yapılmış bir host grubunda yeni analiz alınmalı. Uygulama, analizin oluşturulduğu andaki kural kopyasını temel alır. Analiz tarihinden sonra elle yapılan düzenlemeler, Ignore Old Rules hangi değerde olursa olsun kaybolur; güncel durumun korunması için analiz yeniden çalıştırılmalıdır.
• Rule Creating Mode, vService'in kalıcı politikası düşünülerek seçilmeli. Uygulama, Learning Methods ekranındaki Rule Creation Policy ayarını analizde seçilen değerle günceller ve bunun için ayrı bir onay istemez. Kalıcı politikanın değişmesi istenmiyorsa alan mevcut politikayla aynı bırakılmalıdır.
• Sayfa tipi sayısı, uygulama denenmeden önce düşürülmeli. Current Page Count 500'ün üzerindeyken uygulama reddedilir. Kimlik, tarih ya da sipariş numarası taşıyan adresler Suggest Globs önerileriyle toplanmalı, kalıcı olmayan dizinler analiz dışına alınmalıdır. Dar bir ağaç yalnızca sınırı aşmamak için değil, bakım maliyeti için de gereklidir.
• Sonuç, doğrudan Blocking modunda denenmemeli. Analizden çıkan kural seti ölçüme dayansa da, günlükte hiç görülmemiş meşru bir akış engellenebilir. Kural seti uygulandıktan sonra host grubu bir süre Monitor modunda izlenmeli, Event Logs üzerinden yanlış pozitifler ayıklandıktan sonra Blocking moduna geçilmelidir.
• Cluster kurulumunda kaynak olarak her iki cihaz seçilmeli. Her cihaz yalnızca kendi diskindeki günlüğü okur. Tek cihaz seçilirse eşin üzerinden geçen trafik analize girmez ve kural seti o trafiği tanımaz.
• Eski analiz kayıtları düzenli olarak silinmeli. Kayıtlar kendiliğinden temizlenmez; cihaz genelinde 250, vService başına 50 kayda ulaşıldığında yeni analiz başlatılamaz. Uygulanmış ya da sonuçsuz kalmış kayıtlar listeden kaldırılmalıdır.

WAF Management'ta Analysis & Learning Satırı

WAF Management ekranında her host grubunun mod kartı en az iki satır taşır. Sabit satırların ikincisi Analysis & Learning satırıdır ve yanında analyses past traffic and produces rule suggestions açıklaması yer alır; devam eden analizler bu satırların üstünde ayrı satırlar olarak listelenir.

WAF Management - Analysis & Learning Satırı

Satırdaki iki öğe farklı yerlere gider:

Öğe	Açtığı ekran
ev ikonu	O host grubuna ait geçmiş analizlerin listesi.
Analysis & Learning metni	Yeni analiz oluşturma penceresi.

Satırdaki rozetler

Uygulanmamış yeni bir analiz sonucu varsa satırda New rozeti görüntülenir. Rozete tıklandığında analizin parametre özeti açılır; buradan sonuç düzenlenebilir, uygulanabilir, yok sayılabilir ya da silinebilir. Ignore seçildiğinde sonuç silinmez, rozet yalnızca o kullanıcı için gizlenir.

Son beş dakika içinde hatasız bir uygulama yapılmışsa satırda Applied rozeti görüntülenir; bu rozet tıklanabilir değildir.

Devam eden bir analiz varsa satırda ilerleme çubuğu ve o ana kadar okunan log sayısı görüntülenir.

Birden çok host grubu varsa

vService'te birden fazla host grubu tanımlıysa, host grubu yönetim kartında ayrıca Collective Analysis & Learning satırı yer alır ve aynı iki hedefi vService geneli için sunar. Tek host grubu varken bu satır görüntülenmez.

Geçmiş Analizler Listesi

Analysis & Learning satırındaki ev ikonuna tıklandığında Analyze - <host grubu adı> başlıklı yeni bir sekme açılır ve o host grubu için daha önce çalıştırılmış analizler listelenir. Bu ekran üzerinden analiz oluşturma, düzenleme, uygulama ve silme işlemleri yapılır.

Geçmiş Analizler Listesi

Tablo varsayılan olarak şu kolonlarla açılır:

Kolon	Açıklama
Creation Date	Analizin oluşturulduğu tarih ve saat.
vService	Analizin çalıştırıldığı vService.
Host Group	Satırın ait olduğu host grubu; birden fazla host grubu için çalıştırılan analiz her grup için ayrı satır üretir.
Analysis Page Count	Analizin ham olarak bulduğu farklı adres sayısı (İki Sayaç).
Current Page Count	Gruplama ve eşikler uygulandıktan sonra kalan, uygulandığında yazılacak sayfa tipi sayısı.
Used Logs	Bu host grubuna eşleşen ve filtrelerden geçen log satırı sayısı.
Parsed Logs	Seçilen dönemde vService genelinde okunan log satırı sayısı.

Varsayılan olarak gizlenen kolon bulunmaz.

Araç çubuğundaki öğeler soldan sağa aşağıdaki sırayla yer alır; son iki öğe (Page Information ve Page Size) tablonun altındaki bilgi şeridinde bulunur.

Columns

Tabloda hangi kolonların gösterileceği seçilir. Aynı panelde kolonlar sürüklenerek yeniden sıralanır ve kolon başına hizalama seçilir; Fit rows to the page butonuyla satır yüksekliği sayfaya sığdırılır, Reset butonuyla kolon düzeni varsayılana alınır. Düzen kullanıcı bazında saklanır.

Export

Export butonuna tıklanarak tablo Excel, CSV veya PDF olarak dışa aktarılır. Açılan pencerede Filename, Format ve Data Source ile dışa aktarılacak Columns belirlenir; kalan alanlar biçime göre görüntülenir: CSV'de CSV Separator, Excel'de Excel Sheet Name, PDF'te Page Orientation ve Page Size.

New Analyze

New Analyze butonuna tıklanarak yeni analiz oluşturma penceresi açılır.

Delete

Bir veya birden fazla satır seçilip Delete butonuna tıklandığında ilgili analiz kayıtları silinir. İşlem Are you sure? onayıyla doğrulanır. Aynı işlem sağ tık menüsünde de bulunur.

Silme yalnızca seçilen satırı, yani analiz ile host grubu çiftini kaldırır; analiz birden fazla host grubu için çalıştırıldıysa kayıt diğer gruplar için listede kalır. Analizin tamamı silindiğinde ona ait uygulama geçmişi de kaldırılır. Daha önce uygulanmış kurallara hiçbir durumda dokunulmaz.

Edit

Tek bir satır seçilip Edit butonuna tıklandığında Analyze Page Types - <host grubu adı> başlıklı yeni bir sekme açılır ve analiz sonucu uygulanmadan önce düzenlenir.

Sol tarafta öğrenilen sayfa ağacı, sağda seçili düğümün alt öğeleri yer alır; sonuç bu ekrandan doğrudan uygulanabilir. Ekranın tamamı Analyze Page Types Ekranı bölümünde anlatılır.

Seçilen analizde işleme alınan log yoksa düzenleme ekranı açılmaz; bunun yerine analizin silinmesini öneren bir uyarı görüntülenir.

Apply

Bir veya birden fazla satır seçilip Apply butonuna tıklandığında analiz sonucu host grubunun kural setine uygulanır. İşlem Are you sure? onayıyla doğrulanır. Ayrıntılar Analiz Sonucunun Uygulanması bölümündedir.

Search

Tablodaki tüm bilgilerde arama yapmak için kullanılır.

RegExp Search

Tabloda bulunan tüm bilgilerde düzenli ifade (RegExp) ile arama yapmak için kullanılır.

Column Based Search

Tabloda bulunan bilgilerde sütun bazlı arama yapmak için kullanılır.

Page Information

Toplam analiz sayısı ile listede görüntülenen analiz aralığına ait bilgiler yer alır: Showing N-M of T records ve seçili satır sayısı (N selected, seçim yokken Nothing selected).

Page Size

Sayfada görüntülenecek maksimum analiz sayısı seçilir. Varsayılan 100; seçenekler 5, 10, 20, 50, 100, 200, 500 ve All. Seçim saklanmaz.

Sayıların birbirini tutmaması

Parsed Logs, seçilen dönemde okunan tüm log satırlarını vService genelinde sayar; Used Logs ise yalnızca bu host grubuna eşleşen ve filtrelerden geçen satırları. Aradaki farkta, filtrelerin elediği trafiğin yanı sıra diğer host gruplarının trafiği ve hiçbir gruba eşleşmeyen host adları da yer alır; yalnızca filtrelerin payı önizleme penceresindeki Filter Reasons listesinde görülür.

Used Logs yüksekken Analysis Page Count düşük kalabilir: Rule Creating Mode ayarı Comprehensive dışında bir değerdeyse, sorgu, gövde ya da dinamik metot taşımayan basit istekler işleme alınır ancak kendi sayfa tipini üretmez. Page Independent seçildiğinde ise hiçbir istek sayfa tipi üretmez.

Her iki sayının da sıfır olması, seçilen dönemde öğrenme günlüğü bulunmadığı anlamına gelir.

Sağ Tık Menüsü

Bir satıra sağ tıklandığında üç işlemli bir menü açılır. İşlemler yalnızca sağ tıklanan analize uygulanır; listede yapılmış seçim menüyü etkilemez.

İşlem	Ne yapar
Delete	Analiz kaydını siler; araç çubuğundaki silme ile aynı onay sorusu görüntülenir.
Edit	Analiz sonucunun düzenlendiği Analyze Page Types sekmesini açar.
Apply	Analiz sonucunu host grubunun kural setine uygular; araç çubuğundaki Apply ile aynı onay sorusu görüntülenir.

İşlem sürerken menü öğeleri görüntülenmez. New Analyze menüde yer almaz.

Seçilen Analizin Önizlemesi

Listede bir analizin üzerine tıklandığında ekranın sağ tarafında önizleme penceresi açılır. Pencerenin başlığında host grubunun adı, altında analizin çalıştırıldığı vService yer alır.

Seçilen Analizin Önizlemesi

İşlem	Ne yapar
Edit	Analiz sonucunun düzenlendiği Analyze Page Types sekmesini açar.
Apply	Analiz sonucunu host grubunun kural setine uygular; ayrıntılar Analiz Sonucunun Uygulanması bölümündedir.
Delete	Başlıktaki menüsünde yer alır; analiz kaydını siler.

Pencerede analizin tüm parametreleri listelenir: vService, Host Group Name, Analyze Date aralığı, Analysis Page Count / Current Page Count, Analyze Time, Parsed Raw Data, Parsed Logs / Used Logs, Ignore Old Rules politikası ile seçilen Rule Creating Mode, General Filters, Country Filter, Status Code Filter, Bot Filter, Source IP Filter, Host Filter, Filter Reasons kırılımı ve Static Requests sayısı; cluster kurulumunda ayrıca Source alanı yer alır. Eliminate Selected yönünde kurulmuş filtrelerin başlığında bu bilgi alt satır olarak yazar. Analiz hata ile bittiyse hata mesajı da burada görüntülenir.

Yeni Analiz Oluşturma

Mod kartındaki Analysis & Learning metnine ya da listedeki New Analyze butonuna tıklandığında New Analyze for <vService adı> başlıklı pencere açılır.

Yeni Analiz Oluşturma - Temel Alanlar ve Gelişmiş Bölümün Üst Yarısı

Yeni Analiz Oluşturma - Gelişmiş Bölümün Alt Yarısı

INFO

vService

Analizin çalıştırılacağı vService seçilir. Listede WAF koruması etkin tüm vService'ler yer alır.

Pencere bir vService'in WAF yönetiminden açıldığında bu alan pasiftir ve o vService'e sabitlenir.

INFO

Virtual Host Groups

Analize dahil edilecek host grupları seçilir; birden fazla grup birlikte seçilebilir ve her grup için ayrı bir analiz sonucu üretilir.

Pencere belirli bir host grubundan açıldığında alan pasiftir ve o gruba sabitlenir; vService düzeyinden açıldığında ise tüm gruplar seçili gelir.

Bu alanın boş bırakılması analizin sonuçsuz tamamlanmasına yol açar; en az bir grup seçili bırakılmalıdır.

INFO

Analyze Date Varsayılan: Last 3 month(s)

Analizin kapsayacağı zaman aralığı seçilir. Hazır aralıklar Last 1 day(s), Last 3 day(s), Last 1 week(s), Last 2 week(s), Last 1 month(s) ve Last 3 month(s) olarak sunulur.

Custom Duration ile dakika, saat, gün, hafta, ay ya da yıl cinsinden özel bir süre; Custom Date Range ile başlangıç ve bitiş tarihi girilebilir. Aralık çözünürlüğü bir dakikadır.

Seçilebilecek en geniş aralık yaklaşık on yıldır; daha büyük bir aralık girildiğinde alan hata verir.

Aralıkta öğrenme günlüğü bulunmayan saatler sessizce atlanır; bu nedenle geniş bir aralık seçilmesi analizi uzatmaz, yalnızca var olan günlükler okunur.

INFO

Advanced Varsayılan: Açık

Gelişmiş alanların görünürlüğünü belirler. Anahtar kapatıldığında alanlar gizlenir ancak değerleri korunur ve analize gönderilir; gönderilen değerler, kullanıcının daha önce kaydedilmiş form değerleridir, alanların varsayılanları değil.

Anahtarın konumu saklanmaz: pencere her açılışında gelişmiş bölüm açık gelir.

INFO

Source

Analizin hangi cihazın öğrenme günlüğünü okuyacağı seçilir. Seçenekler her iki cihaz ile cihazların kendi adlarıdır; varsayılan olarak üzerinde çalışılan cihaz seçilidir.

Bu alan yalnızca cluster kurulumlarında görüntülenir. Her iki cihaz seçildiğinde iki cihazda ayrı analiz çalışır ve sonuçlar birleştirilir.

INFO

Ignore Old Rules Varsayılan: Create New Rules

Analizin mevcut kurallarla ne yapacağını belirler. Anahtarın üzerinde seçili durumun metni yazar.

Seçenek	Anlamı
Create New Rules	Host grubunun mevcut kural listesi yok sayılır ve kural seti sıfırdan kurulur.
Combine With Old Rules	Mevcut kurallar korunur ve analiz sonucuyla genişletilir; sayısal sınırlar gevşetilir, argüman listeleri birleştirilir.

INFO

Rule Creating Mode Varsayılan: Data Based

Analizin hangi istekleri ayrı bir sayfa tipi sayacağını belirler.

Seçenek	Anlamı
Comprehensive (Each page is learned)	Her istek kendi sayfa tipini üretir. Öğrenilmemiş her erişim engellenir; en dar ve en çok bakım isteyen kural setidir.
Data Based (Pages with dynamic data are learned)	Yalnızca sorgu, gövde ya da dinamik metot taşıyan istekler sayfa tipi üretir; basit sayfa erişimleri varsayılan kurala düşer.
Page Independent (Pages are not learned)	Sayfa tipi üretilmez; tüm erişim tek bir varsayılan kural üzerinden denetlenir.

INFO

Country Filter Varsayılan: Use Selected

Analize hangi ülkelerden gelen isteklerin dahil edileceği belirlenir.

Seçenek	Anlamı
No Filter	Ülke ayrımı yapılmaz.
Use Selected	Yalnızca seçili ülkelerden gelen istekler analiz edilir.
Eliminate Selected	Seçili ülkelerden gelen istekler analiz dışı bırakılır.

Varsayılan olarak yalnızca Local Networks ve Turkey seçilidir; varsayılan ayarlarla çalıştırılan bir analiz, diğer ülkelerden gelen isteklerin tamamını dışarıda bırakır.

Listenin başındaki Local Networks seçeneği, yerel ve özel ağ adreslerini karşılar; kurum içi trafiğin analize dahil edilmesi için bu seçeneğin seçili kalması gerekir. Coğrafi veritabanında karşılığı bulunmayan genel IP adreslerinin listede bir karşılığı yoktur: Use Selected modunda bu istekler hangi ülkeler seçilirse seçilsin analiz dışında kalır.

INFO

Only Domains Varsayılan: İşaretli

İşaretlendiğinde, Host başlığı geçerli bir alan adı biçiminde olmayan istekler analiz dışı bırakılır. Büyük harf içeren, bağlantı noktası taşıyan (site.example:8443) ve IPv6 değişmezi kullanan Host başlıkları bu yolla elenir. Sade bir IPv4 adresiyle yapılan erişimler geçerli sayılır ve elenmez.

INFO

Only Browsers Varsayılan: İşaretli

İşaretlendiğinde, yalnızca tarayıcı olarak tanınan istemcilerden gelen istekler analiz edilir. İstemci bilgisi taşımayan ya da tarayıcı olarak çözümlenemeyen istekler elenir.

INFO

Skip Blacklist IPs Varsayılan: İşaretli

İşaretlendiğinde, IP Intelligence & Reputation kara listesinde tek tek adres olarak yer alan kaynaklardan gelen istekler analiz dışı bırakılır. Böylece bilinen zararlı kaynakların trafiğinden kural öğrenilmesi önlenir.

Kara listedeki ağ (CIDR) girdileri bu filtrede eşleşmez: WAF bu ağları engellemeye devam etse de analiz onların trafiğini okur.

INFO

Status Code Filter Varsayılan: Use Selected

Analize hangi yanıt kodlarını taşıyan isteklerin dahil edileceği belirlenir. Seçenekler No Filter, Use Selected ve Eliminate Selected'dır.

Varsayılan olarak 400'ün altındaki tüm kodlar seçilidir. Hata döndüren istekler (400 ve üzeri) varsayılan olarak analiz dışında kalır; bu istekler çoğunlukla geçersiz ya da saldırgan trafik olduğundan, bunlardan sayfa tipi ve argüman listesi öğrenilmesi istenmez.

INFO

Bot Filter Varsayılan: Eliminate Selected

Otomatik istemcilerden gelen trafiğin analize dahil edilip edilmeyeceği belirlenir. Seçenekler No Filter, Use Selected ve Eliminate Selected'dır.

Varsayılan olarak Eliminate Selected seçilidir ve aşağıdaki kategorilerin tamamı işaretlidir; yani tüm bot trafiği analiz dışında bırakılır.

• Malicious Bots
• Development Tools (wget, curl, Postman etc.)
• Search Engines (Googlebot, Yahoo, bingbot etc.)
• Social Media (facebookplatform, LinkedInBot etc.)
• Crawler (Google Search Console, etc.)
• Monitoring (CloudflareDiagnostics, Datadog Agent etc.)
• Service (SkypeUriPreview, YahooMailProxy, Grammarly etc.)
• Benchmark (ApacheBench etc.)
• Security Checker (Nmap Scripting Engine, sqlmap/, TLSProbe etc.)
• Feed (FeedBurner, FreshRSS etc.)
• Other

İstemci bilgisi taşımayan istekler, seçilen moddan bağımsız olarak bu filtreye takılır ve analiz dışında kalır.

INFO

Source IP Filter Varsayılan: No Filter

Analize dahil edilecek ya da analiz dışı bırakılacak kaynak adresleri belirlenir. Seçenekler No Filter, Use Selected ve Eliminate Selected'dır.

Her satıra bir IP adresi ve ağ maskesi (CIDR) girilir; joker karakter desteklenmez. Geçersiz girilen satırlar sessizce yok sayılır.

Use Selected seçilip liste boş bırakılırsa ya da tüm satırlar geçersizse hiçbir istek eşleşmez ve analiz sonuçsuz kalır. Kaynak adresi taşımayan istekler, seçilen moddan bağımsız olarak bu filtreye takılır.

INFO

Host Filter Varsayılan: No Filter

Analize dahil edilecek ya da analiz dışı bırakılacak host adları belirlenir. Seçenekler No Filter, Use Selected ve Eliminate Selected'dır.

Her satıra bir host adı girilir. Joker karakter desteklenir (dev* gibi); joker taşımayan girdiler tam eşleşme olarak değerlendirilir ve büyük/küçük harf ayrımı gözetilir.

Use Selected seçilip liste boş bırakılırsa hiçbir istek eşleşmez ve analiz sonuçsuz kalır. Host başlığı taşımayan istekler, seçilen moddan bağımsız olarak bu filtreye takılır.

INFO

Start Analyzing

Start analyzing butonuna tıklanarak analiz başlatılır. İşlem arka planda çalışır; pencere kapanır ve ilerleme mod kartındaki çubuktan izlenir. Ayrıntılar Analiz Başlatma bölümündedir.

Argüman listeleri bu pencereden yönetilmez

Argüman listelerinin (izin verilen sorgu parametresi, başlık ve form alanı adları) öğrenilip öğrenilmeyeceği bu pencereden değil, vService'in Checks ekranındaki Argument Checks ayarından belirlenir. Analiz oluşturulurken o andaki ayar kaydedilir ve uygulama da bu kaydedilmiş değere göre çalışır.

Formun hatırlanması

Analiz başlatıldığında pencerede seçilen filtreler, her vService için ayrı olmak üzere kullanıcı bazında saklanır ve pencere bir dahaki açılışta bu değerlerle gelir. Host Filter (modu dahil), Ignore Old Rules, Advanced anahtarı ve host grubu seçimi bu kapsamda saklanmaz; bunlar her açılışta varsayılan değerleriyle gelir.

Analiz Başlatma

Analiz başlatıldığında pencere kapanır ve işlem arka planda çalışmaya devam eder. Analiz, pencerede seçilen host gruplarının tümü için tek bir süreç olarak yürür; ilerleme, seçilen her host grubunun mod kartında ayrı bir çubuk olarak görüntülenir.

İlerleme Çubuğu

Analiz İlerleme Çubuğu

Çubuğun etiketi iki değeri birlikte taşır: tamamlanma yüzdesi ve o ana kadar okunan log satırı sayısı. Yüzde, okunan log dosyalarının boyutuna göre hesaplanır; log satırı sayısına göre değil.

Bir sürecin çubuğu yalnızca kapsamına aldığı host gruplarının kartlarında görüntülenir; aynı host grubu için birden fazla süreç çalışıyorsa her biri ayrı bir çubuk olarak listelenir. Bir analiz birden fazla host grubu için çalıştırıldıysa aynı süreç ilgili grupların kartlarında ayrı ayrı görünür ve çubuktaki iki değer de her kartta aynıdır: ikisi de sürecin tamamına aittir. Host grubuna düşen satır sayısı yalnızca ayrıntı penceresindeki Used Logs değerinde görüntülenir.

Aynı çubuk, analiz sonucu uygulanırken de görüntülenir; bu durumda Task Type alanı Applying Rules değerini alır ve çubuk farklı bir renkle gösterilir.

Çalışan Analizin Ayrıntıları

Çalışan Analizin Ayrıntıları

İlerleme çubuğuna tıklandığında analizin o anki durumunu gösteren pencere açılır. Pencerede şu alanlar yer alır:

Alan	Anlamı
Task Type	Çalışan işin türü.
vService	Analizin çalıştırıldığı vService.
Source	Logların okunduğu cihaz.
Parsed Raw Data	Okunan veri miktarı ve toplam veri miktarı.
Estimated Remaining Time / Elapsed Time	Tahmini kalan süre ve geçen süre.
Parsed Logs / Used Logs	Okunan toplam log satırı ve bu host grubuna düşen satır sayısı.
Ignore Old Rules	Analizin eski kurallara karşı tutumu ve seçilen Rule Creating Mode değeri, virgülle ayrılmış olarak birlikte gösterilir.
General Filters, Country Filter, Status Code Filter, Bot Filter, Source IP Filter, Host Filter	Analizde seçilmiş filtreler.
Filter Reasons	Elenen logların sebep kırılımı.

Filtre satırları yalnızca o filtre kullanılmışsa listelenir; boş bırakılan filtreler pencerede yer almaz. Filtrenin Eliminate Selected yönünde kurulduğu durumlarda alan adının altına bu bilgi not olarak eklenir.

Tahmini kalan süre, geçen süre ile tamamlanma yüzdesinden hesaplanır. Log yoğunluğu dosyadan dosyaya değiştiği için bu değer analiz ilerledikçe yeniden hesaplanır.

Stop Process analizi sonuçsuz bitirir

Pencerenin üstündeki Stop Process işlemi, çalışan analiz sürecini sonlandırır. Süreç User ended the process mesajıyla kapanır; o ana kadar okunan loglardan kısmi bir sonuç üretilmez, kural önerisi oluşmaz.

Durdurulan analiz için de listede bir kayıt oluşur; bu kayıt sonuç yerine hata mesajı taşır. Kayıt analiz sayısı sınırlarına dahil olduğundan, gerekmiyorsa elle silinmelidir. Analiz yeniden çalıştırılacaksa süreç baştan başlar.

Cluster kurulumunda kaynak ve ayrıntı görünümü

Cluster kurulumunda pencereye Source satırı eklenir. Kaynak olarak her iki cihaz seçilmişse satırın başındaki Details anahtarı açılarak okunan veri, süre, log sayıları ve Filter Reasons kırılımı cihaz başına ayrı kolonlarda görüntülenir. Cihazlardan birinde hata oluşmuşsa hata mesajı da yalnızca bu görünümde listelenir. Anahtarın konumu kullanıcı bazında saklanır.

Analizin Tamamlanması ve New Rozeti

Analiz tamamlandığında ilerleme çubuğu kaybolur ve Analysis & Learning satırının sağ ucunda New rozeti belirir.

Rozet, o host grubunun en yeni analizi için ve yalnızca sonuç henüz uygulanmamışken görüntülenir. Sonuç uygulandığında New rozeti kaybolur; yerine, işlemin hatasız tamamlandığını belirten Applied rozeti gelir. Bu rozet geçicidir ve yalnızca uygulamadan sonraki beş dakika boyunca görüntülenir; ardından satırda rozet kalmaz. Uygulama hatayla bittiyse rozet hiç görüntülenmez. Applied rozeti bilgi amaçlıdır, tıklanmaz.

Yeni Analiz Rozeti ve Sonuç Özeti

Rozete tıklandığında analizin özeti açılır. Pencerenin içeriği Seçilen Analizin Önizlemesi ile aynıdır; işlem butonları ise dört tanedir:

İşlem	Ne yapar
Edit	Analiz sonucunun düzenlendiği Analyze Page Types sekmesini açar.
Delete	Analiz kaydını siler; Are you sure? onayıyla doğrulanır. Analiz birden fazla host grubu için çalıştırıldıysa yalnızca ilgili host grubunun kaydı silinir.
Apply	Sonucu host grubunun kural setine uygular; Are you sure? onayıyla doğrulanır.
Ignore	Rozeti kaldırır.

Ignore neyi değiştirir

Ignore, analizi silmez ve kural setine dokunmaz; yalnızca rozeti gizler. Yoksayma bilgisi kullanıcı bazında saklanır: aynı host grubunu başka bir kullanıcı açtığında rozet görünmeye devam eder.

Yoksayılan analiz geçmiş analizler listesinde durmayı sürdürür ve oradan düzenlenip uygulanabilir. Aynı host grubu için daha yeni bir analiz tamamlandığında rozet yeniden görüntülenir.

Analyze Page Types Ekranı

Analizin ürettiği sayfa ağacı, kural setine yazılmadan önce Analyze Page Types ekranında düzenlenir. Ekran üç yoldan açılır: geçmiş analizler listesinde bir satır seçilip Edit butonuna tıklanarak, önizleme penceresindeki Edit ikonuyla ya da mod kartındaki New rozetinin penceresinden. Her üç yolda da Analyze Page Types - <host grubu adı> başlıklı yeni bir sekme açılır.

İlgili host grubu için analizde işleme alınmış log yoksa sekme açılmaz; bunun yerine analizin silinmesini öneren bir uyarı görüntülenir.

Ekranın amacı, ham analiz sonucunu daraltmaktır: birbirinin aynı olan adresler tek bir desende toplanır, ilgisiz dizinler analiz dışına alınır ve bir sayfanın kural üretmesi için gereken eşikler belirlenir. Yapılan her değişiklikte ağaç yeniden hesaplanır; uygulandığında yazılacak sayfa tipi sayısı Current Page Count alanında izlenir. Bu değer araç çubuğunun sağ ucundaki özet penceresinde ve geçmiş analizler listesinde görüntülenir.

Analyze Page Types Ekranı

Ekran iki bölmeden oluşur: solda öğrenilen adreslerin ağacı, sağda seçili düğümün alt öğeleri ve o öğeler üzerinde çalışan işlemler yer alır. Sol ağaçta yalnızca dizinler listelenir; sayfalar sağ bölmede görüntülenir. Bir dalın en fazla 30 alt dizini listelenir, kalanı +N satırında toplanır.

Her satırda ziyaretçi sayısı ve istek sayısı, dizin satırlarında ayrıca alt sayfa sayısı ile satırın en çok istek alan ülkesi görüntülenir; değeri sıfır olan sayaçlar yazılmaz. Satır sonundaki Page Has Data ikonu, sorgu, gövde ya da dinamik metot taşıyan istek bulunan adreslerde etkinleşir, böyle bir istek yoksa soluk görüntülenir; ikonun ipucunda dinamik istek sayısı yazar.

Araç çubuğundaki Reset, Undo ve Redo işlemleri yalnızca ikonla yer alır; adları ikonun ipucunda görüntülenir.

Reset

Ağaç üzerinde yapılmış tüm düzenlemeleri kaldırır ve analiz sonucunu ilk hâline döndürür. Sıfırlama yalnız glob ve istisna listelerini değil, Advanced Settings altındaki eşikleri ve Don't Learn OWASP Exclusions seçimini de varsayılana döndürür. İşlemin kendisi de geri alınabilir bir adım olarak kaydedilir.

Undo

Son düzenlemeyi geri alır. Buton, geri alınacak bir adım yoksa pasiftir.

Redo

Geri alınan düzenlemeyi yeniden uygular. Buton, ileri alınacak bir adım yoksa pasiftir.

Collapse

Ağaçtaki tüm dalları kapatır ve yalnızca kök seviyesi açık kalır.

Suggest Globs

Ağacı tarayıp birbirine benzeyen adresler için glob deseni önerir. Buton, önce öneri parametrelerinin girildiği bir form açar:

Alan	Anlamı	Varsayılan
Minimum Glob Depth	Önerinin başlayabileceği en küçük dizin derinliği.	2
Minimum pages for a glob	Bir desenin önerilmesi için altında bulunması gereken en az sayfa sayısı. Bu sürümde öneri eşiği, alanın değerinden bağımsız olarak sabit bir taban değerle hesaplanır.	3
Maximum consecutive stars (*, */* ...)	Bir desende art arda gelebilecek en fazla yıldız sayısı.	5
Globstar (**)	Tüm alt derinlikleri kapsayan ** desenlerinin önerilip önerilmeyeceği.	Kapalı
Minimum pages for globstar	Bir ** deseninin önerilmesi için gereken en az sayfa sayısı.	10
Maximum Depth Before Globstar	** deseninin başlayabileceği en fazla dizin derinliği.	3
Minimum Lowest Glob Similarity	Desene girecek adresler arasındaki en düşük benzerlik eşiği.	0.5
Minimum Average Glob Similarity	Desene girecek adreslerin ortalama benzerlik eşiği.	0.8

Son iki alan yalnızca Globstar (**) açıkken görüntülenir.

Öneriler Glob, Glob Members, Average Similarity ve Minimum Similarity kolonlarıyla listelenir; Glob Members desenin kapsadığı sayfa sayısını, ipucu ise kapsanan adresleri gösterir. Hâlihazırda bir desende toplanmış ya da istisna listesindeki adresler tarama dışında kalır.

Seçilen desenler Accept selected globs butonuyla Dynamic Paths listesine eklenir; hiçbir desen seçilmeden bu buton kullanılamaz.

Advanced Settings

Ağacın nasıl kurulacağını belirleyen ayarları açar. Pencerenin üstünde dört ayar grubu yer alır ve seçilen grubun alanları görüntülenir:

Grup	İçeriği
Excluded Paths	Analiz dışı bırakılacak adresler. Buradaki adresler ağaçtan çıkarılır ve kural üretmez; satırlara glob deseni de yazılabilir.
Dynamic Paths	Dinamik kabul edilecek glob desenleri. Desenin kapsadığı adresler tek bir sayfa tipinde toplanır.
Dynamic Path Exclusions	Bir dinamik desenin kapsamına girse bile kendi sayfa tipini koruyacak adresler.
Filter	Bir sayfanın kural üretmesi için gereken alt sınırlar ve öğrenme kapsamı.

Filter grubundaki alanlar şunlardır:

Alan	Anlamı
Min Requests	Bir sayfanın kural üretmesi için gereken en az istek sayısı.
Min Visitors	Bir sayfanın kural üretmesi için gereken en az ziyaretçi sayısı.
Min Ips	Bir sayfanın kural üretmesi için gereken en az kaynak IP sayısı.
Country Limit	Bir sayfanın kural üretmesi için gereken en az ülke sayısı.
Max Logs Per Path	Bir sayfa için işlenecek en fazla log satırı; varsayılan değeri 10.000'dir.
Don't Learn OWASP Exclusions	İşaretlendiğinde imza istisnaları öğrenilmez.

Sayısal alanların en küçük değeri 2'dir; boş bırakılan alan için eşik uygulanmaz.

Min Ips alanı doldurulduğunda Min Visitors eşiği değerlendirilmez; ziyaretçi eşiği yalnızca Min Ips boşken uygulanır. Max Logs Per Path ise tek başına değiştirildiğinde işlenmez; yeni değerin geçerli olması için başka bir ayarla birlikte kaydedilmesi gerekir.

Apply

Düzenlenmiş sonucu host grubunun kural setine uygular. İşlem Are you sure? onayıyla doğrulanır; onaydan sonra analizde işleme alınmış log bulunup bulunmadığı denetlenir ve log yoksa uygulama başlatılmaz. Ayrıntılar Analiz Sonucunun Uygulanması bölümündedir.

Analiz Özeti

Araç çubuğunun sağ ucundaki ikonu, düzenlenen analizin parametre özetini açar. İçerik Seçilen Analizin Önizlemesi ile aynıdır; bu pencerede işlem butonları bulunmaz.

İkon, ekran önizleme penceresindeki Edit ikonuyla ya da New rozetinden açıldığında görüntülenir; geçmiş analizler listesindeki Edit butonuyla açılan sekmede yer almaz.

Sıralama

Ağacın en üstündeki sıralama alanına tıklandığında bir pencere açılır. Pencerede Order By listesinden ölçüt (Default Order, Total Visitors, Alphabetical Order, Total Requests, Top Country), altındaki seçeneklerden ise yön (Ascending Order / Descending Order) belirlenir. Alanın başındaki ikon yürürlükteki yönü gösterir, tıklanabilir değildir.

Sağ bölmenin .. satırında aynı seçenekleri taşıyan ayrı bir sıralama alanı bulunur; iki bölmenin sıralaması birbirinden bağımsızdır.

Dynamic[path] (*)

Seçili öğelerin bulunduğu tek dizin seviyesini dinamik kabul eder: o seviye için <yol>/* ve <yol>/*/ desenleri oluşturulur ve seviyedeki adresler tek bir sayfa tipinde toplanır. Aynı seviyede seçilmemiş öğeler varsa, bunlar kendi sayfa tiplerini korumak üzere Dynamic Path Exclusions listesine eklenir.

Hiçbir öğe seçilmemişse işlem açık dizindeki bütün öğeleri kapsar ve istisna oluşturulmaz. Buton yalnızca açık dizin boşken kullanılamaz.

Dynamic[everything] (**)

Seçili öğelerin bulunduğu dizini ve altındaki tüm derinlikleri dinamik kabul eder; bunun için tek bir <yol>/**/* deseni oluşturulur. Seçim ve istisna davranışı Dynamic[path] ile aynıdır.

Exclude From Analysis

Seçili adresleri Excluded Paths listesine ekler; bu adresler ağaçtan çıkarılır ve kural üretmez. Buton, en az bir öğe seçilmeden kullanılamaz.

Add To Dynamic Path Exlusions

Seçili adresleri Dynamic Path Exclusions listesine ekler. Böylece bir dinamik desenin kapsamına giren adres, kendi sayfa tipini korur. Buton, en az bir öğe seçilmeden kullanılamaz.

Remove Globs (Including Sub Globs)

Seçili satırların altındaki glob desenlerini, alt desenleriyle birlikte Dynamic Paths listesinden kaldırır. Böylece toplanmış adresler yeniden tek tek sayfa tipi üretir. Hiçbir satır seçilmemişse işlem açık dizinin tamamı için çalışır.

Sayfalama

Sağ bölmede bir sayfada en fazla 15 satır listelenir. Satır sayısı bunu aşarsa başlıktaki oklarla sayfalar arasında gezilir; sol tarafta görüntülenen ve toplam satır sayısı yazar.

Seçilen Sayfanın Özeti

Bir satıra tıklandığında ekranın altında o adrese ait özet açılır: istek ve ziyaretçi sayısı, dinamik istek sayısı ile Extension, Body Type, Method, Status, Country, Host ve IP kırılımları. Her başlığın yanındaki sayı, o alanda kaç farklı değer görüldüğünü belirtir; her kırılımda en çok görülen ilk sekiz değer listelenir.

Extension ve Body Type kırılımları yalnızca değer taşıdıklarında görüntülenir; diğer başlıklar değer olmasa da (0) sayısıyla listelenir.

Gezinme ve seçim

Sol bölmedeki ağaçtan bir dal seçildiğinde sağ bölme o dalın alt öğelerini listeler. Ağaçta bir dala çift tıklanarak dal açılıp kapatılır; sağ tıklandığında ise Dynamic[path], Dynamic[everything], Exclude from Analysis, Add to dynamic path exlusions ve Remove Globs işlemlerini o dal için çalıştıran bir menü açılır.

Sağ bölmede bir dizine çift tıklanarak içine girilir, listenin başındaki .. satırına çift tıklanarak üst dizine dönülür.

Satırların başındaki kutucuklarla öğeler seçilir; başlıktaki kutucuk, yalnız görünen sayfayı değil açık dizindeki tüm öğeleri birlikte seçer. İşlem butonları seçili öğeler üzerinde çalışır.

Değişiklikler anında ve kalıcı olarak kaydedilir

Ağaç üzerinde yapılan her düzenleme, ayrı bir kaydetme adımı olmadan analiz kaydına yazılır ve sekme kapatılsa da korunur. Düzenleme kural setine dokunmaz; canlı kurallar yalnızca Apply ile değişir.

Undo ve Redo geçmişi ise yalnızca çalışan süreçte tutulur: servis yeniden başlatıldığında adım geçmişi sıfırlanır, düzenlemelerin kendisi korunur.

Uygulamanın sayfa tipi sınırı

Current Page Count değeri 500'ü aşarken uygulama reddedilir. Bu durumda glob önerileriyle adresler toplanmalı ya da alt sınır eşikleri yükseltilerek ağaç daraltılmalıdır.

Uygulama sırasında ekran

Uygulama başlatıldığında araç çubuğunun sağ ucunda ilerleme çubuğu görüntülenir ve ekran düzenlemeye kapatılır. Çubuğa tıklandığında sürecin ayrıntı penceresi açılır. İşlem bittiğinde Rules applied bildirimi verilir; cluster kurulumunda bir cihazda hata oluşmuşsa hata metni cihaz adıyla birlikte gösterilir.

Uygulama biter bitmez aynı yerde Apply Date bilgisi ve uygulama zamanı görüntülenir; bu bilgi, son uygulamanın üzerinden beş dakika geçtikten sonra kaybolur.

Analiz Sonucunun Uygulanması

Apply işlemi, analiz sonucunu host grubunun canlı kural setine yazar. İşlem Are you sure? onayıyla doğrulanır; onay penceresi iptal edilirse istek gönderilmez.

Uygulama tamamlandığında, o analizin düzenleme ekranı açıksa Rules applied bildirimi görüntülenir; cihazlardan birinde hata oluşmuşsa bildirim yerine hatayı cihaz adıyla veren bir mesaj çıkar. Uygulama listeden ya da önizleme başlığından başlatıldığında ayrı bir tamamlanma bildirimi verilmez; sonuç, düzenleme ekranındaki Apply Date bilgisinden ve mod kartındaki Applied rozetinden izlenir.

Uygulama Tamamlandı Bildirimi

Sonuç, host grubunun Page Types listesine yazılır. Analizin ürettiği her sayfa tipi kendi path deseniyle listelenir; Check Fields kolonu, o sayfa tipinde hangi denetim alanlarının tanımlandığını gösterir. Listenin sonundaki italik Any Paths satırı, hiçbir desene uymayan isteklerin düştüğü varsayılan kuraldır.

Uygulama Sonrası Page Types Listesi

Uygulama, host grubunun kural setini değiştirir

Uygulama sırasında host grubunun kural listesi analiz sonucuyla değiştirilir. Grubun adı, modu, host desenleri ve varsayılan grup işareti korunur; kurallar ise analizin ürettiği hâli alır.

Host grubu analiz oluşturulduktan sonra silinmişse bu koruma çalışmaz: grup, analizin taşıdığı eski ad, mod ve host listesiyle yeniden oluşturulur.

Uygulama, analizin oluşturulduğu andaki kural kopyasını temel alır. Bu nedenle analiz tarihinden sonra elle yapılan kural düzenlemeleri, Ignore Old Rules ayarı hangi değerde olursa olsun kaybolur. Ayar Create New Rules durumundayken ise eski kurallar tümüyle atılır ve host grubunun kural listesi yalnızca analizin ürettiği kurallardan oluşur.

Uygulamanın geri alınması için ayrı bir işlem bulunmaz. Analizin uygulanması, elle yapılan öğretme işlemlerinden farklı olarak bir kullanıcı log kaydı üretmediğinden, Log zaman çizelgesindeki Revert Learning işlemiyle de geri alınamaz. Kuralların korunması gerekiyorsa uygulamadan önce Export ile dışa aktarılmalıdır.

Uygulama, Rule Creation Policy ayarını da günceller

Analiz uygulandığında vService'in Learning Methods ekranındaki Rule Creation Policy ayarı, analizde seçilen Rule Creating Mode değeriyle güncellenir. Bu değişiklik için ayrı bir onay istenmez.

Kalıcı politikanın değişmesi istenmiyorsa, analiz oluşturulurken Rule Creating Mode alanının vService'in mevcut politikasıyla aynı bırakılması gerekir.

Uygulama nasıl çalışır

Uygulama, kayıtlı ağacı yazmakla yetinmez: aynı zaman aralığındaki öğrenme günlüğünü yeniden okuyarak kuralların değerlerini (izin verilen metotlar, boyut ve uzunluk sınırları, argüman listeleri) üretir. İmza istisnaları yalnızca düzenleme ekranındaki Don't Learn OWASP Exclusions seçeneği kaldırılmışsa öğrenilir; bu seçenek varsayılan olarak işaretlidir.

Okuma yeniden yapıldığı için işlem en az analizin kendisi kadar sürer. Uygulama okumasında analiz oluşturmadaki satır sınırı bulunmadığından, çok büyük günlüklerde daha da uzayabilir.

Argüman sayısı ve imza istisnası üst sınırları donmuş kopyadan değil, vService'in uygulama anındaki ayarlarından okunur.

Sonuç, arayüzden tek bir WAF kuralı düzenlemekle aynı yolla uygulanır: WAF yapılandırması yeniden üretilip devreye alınır, ayrı bir dağıtım adımı ya da servis yeniden başlatma gerekmez.

Uygulanan analiz listeden silinmez ve daha sonra yeniden uygulanabilir. Ancak yeniden uygulama, günlükleri o anda diskte bulunduğu hâliyle okur: aradan geçen sürede log dosyaları silinmiş ya da devredilmişse eksik dosyalar sessizce atlanır ve üretilen kural seti öncekinden dar olabilir.

Uygulamanın engellendiği durumlar

Aynı host grubu için başka bir uygulama sürerken ikinci bir uygulama başlatılamaz.

Sonuçtaki sayfa tipi sayısı 500'ü aşıyorsa uygulama reddedilir; bu durumda düzenleme ekranından alt sınır eşikleri yükseltilerek ya da dizinler analiz dışı bırakılarak ağaç daraltılmalıdır.

Analizde bu host grubuna hiç log düşmemişse, yani Used Logs değeri sıfırsa uygulama başlatılmaz; bunun yerine analizin silinmesini öneren bir uyarı görüntülenir. Bu denetim arayüzde yapılır: tek bir analiz uygulanırken istek hiç gönderilmez.

Analizin sayfa ağacı henüz hazırlanmamışsa uygulama reddedilir.

Birden fazla analiz aynı anda uygulanmak istendiğinde, seçilenlerden biri süren uygulama, sayfa tipi sayısı ya da hazır olmayan ağaç denetimine takılırsa istek tümüyle reddedilir ve hiçbiri uygulanmaz. Used Logs denetimi bundan ayrıdır: sıfır loglu her seçim için ayrı bir silme sorusu görüntülenir, seçilenlerden en az biri log içeriyorsa istek yine de gönderilir.

Kapsam ve Sınırlar

INFO

• Analiz trafiği etkilemez. Analiz tamamen çevrimdışı bir log okuma işidir; ayrı bir süreçte çalışır ve trafiğe, WAF denetimine ya da mevcut kurallara dokunmaz. Yalnızca analiz ya da uygulama süreci çalışırken, ilgili vService'in öğrenme günlüklerinin saatlik sıkıştırılması ertelenir.
• Okuma sınırları. Bir host grubunda 5.000'den fazla farklı yol görülürse analize yalnızca en çok istek alan 5.000 yol taşınır; kalanı sessizce düşer ve Analysis Page Count bu değerde sınırlanır. Analiz oluşturulurken tek bir saatlik log dosyasından en çok 10 milyon satır okunur; bu sınırı aşan dosyanın kalanı okunmaz. Uygulama aşamasındaki yeniden okumada bu sınır uygulanmaz.
• Analiz sayısı sınırları. Cihazda en fazla 250, vService başına en fazla 50 analiz kaydı tutulur. Sayım host grubu başınadır: üç host grubu için çalıştırılan bir analiz üç kayıt sayılır. Denetim analiz başlatılmadan önce yapıldığından, çok host gruplu bir analiz toplamı sınırın bir miktar üzerine taşıyabilir. Sınıra ulaşıldığında yeni analiz başlatılamaz ve eski kayıtların silinmesini isteyen bir hata görüntülenir; analiz kayıtları kendiliğinden temizlenmez. Her analiz için en fazla üç uygulama geçmişi saklanır. Bu sayı analiz kaydı başınadır: üç host grubu için çalıştırılan bir analizde tek bir uygulama üç kaydın tamamını doldurur.
• Cluster'da davranış. Analiz, Source alanında seçilen cihazda çalışır ve her cihaz kendi diskindeki günlükleri okur. Her iki cihaz seçildiğinde sonuçlar birleştirilir ve önizlemede cihaz bazlı kırılım görüntülenebilir. Uygulama iki cihazda birden çalışır ve sonuçlar birleştirilir. Cihazlardan biri hata verirse kural seti hiç değiştirilmez: hata görüntülenir, uygulama geçmişine sonuçsuz bir kayıt yazılır ve Rule Creation Policy de güncellenmez. Analiz kayıtları cihazlar arasında eşitlenmez: her cihaz kendi listesini tutar. Uygulanan kurallar ise normal yapılandırma senkronizasyonuyla eşe taşınır.