Inspection & Blocking

Inspection & Blocking, WAF Management ekranının, alt notunda How requests are inspected and what happens when an attack is caught açıklamasını taşıyan bölümüdür. Bölüm beş ayar kartından oluşur ve iki soruyu yanıtlar: istek nasıl denetlenir ve saldırı yakalandığında ne olur.

Kartların her biri denetimin farklı bir durağına karşılık gelir: hangi trafiğin denetimin dışında tutulacağı, hangi kaynakların baştan reddedileceği, gövdenin ne kadarının inceleneceği, hangi denetim ailelerinin çalışacağı, biriken saldırı puanının hangi eşikte engellemeye dönüşeceği ve engellenen istemciye ne döneceği buradan yönetilir.

Kartlar ve düzenleme

Her kart, ayarın mevcut durumunu tam cümlelerle özetler; sağ üstündeki kalem ikonuna tıklandığında ilgili düzenleme penceresi açılır.

Checks ve Whitelist & Blacklist kartları kapatıldığında söner ve Disabled pili taşır. Diğer üç kart her zaman etkin görünür, çünkü kapatılabilecek bir ana anahtarları yoktur.

Denetim Akışındaki Yeri

01 · MuafiyetWhitelistSeçilen trafik WAF denetiminin tümüyle dışında bırakılır

02 · KaynakBlacklistKaynak adres listelerde bulunursa 100 puanlık ihlal olarak yazılır

03 · DenetimChecksİmza taraması ile yapısal ve alan denetimleri çalıştırılır

04 · KapsamRequest Body LimitsGövdenin denetlenecek bölümü bu denetimlerin gövde aşamasında kırpılır

05 · EşikOWASP Protection LevelBiriken puan, seçili düzeyin engelleme eşiğiyle karşılaştırılır

06 · CevapBlocking PageEngellenen istemciye dönen içerik ve durum kodu üretilir

Şema, kartların denetim akışındaki yerini gösterir; Request Body Limits tek bir durak değildir: gövde bekleme ayarı istek alınırken, işleme sınırı denetimlerin gövde aşamasında, log sınırı ise karar verildikten sonra kayıt yazılırken uygulanır.

Blacklist isabeti de isteği tek başına sonlandırmaz: 100 puanlık bir ihlal olarak saldırı puanına eklenir. Bu değer en gevşek koruma düzeyinin eşiğini bile aştığı için Blocking modunda her düzeyde engellemeye dönüşür. İsabet üç kaynaktan gelebilir (vService'in kendi listesi, küresel itibar beslemesi ve seçili kategoriler) ve istisna listesindeki adresler için iptal edilir; aşamanın tamamı Blacklist Protection açıkken çalışır.

Engelleme yalnızca host grubu Blocking modunda çalışırken gerçekleşir. Monitor modunda bütün denetimler aynı biçimde çalışır, saldırı raporlanır ve puan hesaplanır, ancak istek geçirilir. Learning modunda yapısal ve alan denetimleri hiç çalıştırılmaz; yalnızca imza taraması yapılır, saldırı puanı biriktirilmez ve şemanın 03-06 adımları devreye girmez.

Denetim süresi dolarsa istek engellenir

Bir isteğin WAF taraması için ayrılan süre sınırlıdır. Tarama süre dolduğu için yarıda kesilirse istek geçirilmez: sentetik bir kuralla 100 puanlık saldırı kaydı üretilir ve istek engellenir. Bu kayıtlar izleme ekranlarında ayrı bir kategori (timeouted) olarak sayılır.

Ayar Kartları

OWASP Protection Level

İhlallerin biriken risk puanının engellemeye dönüşeceği eşik; beş düzey ve yanlış pozitif dengesi.

→

Checks

Structure Checks ve Argument Checks ana anahtarları, Max. Allowed Arguments sınırı ve URL Decoding davranışı.

→

Whitelist & Blacklist

Kötü itibarlı IP engelleme ve kategori seçimi, vService'e özel IP listeleri, statik içerik ve koşullu muafiyetler.

→

Blocking Page

Engellenen isteğe dönen içerik, içerik türü ve durum kodu; koşullu engelleme sayfaları (ilk eşleşen kazanır) ve hazır şablonlar.

→

Request Body Limits

Gövdenin işleme sınırı, log sınırı ve gövdenin tamamlanması için beklenecek süre.

→

İlgili Ekranlar

Bu bölüm denetimin çerçevesini belirler; denetimin içeriği başka ekranlarda tanımlıdır:

• Hangi path'in hangi metotlarla, hangi parametrelerle ve hangi sınırlarla çağrılabileceği WAF Rules (Page Types) listesinde tutulur.
• İsteklerde aranan saldırı desenleri OWASP Rules görünümünde yönetilir.
• Denetim sonucunda üretilen kayıtlar Event Logs ekranında incelenir.