Log Settings

Log Settings Nedir?

Log Settings, WAF'ın ürettiği kayıtların hacmini iki ayrı noktadan yönetir: öğrenme kaydının akıllı örneklenmesi (kaç satır yazılacağı) ve saldırı kayıtlarının belirli bir koşulda listelenmemesi.

İki ayar farklı kayıtlara dokunur ve birbirinin yerine geçmez: örnekleme yalnızca öğrenme kaydını, bastırma koşulu yalnızca saldırı kaydını etkiler.

Hangi ayar hangi kaydı belirler

Kayıtların hacmi ve içeriği birden çok ekrandan yönetilir; karışmaması için:

• Log Settings (bu ekran): öğrenme kaydına kaç satır yazılacağı ve saldırı kayıtlarından hangilerinin listelenmeyeceği.
• Request Body Limits: saldırı kaydındaki gövde alıntısının uzunluğu.
• WAF Rules altındaki denetim alanlarının Detailed Log anahtarları: saldırı kaydında eşleşen değerin tutulup tutulmayacağı.
• SIEM & Attack Details: dışarıya gönderilen saldırı bilgisinin alanları.

Kapsam

Log Settings ayarları vService genelinde geçerlidir ve tüm host gruplarında ortaktır. Akıllı örnekleme yalnızca HTTP vService'lerde çalışır; L7 TCP vService'lerde bu ayarın etkisi yoktur.

WAF Management'ta Log Settings Kartı

WAF Management ekranının Learning & Reporting bölümündeki Log Settings kartı, örnekleme durumunu tek cümleyle özetler: örnekleme açıkken The learning log is smart-sampled — the first 50 of each request shape are written in full, kapalıyken Sampling is off — every request is written in full (only advisable on low traffic). Bir bastırma koşulu tanımlıysa altına WAF logging is suppressed for requests matching: satırı ve koşulun özeti eklenir.

Bu kart, Request Body Limits, Blocking Page ve SIEM & Attack Details kartları gibi bir açma/kapama anahtarına sahip olmadığından hiçbir zaman sönmez ve Disabled pili almaz; örnekleme kapalıyken de canlı görünür. Kart ayrıca, vService yalnızca engelleme yapıyor ve hiç öğrenme yapmıyor olsa bile örnekleme cümlesini gösterir; örnekleme ancak öğrenme yapan bir vService'te iş görür.

Kartın sağ üstündeki kalem ikonuna tıklandığında düzenleme ekranı açılır.

WAF Management - Log Settings Kartı

Log Settings Edit Ekranı

1. WAF Management sekmesi açılır.
2. Learning & Reporting bölümündeki Log Settings kartının sağ üstündeki kalem ikonuna tıklanır; Log Settings başlıklı düzenleme penceresi açılır.
3. Aşağıdaki alanlar düzenlenir ve Edit butonuyla onaylanır.

Log Settings Edit Ekranı

INFO

Smart Sampling (Learning Log) Varsayılan: İşaretli

Öğrenme kaydının akıllı örneklenmesini açar; varsayılan olarak işaretlidir. Açıkken istekler şekillerine göre gruplanır ve her şeklin ilk örnekleri tam yazılır, kalanından seyrek örnek alınır. Kapatıldığında öğrenme kapsamındaki her istek tam yazılır; bu seçim yalnızca düşük trafikli sitelerde önerilir.

İstek şekli; metot, host, sayfa (path), parametre adları ve değer uzunluğu aralıkları, gövde alan adları, başlık adları, varsa tetiklenen saldırı imzaları ve isteğe verilen yanıt durum kodundan oluşan bir imzadır. Şekil imzası değerlerin kendisini taşımaz; aynı sayfaya benzer uzunlukta farklı parametre değerleriyle gelen istekler aynı şekil sayılır, değer uzunluğu farklı bir aralığa düştüğünde veya istek farklı bir durum kodu ürettiğinde ayrı bir şekil oluşur. Farklı bir saldırı deseni tetikleyen istek de ayrı bir şekil olarak kendi kotasını açar.

Sampling: Full Copies per Shape Varsayılan: 50

Kutu işaretlendiğinde formda beliren bu alana, bir şeklin örneklemeye geçilmeden önce kaç kez tam yazılacağı girilir; 5 ile 10000 arasında bir değer alır ve varsayılan değeri 50'dir. Kota dolduktan sonra aynı şeklin istekleri rastgele biçimde örneklenir: varsayılan ayarda yaklaşık her yirmi istekten biri yazılır. Değerin artırılması, belirli sınırlar içinde, hem daha çok tam örnek toplar hem de kalan isteklerden daha sık örnek alınmasını sağlar; azaltılması ikisini birden seyreltir. Bir şekil ilk kez görüldüğünde kural olarak tam yazılır.

Sayım şekil başına birikimlidir: bir dönem başına değil, o şekil görüldükçe toplanır. Şekil uzun süre (yaklaşık üç hafta) hiç görülmezse hafızadan düşer; şekil belleğinin bir üst sınırı da vardır, bu nedenle çok sayıda yeni şeklin oluştuğu sistemlerde en eski şekiller bu süreden önce de düşebilir. Ayrıca çok sayıda yeni şeklin kısa sürede birden ortaya çıktığı durumlarda (örneğin parametre adı üreterek tarama yapan bir istemci) kayıt korunmaya alınır ve o dakika boyunca yeni şekillerin tam yazımı da seyreltilir.

INFO

WAF Log Suppression Condition

Saldırı kaydına yazılan isteklerden hangilerinin listelenmeyeceğini belirleyen koşul tanımlanır; yalnızca istek tarafına ait HTTP Conditions seçilebilir. Koşul tanımlanmadığında alan boş bir koşul grubu olarak görüntülenir, hiçbir kayıt bastırılmaz ve kartta bastırma satırı yer almaz.

Koşulu sağlayan istekler Event Logs ekranında ve filtrelenmiş raporlarda listelenmez. Denetim davranışı değişmez: istek yine denetlenir, engellenmesi gerekiyorsa engellenir.

INFO

Edit

Edit butonuna tıklanarak formdaki değişiklikler kaydedilir; buton, formda hata kalmadığında etkinleşir. Ek bir onay penceresi veya dağıtım (deploy) adımı yoktur; WAF yapılandırması otomatik olarak yeniden üretilip uygulanır.

Bastırılan kayıtlar özet sayımlarında görünmeye devam eder

Bastırma bir yazma değil, bir listeleme kısıtıdır: koşulu sağlayan istekler saldırı kaydına yazılmayı sürdürür ve Dashboard panelleriyle özet raporlardaki sayımlara dahil olur; yalnızca kayıt listelerinden çıkarılır. Bu nedenle bastırma, disk kullanımını azaltmak için kullanılamaz ve özet sayılarla liste sayıları arasında fark oluşturur.

Koşulun silinmesi bastırmayı sessizce değiştirir

Bastırma koşulunda kullanılan bir Conditions tanımı, bu ekranda kullanıldığı için kullanımda sayılmaz ve uyarı verilmeden silinebilir. Tanımlı tek koşul silindiğinde bastırma çalışmaz duruma gelir; kartta ise koşul satırı görüntülenmeye devam edebilir. Birden çok koşulun birlikte kullanıldığı bir tanımda koşullardan yalnız biri silinirse bastırma durmaz, kalan koşullarla sürer ve beklenenden geniş bir trafiği kayıt listesinden çıkarır.

Örnekleme kapatıldığında

Örnekleme kapatıldığında öğrenme kaydı her isteği tam yazar ve kayıt hacmi hızla büyür. Ayrıca Dashboard ekranındaki Learning sekmesi ve içindeki öğrenme grafikleri (Learning Log Sampling, Learning Discovery Rate, Learning Coverage) görünmez olur. Örnekleme yeniden açıldığında şekil sayımları sıfırlanmaz; kaldığı yerden sürer ve bu bellek, cluster cihazları arasında paylaşılarak yapılandırma yenilemelerini de aşar.