Virtual Host Groups

Virtual Host Groups Nedir?

Virtual Host Groups, WAF korumalı bir vService'in trafiğini isteğin Host başlığına göre bölerek her bölüme ayrı bir kural seti ve ayrı bir çalışma modu uygulanmasını sağlar. Aynı vService üzerinden yayınlanan farklı alan adları, tek bir kural setine sıkışmak yerine kendi öğrenilmiş sayfa tiplerini ve kendi modunu taşır: örneğin yeni yayına alınan bir alan adı Learning modunda öğrenilirken, olgunlaşmış alan adları Blocking modunda korunmaya devam eder.

Her vService'te silinemeyen bir varsayılan host grubu bulunur. Bu grubun host deseni yoktur; başka hiçbir grubun desenine uymayan istekler buraya düşer.

Neyin grup başına, neyin vService geneli olduğu

Host grubu başına değişen yalnızca üç şeydir: grubun adı, host desenleri ve WAF modu; bir de gruba ait sayfa tipleri (path kuralları ve bunların denetim ayarları). OWASP Protection Level, Checks, Whitelist & Blacklist, Blocking Page, Request Body Limits ve Learning & Reporting altındaki tüm ayarlar vService genelindedir ve bütün gruplarda ortaktır.

Grupların birbirinden bağımsızlığı

Gruplar arasında kural paylaşımı yoktur. Yeni bir grup açıldığında kuralları başka bir gruptan kopyalanmaz; grup, varsayılan kural seti ve önerilen header denetimleriyle boştan başlar. Bir gruptaki kuralları diğerine taşımanın yolu, kaynak grupta Export, hedef grupta Import işlemini kullanmaktır.

WAF Management'ta Virtual Host Groups Bandı

WAF Management ekranının en altındaki Virtual Host Groups bandı, alt notunda A separate working mode and learning setup per host açıklamasını taşır ve mevcut yapılandırmayı tek cümleyle özetler:

• Tek grup varsa yönlendirici bir metin görüntülenir: Define virtual host groups to apply a different WAF mode and learning setup per host.
• Birden çok grup varsa dağılım özetlenir: Requests are evaluated in 3 host groups, each with its own WAF mode — 2 Blocking, 1 Monitor, +Teacher. Özetteki grup sayısı varsayılan grubu da içerir; gruplar moda göre çoktan aza sayılır ve açık öğrenme yöntemleri (Teacher, Conditional Learning) sona eklenir.

Birden çok grup tanımlıyken bandın sağ üst köşesinde ayrıca Collective Analysis & Learning butonu ve vService geneli Analysis & Learning ekranına giden bir kısayol yer alır.

Bandın sağ üst köşesindeki ikonuyla yeni grup eklenir; hemen altındaki Edit bağlantısıyla grup listesi açılır.

WAF Management - Virtual Host Groups Bandı

Host Grubu Mod Kartları

Her host grubu için ekranın üst kısmında ayrı bir mod kartı görüntülenir; kartlar önce adlandırılmış gruplar, en sonda varsayılan grup olacak biçimde sıralanır. Kartın moda göre renklenen başlık şeridinde en üstte modun adı (Blocking Mode, Monitor Mode, Learning Mode) ve yanında modun ne yaptığı yer alır: Attacks are blocked, Attacks are only monitored, not blocked veya Learning mode - rules are not enforced yet. Grubun adı bunun altında, bir alt satırda görüntülenir; varsayılan grupta bu satırda Default host group yazar.

Kart gövdesinde grubun hangi istekleri karşıladığı yazılır: adlandırılmış gruplarda Requests to <desen> are handled by this group (birden çok desen · ile ayrılır), varsayılan grupta Requests matching no other group's hosts are handled here. vService'te yalnızca varsayılan grup tanımlıyken kart yalnız modu anlatır: grup adı ve bu cümle görüntülenmez.

Kartın içinden şunlara erişilir:

• Grubun sayfa tipi sayısı (<sayı> page types); tıklandığında grubun kuralları Page types - <grup adı> başlıklı sekmede açılır (WAF Rules). Yeni oluşturulan bir grup tek kuralla başladığı için bu sayı başlangıçta 1'dir.
• Yalnızca o gruba kilitli Analysis & Learning başlatma bağlantısı ve grubun analiz sonuçlarına giden ikonu.
• Grup için uygulanmamış yeni bir analiz sonucu varsa New rozeti görüntülenir; tıklandığında sonuç önizlenir ve buradan uygulanabilir, yok sayılabilir, düzenlenebilir veya silinebilir. Bekleyen yeni bir sonuç yokken ve son uygulama hatasız tamamlanmışsa Applied rozeti görüntülenir.
• Başlık şeridinin sağ alt köşesindeki Edit bağlantısı, grubun düzenleme ekranını açar.

Grup için çalışan bir analiz varsa ilerlemesi de bu kartta izlenir.

Virtual Host Groups Listeleme Ekranı

Virtual Host Groups bandındaki Edit bağlantısına tıklandığında Virtual Host Groups başlıklı liste penceresi açılır. Bu ekran üzerinden host grubu ekleme, düzenleme ve silme işlemleri yapılır.

Virtual Host Groups Listesi

Tablo varsayılan olarak şu kolonlarla açılır:

Kolon	Açıklama
Virtual Host Group Name	Grubun adı. Varsayılan grubun satırı italik görüntülenir ve listede ilk sırada yer alır; mod kartlarında ise en sonda görüntülenir.
Virtual Host Patterns	Grubun karşıladığı host desenleri, virgülle ayrılarak. Varsayılan grupta boştur.

Varsayılan olarak gizlenen kolon bulunmaz. Satıra tıklandığında önizleme paneli açılmaz.

Araç çubuğundaki öğeler soldan sağa aşağıdaki sırayla yer alır; son iki öğe (Page Information ve Page Size) tablonun altındaki bilgi şeridinde bulunur.

Columns

Tabloda hangi kolonların gösterileceği seçilir. Aynı panelde kolonlar sürüklenerek yeniden sıralanır ve kolon başına hizalama seçilir; Fit rows to the page butonuyla satır yüksekliği sayfaya sığdırılır, Reset butonuyla kolon düzeni varsayılana alınır. Düzen kullanıcı bazında saklanır.

Export

Export butonuna tıklanarak tablo Excel, CSV veya PDF olarak dışa aktarılır. Açılan pencerede Filename, Format ve Data Source ile dışa aktarılacak Columns belirlenir; kalan alanlar biçime göre görüntülenir: CSV'de CSV Separator, Excel'de Excel Sheet Name, PDF'te Page Orientation ve Page Size.

Add

Add butonuna tıklanarak host grubu ekleme penceresi açılır.

Edit

Edit butonuna tıklanarak seçili grubun düzenleme penceresi açılır. Buton yalnızca tek bir grup seçildiğinde etkinleşir.

Delete

Bir veya birden fazla grup seçilip Delete butonuna tıklandığında ilgili gruplar silinir. Silmeden önce "Are you sure that you want to delete virtual host groups object?" onayı istenir; birden çok grup seçildiğinde onay metni seçim sayısını belirtir. Varsayılan host grubu silinemez; seçime dahil edildiğinde buton etkinleşmez.

WARNING

Bir host grubunun silinmesi, o gruba ait tüm sayfa tiplerini ve kural ayarlarını da kalıcı olarak siler; bu işlemin geri alınması yoktur. (Grubun düzenlenmesi kurallara dokunmaz: ad, mod veya desen değişikliği sayfa tiplerini olduğu gibi bırakır.) Silinen grubun host desenlerine gelen istekler bundan sonra varsayılan gruba düşer ve o grubun kural setiyle denetlenir. Kuralların korunması gerekiyorsa silmeden önce Export ile dışa aktarılmalıdır.

Search

Tablodaki tüm bilgilerde arama yapmak için kullanılır.

RegExp Search

Tabloda bulunan tüm bilgilerde düzenli ifade (RegExp) ile arama yapmak için kullanılır.

Column Based Search

Tabloda bulunan bilgilerde sütun bazlı arama yapmak için kullanılır.

Page Information

Listede görüntülenen grup sayısına ait bilgiler yer alır: Showing N-M of T records ve seçili grup sayısı (N selected, seçim yokken Nothing selected).

Page Size

Sayfada görüntülenecek maksimum grup sayısı seçilir. Varsayılan 100; seçenekler 5, 10, 20, 50, 100, 200, 500 ve All. Seçim saklanmaz.

Sağ Tık Menüsü

Bir satıra sağ tıklandığında iki işlemli bir menü açılır. İşlemler yalnızca sağ tıklanan gruba uygulanır; listede yapılmış seçim menüyü etkilemez.

İşlem	Ne yapar
Edit	Grubun düzenleme penceresini açar; araç çubuğundaki Edit ile aynı formdur.
Delete	Sağ tıklanan grubu siler; araç çubuğundaki silme ile aynı onay sorusu görüntülenir. Varsayılan grupta bulunmaz.

Host Grubu Ekleme ve Düzenleme

1. WAF Management sekmesi açılır.
2. Virtual Host Groups bandının sağ üstündeki ikonuna tıklanarak Add başlıklı pencere açılır. Mevcut bir grup düzenlenecekse grubun mod kartındaki Edit bağlantısına veya liste penceresinde satır seçilip Edit butonuna tıklanır; Edit başlıklı pencere açılır.
3. Aşağıdaki alanlar düzenlenir ve Add (düzenlemede Edit) butonuyla onaylanır.

Host Grubu Ekleme Ekranı

INFO

Virtual Host Group Name

Grubun adı girilir; zorunlu alandır. Ad, mod kartlarında, liste penceresinde, analiz ekranlarında ve işlem kayıtlarında bu grubu tanımlamak için kullanılır.

INFO

WAF Mode

Grubun çalışma modu seçilir; yeni grup, vService için tanımlı mod ile açılır:

Seçenek	Anlamı
Blocking Mode	Eşiği aşan istekler engellenir.
Monitor Mode	Saldırılar kaydedilir ancak istek engellenmez.
Learning Mode	Kurallar uygulanmaz; trafik öğrenme kaydına yazılır.

Modların ayrıntılı davranışı WAF Mode sayfasında anlatılır. Bir vService'in modunun sonradan değiştirilmesi, o sırada tanımlı grupların modunu değiştirmez; yalnızca arayüzden sonradan eklenen grupların başlangıç modunu belirler. Conditional Learning kimliğini taşıyan istekler ise grubun modundan bağımsız olarak öğrenme modunda işlenir.

INFO

Virtual Host Patterns

Grubun karşılayacağı host desenleri girilir; en az bir desen tanımlanmalıdır. Her desen kendi alanına yazılır ve alanın altındaki + Add bağlantısıyla yeni bir desen alanı eklenir. Desen, tam alan adı (ornek.com) olabileceği gibi baştan joker de taşıyabilir (*.ornek.com). Boş bırakılan alan kabul edilmez; form kaydedilmeye çalışıldığında alanın altında Correct invalid inputs uyarısı görüntülenir.

Desenler isteğin Host başlığıyla olduğu gibi karşılaştırılır: büyük/küçük harf farkı ve başlıktaki port bilgisi göz ardı edilmez. Bu nedenle ornek.com deseni, Ornek.com veya ornek.com:8443 başlığıyla gelen isteği karşılamaz; bu istekler varsayılan gruba düşer. Standart dışı port kullanılan yayınlarda desenin portu da içermesi gerekir (ornek.com:8443).

Arayüz * karakterini desenin herhangi bir yerinde kabul eder; REST/CLI arayüzünden aynı grup düzenlendiğinde ise yalnızca baştaki *. biçimindeki joker geçerli sayılır. Bu nedenle desenlerin *.ornek.com kalıbında tutulması önerilir. Grup adının benzersizliği de yalnızca REST/CLI tarafında denetlenir.

Varsayılan host grubu düzenlenirken bu alan formda görüntülenmez; varsayılan grup desen taşımaz.

INFO

Add

Add butonuna tıklanarak grup kaydedilir (düzenleme penceresinde buton Edit adını taşır); buton, formda hata kalmadığında etkinleşir. Ek bir onay penceresi veya dağıtım (deploy) adımı yoktur; WAF yapılandırması otomatik olarak yeniden üretilip uygulanır. Yeni grup, varsayılan kural seti ve önerilen header denetimleriyle oluşturulur.

Bir isteğin hangi gruba düştüğü

İstek geldiğinde host desenleri tanım sırasıyla denenir ve ilk eşleşen grup kazanır; daha dar bir desenin daha genişine önceliği yoktur. Hiçbir desen eşleşmezse (ve isteğin Host başlığı yoksa) istek varsayılan gruba düşer.

Gruplar arasında desen çakışması engellenmez: aynı host'u karşılayan iki grup tanımlanırsa o host'un istekleri her zaman sırada önce gelen gruba gider ve ikinci grubun kuralları o host için hiçbir zaman çalışmaz. Değerlendirme sırası grupların oluşturulma sırasıdır ve sonradan değiştirilemez; çakışma, desenler daraltılarak ya da grup silinip yeniden oluşturularak giderilir.

Değişikliklerin uygulanması

Grup ekleme, düzenleme ve silme işlemleri kaydedildiği anda WAF yapılandırmasına yansır; ayrı bir uygulama adımı ya da servis yeniden başlatma gerekmez. Art arda yapılan değişiklikler tek bir uygulamada toplandığı için yansıma birkaç saniye sürebilir. Cluster kurulumunda değişiklik diğer cihaza de aktarılır.