Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Palo Alto Traffic Log içerisinde:
incomplete veya insufficient-data
görmek her zaman App-ID’in bozuk veya yanlış çalıştığı anlamına gelmez.
Çoğu zaman asıl soru şudur:
Session, uygulamanın tanımlanabileceği kadar ilerledi mi?
incomplete Nedir?
Palo Alto Networks tanımına göre incomplete, bağlantı için handshake gerçekleşmesine rağmen timeout öncesinde uygulama verisi gönderilmediğinde görülebilir.
Örneğin:
Client → SYN
Server → SYN/ACK
Client → ACKancak sonrasında application payload oluşmuyorsa firewall uygulamayı tanımlayamayabilir.
Bu durumda kontrol edin:
Server cevap veriyor mu? → NAT doğru mu? → Return path var mı? → TCP reset oluşuyor mu? → Asymmetric routing var mı?
Yani:
🔥 incomplete ≠ App-ID problemi
Bağlantının kendisi application identification aşamasına ulaşamıyor olabilir.
insufficient-data Nedir?
insufficient-data durumunda handshake gerçekleşmiş ve en azından bazı veri paketleri aktarılmıştır.
Ancak App-ID’in uygulamayı güvenilir biçimde belirlemesi için yeterli trafik oluşmamıştır.
Bu durum özellikle:
Kısa TCP session’ları → Health check → Monitoring → Scan → Hızlı kapanan bağlantılar
gibi trafiklerde görülebilir.
Dolayısıyla:
insufficient-data ≠ mutlaka tehdit
ve tek başına bir güvenlik ihlali göstergesi değildir.
unknown-tcp / unknown-udp Farklıdır
Eğer firewall trafik üzerinde yeterli inceleme yapmasına rağmen mevcut App-ID imzalarından biriyle eşleştiremiyorsa trafik:
unknown-tcpveya:
unknown-udpolarak sınıflandırılabilir. Palo Alto Networks, App-ID tarafından tanımlanamayan trafiği bu şekilde sınıflandırır.
Bu trafik sürekli görülüyorsa daha detaylı inceleme gerekir:
Packet Capture → Source/Destination → Port → Application Behavior → Security Policy → Custom App-ID
Palo Alto ayrıca unknown application trafiğinin packet capture ile analiz edilmesini ve gerekiyorsa Custom App-ID oluşturulmasını veya ticari bir uygulama için yeni App-ID talep edilmesini öneriyor.
Applications and Threats Content Güncel mi?
App-ID tarafında unutulmaması gereken diğer nokta Applications and Threats Content Updates.
Bu paketler yeni ve değiştirilmiş App-ID imzalarını firewall’a ulaştırır.
Bu nedenle sürekli unknown-tcp veya unknown-udp görülen bir durumda şu kontrol de yapılmalıdır:
Device → Dynamic Updates → Applications and Threats
Ancak content update yapmak, her incomplete veya insufficient-data kaydını çözecek anlamına gelmez.
Çünkü:
incomplete → Session yeterince ilerlememiş olabilir
insufficient-data → App-ID için yeterli trafik oluşmamış olabilir
unknown-tcp/udp → Trafik mevcut App-ID ile tanımlanamamış olabilir
Bunlar farklı troubleshooting senaryolarıdır.
Troubleshooting Sırası
Benim pratik sıram:
Session → TCP davranışı → Route → NAT → Return Path → Policy → Packet Capture → App-ID
Özellikle Traffic Log’da incomplete gördüğümde ilk refleksim App-ID’i suçlamak olmaz.
Önce şu soruyu sorarım:
“TCP session gerçekten application data taşıyabilecek noktaya kadar ilerledi mi?”
Çünkü Palo Alto troubleshooting’de önemli olan yalnızca logdaki application değerine bakmak değil, session’ın neden o değerle sonlandığını anlamaktır.
