Bölüm 6: Sistem Ayarları¶

Ayar Grupları ve Gezinme¶

Settings ekranı, Arceris'in günlük çalışma davranışını yöneten ana yapılandırma yüzeyidir. Buradaki ayarlar yalnızca görünümle ilgili değildir; güvenlik davranışı, proxy çalışma biçimi, sertifikalar, sistem entegrasyonları ve uyarı eşikleri de bu ekran üzerinden kontrol edilir.

Ekran soldaki menüde beş gruba ayrılmıştır ve her grup kendi alt sekmelerini taşır:

Grup	Sekmeler
Genel Ayarlar	Çalışma Zamanı, Kurumsal PAC, Lisans, E-posta / SMTP, PII & NLP, Sistem Bilgisi
Sertifikalar	Web TLS, Şeffaf CA, Güvenilen Kök CA'lar, Kod İmzalama
Syslog	Syslog, SNMP, Uyarılar & Sağlık
Ağ	Host Ağı & Zaman
Marka	Marka

Kaydetme davranışı sekmeden sekmeye değişir. Form tabanlı sekmeler (Çalışma Zamanı, Host Ağı & Zaman, SNMP, PII & NLP, Syslog, Uyarılar & Sağlık, Marka) sayfanın kendi kaydetme düğmesini kullanır; kendi kayıt API'sine sahip paneller (Kurumsal PAC, sertifika sekmeleri, Lisans, E-posta / SMTP) düğmeyi panelin içinde taşır. Ayar kaydı kısmi güncelleme olarak çalışır: gönderilmeyen bir alan son kaydedilen değerini korur, açıkça boş bırakılan veya kapatılan alan ise temizlenir. Tek bir alanı değiştirmek diğer ayarları sıfırlamaz.

Bu ekran kullanılırken temel yaklaşım, değişiklikleri doğrudan canlı davranışı etkileyen operasyonel kararlar olarak ele almaktır.

Çalışma Zamanı (Runtime) Ayarları¶

Runtime ayarları genel olarak şu amaçlarla kullanılır:

Varsayılan güvenlik davranışını belirlemek
Proxy çalışma şeklini güncellemek
İlgili özelliklerin canlı sistem üzerindeki etkisini yönetmek
Operasyon ekiplerine merkezi ve tutarlı bir ayar yüzeyi sunmak

İstek Koruma Varsayılanları¶

Bu bölümde, gelen isteklerin gövde boyutu sınırı (max body size) yapılandırılır. Bu sınır, işlenecek maksimum istek büyüklüğünü bayt cinsinden belirler ve aşırı büyük isteklerin sistem kaynaklarını tüketmesini önler. Varsayılan değer 10 MB'dır (10485760 bayt).

Varsayılan değer genellikle kurumun kullanım senaryolarına göre ayarlanmalıdır. Örneğin, büyük dosya ekleri veya uzun prompt'lar beklenen ortamlarda bu sınırın buna göre artırılması gerekir.

Yanıt Taraması¶

Yanıt tarama ayarları, upstream sağlayıcılardan dönen model cevaplarının da denetlenmesini sağlar. Tarama tüm kanallarda çalışır: tarayıcılar (transparent proxy), coding agent'ları (explicit proxy), unified gateway ve yerel LLM proxy'si. Bu bölüm şu ayarları içerir:

PII İçin Tara: Etkinleştirildiğinde, model yanıtlarında kişisel bilgi (PII) taraması yapılır. Eşleşmeler bulunduğunda seçili Yanıt Protokolü eylemi uygulanır.

Injection İçin Tara: Etkinleştirildiğinde, model yanıtlarında prompt injection içeriği aranır. Bu özellik özellikle dış kaynaklardan alınan yanıtların güvenilir olmadığı senaryolarda önemlidir.

Yanıt Protokolü: Bir eşleşme tespit edildiğinde uygulanacak eylemi belirler: - Block — İsteği reddeder ve 403 döner. - Mask — Eşleşen içeriği [REDACTED] ile değiştirerek yanıtı iletir. - Log — Yanıtı değiştirmeden iletir ve eşleşmeyi kayıt altına alır.

Parça Boyutu (bayt): Yanıt taramasının model çıktısını parça parça işlerken kullandığı parça boyutudur. Varsayılan değer 512 bayttır (128–65536 arası yapılandırılabilir). Daha küçük parça boyutları daha hassas tarama sağlarken işlem maliyetini artırır; daha büyük parça boyutları performansı iyileştirir ancak eşleşme duyarlılığını azaltabilir.

Coding agent'larında, gateway'de ve yerel proxy'de Mask veya Block seçiliyken akışlı cevap model bitince tek seferde gelir (tarayıcı sohbetleri akmaya devam eder); Log her akışı canlı tutar.

Yanıt Sızdırma Tespiti¶

Bu bölüm, tarayıcıdan dışarı veri göndermeye çalışan yanıtları yakalar: izin listesinde olmayan bir host'a işaret eden otomatik yüklenen görsel, sorgu parametresinde gizli veri taşıyan bağlantı veya görünmez karakterlere gömülmüş yük. Yanıt Taraması'nın tamamlayıcısıdır: o, yanıtın hassas veri içerip içermediğini sorar; bu bölüm verinin dışarı sızdırıp sızdırmayacağını. Üç vektör ayrı ayrı açılıp kapatılabilir ve tespit halinde uygulanacak eylem ile URL izin listesi yapılandırılabilir. Bu tarama açıkken yanıtlar iletilmeden önce tamamen okunur; bu nedenle kullanıcılar kelime kelime akışı (streaming) kaybeder.

Oturum Tehdit Korelasyonu¶

Bir oturum içinde biriken tehdit sinyalleri (kimlik avı girişimleri, anomaliler) eşik altına indirgenir. Blok ve izleme eşikleri bu bölümden ayarlanır; ayrıntılar Bölüm 21'de ele alınır.

Erişim ve Verimlilik¶

Bu bölüm, ürünün istek hacmi, erişim davranışı ve akış kontrolüyle ilgili temel parametrelerini bir araya getirir. Varsayılan hız limiti (RPM), fail-open hız sınırlayıcı davranışı, bilinmeyen modelleri reddetme ve yol tabanlı erişim kontrolü (Path Filtresi) burada operasyonel anlam kazanır.

Bu ayarların amacı, ürünü yalnızca güvenli değil; aynı zamanda öngörülebilir ve sürdürülebilir hale getirmektir. Yüksek trafik altında sistemin nasıl davranacağı, arıza anında hangi kontrol katmanlarının nasıl tepki vereceği ve genel throughput dengesinin nasıl korunacağı bu alanın parçasıdır.

Proxy Çalışma Zamanı Geçersiz Kılmaları¶

Bu bölümdeki ayarlar veritabanında saklanır ve Arceris'i yeniden başlatmadan doğrudan çalışma zamanında uygulanır. Temel bileşenler:

Transparent Proxy Etkin: Etkinleştirildiğinde, Arceris HTTPS trafiğini man-in-the-middle (MITM) dinleyicisi ile keser. Bu sayede istemciden AI sağlayıcılara giden tüm HTTPS trafiği Arceris üzerinden geçer ve güvenlik politikaları (PII tarama, prompt injection kontrolü, erişim kuralları) bu trafik üzerinde uygulanır. İstemcilerin Arceris'i bir proxy olarak bilerek yapılandırılması gerekmez; trafik ağ katmanında yönlendirilir.

Transparent Proxy Portu: Transparent proxy dinleyicisinin çalıştığı port numarasıdır. Varsayılan olarak 443 kullanılır. Bu port, ağ altyapısındaki yönlendirme kurallarıyla eşleşmelidir.

Captive Portal Etkin: Etkinleştirildiğinde, kimliği doğrulanmamış tarayıcı trafiği otomatik olarak bir giriş akışına yönlendirilir. Kullanıcılar Arceris üzerinden AI hizmetlerine erişmeden önce kimlik doğrulaması yapmak zorunda kalır.

Captive Portal Giriş URL'si: Captive portal aktifken kullanıcıların yönlendirileceği giriş sayfasının URL'sidir. Örneğin https://login.example.com şeklinde yapılandırılır. LDAP tabanlı kimlik doğrulama sayfaları bu alanda belirlenir.

Kayıtlı Cihazla Otomatik Giriş: v1.3.0'tan itibaren varsayılan olarak açıktır. arceris-dev ile kayıtlı makinelerde tarayıcı, captive giriş sayfası yerine doğrulanmış cihaz kimliğiyle sessizce oturum açar. Açıkken, kayıtlı cihazın relay'i üzerinden gelen çerezsiz tarayıcı istekleri (XHR/fetch, örn. Gemini istemleri) cihazın kullanıcısı olarak değerlendirilir: kullanıcı düzeyi Model Erişimi, maliyet limitleri ve PII/DLP/guard bağlamaları uygulanır; relay bağlantılarında captive IP oturumu geri dönüşü kullanılmaz. Bu varsayılana geçişte, panelden bir operatör tarafından açıkça kapatılmamış saklı değerler tek seferlik true'ya çevrilir; bu çevrim bir config_change denetim kaydına ve başlangıçta bir WARN satırına yazılır. Panelden kapatılan kurulumlar olduğu gibi korunur ve sonraki sürümlerde tekrar açılmaz. Cihaz kaydının ayrıntıları Bölüm 13'te anlatılır.

Sessiz Kerberos kullanıcı kaydı: Varsayılan olarak açıktır. Açıkken, Kerberos biletli domain kullanıcıları ilk girişte makine servisi tarafından sessizce kurulur (pencere veya soru yok). Bu anahtar sunucu tarafında zorlanır; elle çalıştırılan arceris-dev setup --kerberos etkilenmez. Kapatıldığında helper çıkar ve servis oturumu bir sonraki oturum açmaya kadar bekletilir; anahtar tekrar açıldığında bekleyen oturumlar için hemen bir kurulum denemesi tetiklenir. Sonuç Makineler sayfasında oturum başına görünür (Bölüm 13).

Captive parola, ajan SSO ve OIDC yollarıyla açılan oturumlar v1.3.0'tan itibaren sunucu tarafında, çerezinkiyle aynı 24 saatlik anda sonlanır. Çerezsiz istemciler (CLI/SDK trafiği, CDN hostları) için kullanılan IP oturumu geri dönüşü de bu süreyi aştığında kimlik döndürmez.

Proxy Sıkılaştırma (Açık Relay Koruması)¶

Bu bölüm, explicit proxy'nin (:3128) güvenlik duruşunu belirler; mimari ayrıntılar Bölüm 23'tedir.

Explicit Proxy: TLS Kesme (MITM): Açıkken :3128, kayıtlı sağlayıcı hostlarına giden CONNECT'leri keser; prompt kontrolleri (PII, DLP, injection, path filter, model ACL) ancak böyle okuyabilir. MITM CA gerektirir (kurulum sırasında üretilir). Sonraki CONNECT'te geçerli olur, yeniden başlatma gerekmez.

Explicit Proxy: Kimlik Doğrulama Zorunlu: Açıkken :3128, geçerli proxy token'ı (veya captive IP oturumu) olmayan her isteği yukarı bağlantı kurmadan 407 ile reddeder. arceris-dev ile kaydedilmiş araçlar token taşıdığı için etkilenmez. Kapatmak, kutuyu kimlik denetimi olmayan açık bir CONNECT relay'ine dönüştürür.

Maliyet Uygulama Varsayılanları¶

Arceris yalnızca güvenlik ve erişim açısından değil, maliyet kontrolü açısından da yönetilebilir bir yüzey sunar. Maliyet uygulama alanı; token, prompt veya maliyet bazlı sınırların varsayılan mantığını tanımlamak için kullanılır.

Bu bölüm özellikle çok kullanıcılı veya maliyet hassasiyetinin yüksek olduğu ortamlarda önem kazanır. Amaç tek tek kullanıcı davranışını elle takip etmek değil; genel maliyet disiplinini ürün içinde kurumsal politika haline getirmektir. Model fiyatlandırmaları (USD/1M token bazında giriş ve çıkış maliyetleri) Sağlayıcılar & Modeller sayfasının Pricing sekmesinden yönetilir; ayrıntılar Bölüm 8'dedir.

Denetim ve Tanılama¶

Bu bölüm, denetim görünürlüğü ve operasyonel teşhis ile ilgili ayarları içerir. Dört temel kontrol bulunur:

Hava Boşluklu (Air-Gapped) Mod: Etkinleştirildiğinde, Arceris'in tüm dışarıya giden bağlantıları (telemetri, güncelleme kontrolleri, dış servis çağrıları) kesilir. Sistem tamamen izole çalışır. Bu mod özellikle internet erişiminin olmadığı veya dış trafiğin güvenlik politikasıyla yasaklandığı ortamlarda kullanılır. Dikkatli kullanılmalıdır; çünkü etkinleştirildiğinde ürün güncelleme bildirimleri ve dış sağlayıcılarla iletişim de durur.

Sezgisel Tarama: Etkinleştirildiğinde, bilinen prompt injection imzalarının ötesinde kalıplaşmamış şüpheli içerikleri tespit etmek için örüntü tabanlı (pattern-based) algılama devreye girer. Bu özellik, henüz kural olarak tanımlanmamış veya yeni türdeki prompt saldırılarına karşı ek bir savunma katmanı sağlar.

Tam Veri Denetimi: Etkinleştirildiğinde, denetim kayıtlarında isteğin ve yanıtın tamamı (prompt ve response metinleri) loglanır. Varsayılan olarak yalnızca özet bilgiler kaydedilir. Bu mod sorun giderme ve derinlemesine analiz için yararlıdır; ancak prompt ve yanıtlarda hassas veri (PII) bulunabileceği için dikkatli kullanılmalıdır. Gerekmedikçe açık bırakılmamalıdır.

Path Filtresi: Etkinleştirildiğinde, path filter kuralları tarayıcıda, API/ajan trafiğinde ve editör hook'larında uygulanır. Yeniden başlatma olmadan hemen etkinleşir; belirli URL yollarına kimin erişebileceği kural tabanlı olarak yönetilebilir (Bölüm 17).

Blok Bildirimi (Deny UX)¶

Bu bölüm, transparent proxy'de bir prompt bloklandığında kullanıcının bunu nasıl öğrendiğini belirler: geri bildirim kanalı, dil ve metin. Denetim kayıtları, raporlar ve SIEM olayları her zaman İngilizce kalır.

Blok geri bildirim kanalı iki seçeneklidir:

HTTP 403 blok sayfası (varsayılan): Bloklanan isteğe Arceris blok sayfasıyla yanıt verir. API istemcileri sağlayıcı-şekilli JSON hatasını almaya devam eder; üç web arayüzünde (Gemini, ChatGPT, claude.ai) kullanıcı hiçbir politika mesajı görmez.
Sağlayıcı bildirimi: Kullanıcının prompt'unu içeriksiz bir bildirim isteğiyle değiştirip iletir ve bildirimi (neden, ne yapmalı, referans no) sağlayıcı arayüzünün gösterdiği cevabın içine yazar. Kullanıcının yazdığı hiçbir şey gateway'den çıkmaz. claude.ai ve ChatGPT'de istemci sohbeti sunucudan yeniden okuduğunda kullanıcının kendi yazdığı metin balonuna geri konur. Bildirim gerçek bir model turudur; bu nedenle bu kanal 403 sayfasından belirgin şekilde geç görünür.

Bildirim dili (İngilizce/Türkçe), isteğe bağlı bildirim metni ({reason}, {action}, {entities}, {detail} yer tutucularıyla), bildirim etiketi ve canlı önizleme aynı bölümden yönetilir.

Sağlayıcı bildirimi kanalında kalıcılık, v1.3.0'tan itibaren altyapıya bağlıdır: veritabanı arka ucu ve PROVIDER_KEY_ENCRYPTION_KEY anahtarı mevcutsa engellenen tur, ilk saatten sonra, yeniden başlatmalarda ve diğer düğümlerde de kullanıcının kendi sözleriyle ve bildirimle görünür; tur denetim saklama süresi boyunca veritabanında (kişisel veri maskelenmiş ve şifreli) tutulur, ilk saatten sonra maskelenmiş metin gösterilir. Bu koşullar yoksa eski davranış geçerlidir: kullanıcı metni yalnızca ilk saat bellekte tutulur.

Çalışma Zamanı Log Seviyesi¶

Arceris'in işlem günlüğü (log) seviyesi, yeniden başlatma gerektirmeden çalışma zamanında değiştirilebilir. Bu, sorun giderme sırasında geçici olarak daha ayrıntılı günlük almaya veya normal operasyonda günlük hacmini azaltmaya olanak tanır.

Dört seviye desteklenir: debug, info, warn, error. Varsayılan seviye info'dur.

debug — En ayrıntılı seviye. İstek işleme, kural eşleşmeleri, session tehdit değerlendirmeleri ve sınıflandırıcı kararları dahil tüm operasyonel ayrıntılar günlüğe yazılır. Yalnızca sorun giderme için kısa süreli kullanılmalıdır; üretimde sürekli açık bırakılması günlük hacmini ciddi şekilde artırır.
info — Önerilen normal operasyon seviyesi. Genel sistem olayları, başlatma ve yapılandırma değişiklikleri günlüğe yazılır.
warn — Yalnızca uyarı ve önemli olaylar (ör. engellemeler, eşik aşımları, DLP ihlalleri) günlüğe yazılır.
error — Yalnızca hata durumları günlüğe yazılır. En düşük günlük hacmi.

Log seviyesi değişikliği system:log_level olayı olarak denetim günlüğüne kaydedilir.

Kurumsal PAC¶

Kurumsal PAC sekmesi, kurumun kendi PAC (Proxy Auto-Config) dosyasının Arceris ajanıyla nasıl bir arada çalışacağını yönetir. Arceris ajanı, kayıtlı bir cihazın sistem PAC ayarını kendi ürettiği dosyayla değiştirir; burada bir kurumsal PAC gövdesi girilirse ajanın servis ettiği dosya iki katmanlı olur: önce AI hostları Arceris broker'ına yönlendirilir, geri kalan her şey operatörün kendi PAC'ine devredilir. Operatör gövdesi harfi harfine (verbatim) saklanır — hiçbir biçimde normalize edilmez, yeniden üretilmez veya biçimlendirilmez.

İki Katmanlı Bileşim¶

Bileşik PAC'te katman sırası sabittir:

Loopback koruması — broker 127.0.0.1'de dinler; kendi üzerinden yönlendirmek sonsuz döngü olur. Operatör gövdesi bu dalı asla geçersiz kılamaz.
Arceris kapsam hostları → yerel broker (PROXY …; DIRECT). Yalnızca kayıtlı AI hostları kapsam içindedir, asla tüm trafik değil.
Geri kalan her şey → operatörün kendi PAC'ine devir.

Bileşim metinsel değil, yapısaldır: operatör gövdesi tek giriş noktalı bir sarmalayıcı (IIFE) içine alınır. Gövde function FindProxyForURL(url, host) { … } tanımlamalıdır; tanımlamazsa kurumsal katman DIRECT'e düşer ve bu durum uyarı olarak bildirilir. AI sağlayıcı hostlarını gövdeye yazmaya gerek yoktur; kapsam katmanı gövdeden önce çalışır ve gövde yalnız "geri kalan" trafiği görür.

Profil Tanımı ve Hedefleme¶

Profiller listede ad, etkinlik, son güncelleyen ve güncellenme bilgisiyle taşır. Her profil iki kapsamdan birini seçer:

Tüm cihazlar (varsayılan profil) — hiçbir hedef eşleşmezse kullanılan profil. Yalnızca bir profil varsayılan olabilir ve varsayılan profil asla hedef taşımaz.
Yalnız seçili hedefler — rol, kullanıcı ID'si (usr_…; kullanıcı adı değil), IP/CIDR (sunucunun gördüğü kaynak IP) ve grup. Grup hedefi, kullanıcının taşıdığı değerle birebir eşleşir; LDAP grupları tam DN olarak, her satıra bir grup yazılacak biçimde girilir — virgül adın parçasıdır. Alan, içe aktarılmış LDAP gruplarında arama da sunar.

Hedef çözümlemede en özgül eşleşme kazanır: kullanıcı > IP > grup > rol. Hiçbir hedef eşleşmezse tek varsayılan profil geri düşer.

Kayıt Sırasında Betik Gerçekten Çalıştırılır¶

Kaydet, gövdeyi gerçekten bir JavaScript motorunda çalıştırarak doğrular. Hatalar kaydı engeller: sözdizisi hatası, 64 KB üstü gövde ve sonsuz döngü koruması (değerlendirme çağrı başına 200 ms ile sınırlıdır) kaydı bloklar. Uyarılar ise asla engellemez: giriş noktası eksik gövde, istek başına senkron DNS maliyeti getiren builtin'ler (isInNet, dnsResolve, isResolvable, myIpAddress) ve kapsam hostlarıyla çakışma — bugün kurumsal PAC'inizde proxy'ye giden bir kapsam hostu, kayıttan sonra Arceris'e yönlenecektir. Profil adı bir etikettir; denetim karakterleri ve görünmez karakterler kabul edilmez, uzunluk 128 karakterle sınırlıdır.

Canlı Test Konsolu¶

Test Konsolu, girilen hostlar için (boş bırakılırsa kapsam hostları kullanılır) karar tablosu üretir: her satırda Host, Bileşik PAC kararı, Yalnız sizin PAC'iniz kararı ve Kararı veren katman (Loopback koruması / Arceris kapsamı / Kurumsal PAC) yan yana gösterilir. Böylece iki katmanlı dosyanın sizin orijinal PAC'inizden farklı davrandığı hostlar tek bakışta görünür.

Sunucuda istemcinin DNS'i olmadığı için değerlendirme DNS'sizdir: isInNet yalnız IP literallerini eşler, dnsResolve boş döner, myIpAddress 127.0.0.1'dir. Panel bu sınırı karar tablosunun altında her zaman gösterir; iç ağ kuralları istemcide farklı sonuç verebilir.

Ajanlara Dağıtım¶

Kaydedilen bir değişiklik, policy veriyolu üzerinden bekleyen ajan uzun yoklamalarını (long-poll) uyandırır ve bağlı cihazlara saniyeler içinde ulaşır; bağlı olmayan cihazlara en geç bir sonraki check-in'de (boşta beş dakikaya kadar) iner. Şimdi dağıt düğmesi dağıtımı anında indirir. Dağıtım yalnızca sistem proxy'si açık (kayıt ve makine CA güveni tamamlanmış) cihazlarda uygulanır.

Ajan tarafında takas güvenlidir: derlenmeyen bir kurumsal gövde reddedilir ve önceki servis edilen PAC ayakta kalır; yeniden başlatmalarda önbellekteki içerikten başlanır. Cihaz başına görünürlük Bölüm 13'teki Makineler sayfasındadır.

Dağıtım Durumu Görünürlüğü¶

Profil listesinin altındaki Dağıtım durumu tablosu, cihaz başına Beklenen profil ile Uygulanan profili (gövde sürümü: SHA-256'in ilk 8 karakteri) yan yana gösterir; satırlarda cihaz, kullanıcı, durum, son rapor ve sistem proxy bilgisi bulunur. Durum sözlüğü kapalıdır:

Durum	Anlamı
Güncel	Uygulanan gövde, beklenen ve güncel gövdeyle aynı
Henüz uygulanmadı	Cihaz beklenen gövdeyi henüz almadı
Eski sürüm uygulu	Cihaz, artık güncel olmayan bir gövdeyi çalıştırıyor
Duraklatıldı	Makine duraklatılmış; ajan OS proxy'sini bıraktı
(yok)	O cihaza kurumsal gövde atanmamış

"Şimdi dağıt" gönder-unut değildir: her satır, son push'un nereye vardığını gösterir — kuyrukta bekledi, teslim edildi, cihaz güncel sürümü raporladı ya da başarısız + neden (oturum yok, helper çalışmıyor, ajan çok eski, sistem proxy kapalı…). Çevrimiçi bir makine üç dakika içinde yanıtlamazsa bu durumda gösterilir. Cihazın kendi check-in'i push'tan önce yeni sürümü aldıysa bu da belirtilir.

Yaygın Tuzaklar ve Rozetler¶

"Hiçbir cihaza uygulanmuyor" — profil hedefsiz ve varsayılan değil; ya da hiçbir hedefi kimseyi eşlemiyor (yazım hatalı kullanıcı ID'si, kimsenin taşımadığı grup). Kayıt engellenmez; boot sırasında bir WARN etkisiz hedefleri adlarıyla listeler. Bilinmeyen bir grup adı veya büyük/küçük harf farkı tek başına hata değil, öneridir.
"Grup DN'i bölünmüş görünüyor" — bir LDAP DN'i parçalarına bölünmüşse hiçbir cihazla eşleşmez; editör "Tek DN olarak birleştir" önerisi sunar ya da grubu aramadan yeniden eklemeyi önerir.
"Varsayılan ama hedefli" — eski kayıtlardan kalan bir birleşim; profil yalnız eski hedeflerine uygulanıyor. Düzeltmek için yeniden kaydedin.
"Gövde boş — uygulanmaz" — profil etkin ama gövdesi boş; AI dışı trafik DIRECT çıkar.

Bir profilin hedeflerini temizlemenin tek yolu profili silmektir. Kurumsal PAC mimarisinin proxy katmanındaki yeri Bölüm 22'de anlatılır.

Lisans¶

Bu sekmede Arceris lisans anahtarı girilir, görüntülenir veya temizlenir ve aktif plan incelenir. Lisans paketlerinin kapsamı Bölüm 30'da ele alınır.

E-posta / SMTP¶

Giden e-posta (test e-postası, periyodik rapor gönderimi) için kullanılacak SMTP sunucusu burada yapılandırılır; panel bağlantı testi de sunar. Ayarlar panelin kendi kaydetme düğmesiyle kaydedilir.

PII & NLP Yapılandırması¶

Bu bölüm, kişisel bilgi (PII) tespitinde kullanılacak motoru seçmeyi ve yapılandırmayı sağlar. İki arka uç (backend) seçeneği vardır:

Presidio: Harici bir Presidio Analyzer servisini kullanarak NLP destekli varlık tespiti yapar. Seçildiğinde iki ek alan aktif olur: - Presidio Analiz Motoru URL'si: Presidio servisinin erişim adresi (ör. http://presidio-analyzer:5002). - Varsayılan Dil: Tespit dilini belirleyen ISO 639-1 kodu (ör. tr Türkçe, en İngilizce için).

Regex: Düzenli ifade (pattern) tabanlı hızlı tespit motorudur. Yaygın kimlik, telefon, e-posta gibi formatları tanır. Ek bir servis gerektirmez ve daha düşük kaynak tüketir.

Presidio erişilemez olduğunda: PII motoru olarak Presidio seçildiğinde, Presidio'ya ulaşılamayan istekler için davranış bu ayarla belirlenir. Varsayılan olan İlet (yalnız desen kuralları), isteği yalnız desen kurallarıyla tarayıp iletir — Presidio kapalıyken isim, konum gibi yalnız NLP ile bulunan varlıklar tespit edilemez. İsteği engelle seçeneği, Presidio yeniden erişilebilir olana kadar bu istekleri reddeder (red mesajı kullanıcının metnini değil, arıza veren tarayıcıyı adlandırır). Her iki durumda da istek denetim kaydına nlp_unavailable sonucuyla yazılır; sağlık sayfasındaki nlp_presidio kontrolü NLP'siz çalışan tarama sayısını gösterir. Not: hazır Presidio imajında Türkçe model yoktur; varsayılan dil tr iken her Presidio çağrısı başarısız olur ve bu durum sağlık kontrolünde görünür.

Sistem Bilgisi Görünümü¶

Sistem Bilgisi bölümü, değiştirmekten çok anlamak ve doğrulamak için kullanılan bir görünüm alanıdır. Burada sistemin hangi ayarlarla çalıştığı, hangi deployment bağlamında bulunduğu ve belirli temel çalışma bilgileri operatöre sunulur.

Bu görünüm özellikle ilk kurulum, sorun giderme ve değişiklik sonrası doğrulama anlarında faydalıdır. Operasyon ekipleri için bir "mevcut durum özeti" işlevi görür.

Sertifikalar Grubu¶

Dört sertifika sekmesi bir arada, kurumun PKI yönetimini Arceris'e taşır. Her panel kendi yükleme/kaydetme düğmesini taşır; sayfa düzeyinde ortak bir kaydetme düğmesi yoktur.

Web TLS¶

Web arayüzü ve yönetici API'sinin 8443 portunda kullandığı HTTPS sertifikası buradan yüklenir (PFX, birleşik PEM veya ayrı sertifika/anahtar dosyaları). Mevcut TLS durumu — konu, veren, DNS adları ve geçerlilik aralığı — aynı panelde gösterilir. Bu ayar yalnızca web dinleyicisini etkiler; şeffaf proxy CA materyalini değiştirmez (bkz. Bölüm 7).

Sertifika değişimi sırasında pin doğrulaması yapan ajanların kopmaması için yükleme bir ön kontrolle korunur: yeni sertifika zincirindeki hiçbir anahtara güvenmeyen PIN'li ajanlar varsa yükleme reddedilir. Panel, "Bu sertifika N PIN'li ajanı koparır" diyaloğuyla etkilenen ajanları listeler ve runbook'u hatırlatır — yalnızca açık onayla ("Yine de yükle") devam edilebilir. Yüklenen dosyada kendinden imzalı kök yoksa köke pin'lenmiş makinelerin aslında hâlâ bağlanabileceği belirtilir; dürüst bir kontrol için tam zincir yüklenmelidir.

Ajan PIN Dağıtımı¶

Web TLS sekmesindeki Ajan PIN dağıtımı kartı, SPKI pin'lerini makine check-in kanalı üzerinden zaten pin'li ajanlara dağıtır; böylece yenilenen sertifika (yeni anahtar, aynı CA) kontrol kanallarını koparmaz. Ajanlar listeyi yaklaşık 1–6 dakika içinde uygular; dağıtım listesi yalnızca pin'li bir ajanın güvenini genişletir, MSI ile kurulan pinlere dokunmaz.

Kartın merkezinde sertifika yenileme runbook'u vardır:

Yeni sertifikanın CA pin'ini aşağıdaki listeye ekleyin ve kaydedin.
Kapsam panelindeki "Bekleyen" sayısı 0 olana kadar bekleyin.
Yeni sertifikayı yükleyin — ön kontrol geçer ve hiçbir ajan kopmaz.

Listeye "Mevcut zincirin CA pin'lerini ekle" düğmesiyle mevcut zincirin ara/kök CA pin'leri tek tıkla eklenebilir. Yeni sertifikadan PIN hesapla (hiçbir şey yüklenmez) aracı, bir PEM dosyasını yüklemeksizin zincir pinlerini (yaprak/ara/kök konumlarıyla) hesaplar ve önerilen pinleri ön seçili getirir.

Filo kapsamı tablosu dağıtımı izler: Senkron (yeni revizyon uygulandı), Bekleyen (henüz uygulanmadı), PIN'siz, Ajan çok eski, Reddedildi, Yazılamadı ve Yakın zamanda check-in yok. Son gruptaki makineler on dakikadan uzun süredir check-in yapmadıysa son raporları güncel değildir; bu makinelerin kalması bekleniyorsa sertifika değiştirilmemelidir. Mevcut sertifika zincirinde bulunmayan bir anahtara pin'lemiş makine sayısı da ayrıca gösterilir.

Yaprak pin ile kök CA pin'i aynı şey değildir: önerilen pin veren/kök CA'dır — aynı kökten verilen her sertifika (TLS inceleme Sub-CA'sı dahil) kabul edilir. Yaprak pin ise sunucu sertifikasının kendi anahtarına bağlıdır ve her anahtar değişiminde kopar; yeni anahtarla yenileme yapılacaksa yenilemeden önce yeni pin ajanlara dağıtılmalı ya da ara CA pin'i kullanılmalıdır. Sertifika benimseme akışının bütününde pin'lerin yeri Bölüm 32'de anlatılır.

Şeffaf CA¶

Şeffaf proxy TLS müdahalesi için kuruluşun kök CA'sı buradan yüklenir (bkz. Bölüm 22). Panel, zincirdeki SPKI pin'lerini otomatik hesaplayıp gösterir: her sertifika için pin değeri, konumu ve Önerilen etiketi (veren CA) listelenir; pin değerleri Agent MSI oluştururken PINS alanına kopyalanabilir ya da ön doldurulabilir. PINS girilirse Arceris'in kök CA'sı istemcilere otomatik kurulur.

Güvenilen Kök CA'lar¶

Kurumsal kök CA buraya bir kez yüklenir; LDAPS, Keycloak (OIDC/SSO), SMTP, SIEM ve güvenlik duvarı entegrasyonları bu sertifika ile doğrulama yapar — "TLS doğrulamasını atla" seçeneğine gerek kalmaz.

Kod İmzalama¶

Kurumsal kod imzalama sertifikası yüklenir ve arceris-dev Windows build'leri Authenticode ile imzalanır. İmzalama ayarları, imza eylemi ve imzalı MSI dağıtımı Bölüm 24'teki Developer Tools bölümünde ele alınır.

Syslog Grubu¶

Syslog Sekmesi¶

Bu sekme, Arceris denetim olaylarını harici bir SIEM veya log toplama sistemine göndermeyi sağlar. Endpoint alanı boş bırakıldığında iletim devre dışı kalır.

Transport: Olayların gönderileceği iletişim protokolü: - HTTP Webhook: Olayları JSON payload olarak HTTP POST isteğiyle gönderir. - UDP Syslog/CEF: Olayları UDP üzerinden syslog veya CEF formatında iletir. - TCP Syslog/CEF: Olayları TCP üzerinden syslog veya CEF formatında iletir.

Endpoint: Olayların gönderileceği hedef adres. HTTP için tam URL (ör. https://siem.local/collector), syslog için siem.local:514 biçiminde girilir.

Format: Gönderilecek olayların çıktı biçimi: JSON (yapılandırılmış JSON), Syslog (RFC 5424) veya CEF (Common Event Format).

Min Severity: İletim için minimum önem seviyesi. Bu seviye ve üzeri olaylar gönderilir. Seçenekler: DEBUG, INFO, WARNING, ERROR, CRITICAL, AUDIT.

Token (Yalnız Yazma): HTTP webhook için opsiyonel bearer token. UDP/TCP syslog taşıyıcılarında kullanılmaz. Mevcut token'ı korumak için boş bırakılır.

Aynı sekmede Uyarı Bildirimleri bölümü bulunur: SLO uyarılarını (gecikme / red oranı eşikleri) bir webhook'a iletir. Syslog'dan ayrıdır — Syslog uyumluluk için denetim olaylarını iletir; bu bölüm bir uyarı tetiklendiğinde veya çözüldüğünde operatörleri bilgilendirir. Webhook URL'si, biçim, kontrol aralığı (10–3600 saniye, varsayılan 30) ve opsiyonel bearer token yapılandırılır; "Test Uyarısı Gönder" ile kanal denenebilir. URL boş bırakılırsa bildirim kapalıdır.

SNMP¶

Arceris tarafından yönetilen snmpd servisi üzerinden host disk, RAM ve CPU metrikleri SNMP v2c/v3 ile dışa açılır.

Uyarılar & Sağlık¶

Bu sekme dört bölümden oluşur.

Aktif Uyarılar: Şu anda bir eşiği aşan uyarılar listelenir; koşul düzeldiğinde kayıtlar otomatik temizlenir.

Uyarı Eşikleri: Yapılandırılan kontrol aralığında değerlendirilen SLO ve güvenlik eşikleri — gecikme (P95/P99 uyarı ve kritik milisaniye), reddetme oranı (yüzde) ve pencere içi olay sayısı tabanlı güvenlik eşikleri (Enjeksiyon Patlaması, PII Sıçraması, ACL Reddi, DLP İhlali, Moderasyon, Gölge AI, Engelli Kullanıcı/IP, Yüksek Riskli Oturum). 0, o koşulu devre dışı bırakır. Eşikler sunucu tarafında kalıcı olarak saklanır ve yeniden başlatmalarda korunur. Kullanıcısı Kimliğini Kaybeden Makine eşiği v1.3.0'tan itibaren varsayılan olarak uyarı ≥ 1, kritik ≥ 5 makinedir: son 15 dakikada taze oturum durumu bildiren makinelerden, kullanıcısı Arceris kimliğini kaybetmiş olanlar sayılır (helper'ın "Yeniden kayıt gerekli" bildirmesi ya da oturumu bir kez dolup boşaldıktan sonra "Kullanıcı kimliği yok" bildirmesi); hiç kaydolmamış kullanıcı bir kayıp sayılmaz, bu yüzden hiç kayıt yapılmamış bir filoda alarm patlamaz. Uyarı değeri en fazla üç makine adını taşır ve mevcut bildirim kanallarına (panel, webhook) düşer. Uyarıların bütünü Bölüm 25'te ele alınır.

Derin Sağlık Kontrolleri: Tüm yapılandırılmış bağımlılık probları tek tıkla, önbelleği atlayarak çalıştırılır.

Hazır-Bulunurluk Probu Kademeleme: Hangi derin kontrollerin hazır-bulunurluk denetiminde görüneceği ve hangilerinin kritik sayılacağı buradan yönetilir; değişiklikler anında etkili olur. Örneğin provider_dns denetimi (tarayıcı AI hostlarının DNS çözümlemesi) varsayılan olarak uyarı üretir; kritik yapılırsa DNS çözülemeyen bir kurulum hazır-bulunurluğu düşürür. Veritabanı denetimi atlanamaz; atlanan bir kontrol rapordan tamamen çıkar. TLS sertifikası için uyarı eşiği (gün) de burada ayarlanır.

Ağ Grubu: Host Ağı & Zaman¶

Bu sekme, Arceris'in çalıştığı ana makinenin ağ ve zaman yapılandırmasını doğrudan yönetim arayüzünden yönetmeyi sağlar. Kaydedilen ayarlar ana makinenin DNS/NTP hizmetlerine uygulanır.

DNS Yapılandırması: Arceris'in alan adı çözümlemesi için kullandığı DNS sunucularını yapılandırır. En fazla 3 birincil (primary) ve yedek (fallback) çözücü (resolver) belirlenebilir. Zaman aşımı (timeout) ve deneme sayısı (attempts) parametreleri ile DNS sorgu davranışı ince ayarlı olarak kontrol edilebilir.

NTP & Timezone: Saat senkronizasyonu için NTP sunucularını ve sistemin saat dilimini yapılandırır. NTP etkinleştirildiğinde, belirlenen sunuculara göre sistem saati otomatik olarak güncellenir. Birincil ve yedek NTP sunucuları eklenebilir. Saat dilimi listeden seçilir; varsayılan UTC'dir.

DNS çalışmadığında (AI hostları çözülemiyorsa) bu sayfa ve Dashboard amber bir bant gösterir; bant DNS düzelince sonraki yüklemede kendiliğinden kaybolur. Bu bölüm özellikle Arceris'in fiziksel veya sanal bir makine üzerinde çalıştığı ve kurumun merkezi DNS/NTP altyapısına entegre edilmesi gereken dağıtımlarda kullanılır; ayrıntılar Bölüm 29'da ele alınır.

Marka Grubu¶

Genel uygulama başlığı, kullanıcı girişi, captive portal ve blok sayfası markalaması ile logo yönetimi bu grupta toplanmıştır. Markalama yüzeylerinin ayrıntısı Bölüm 7'dedir.