Colaboración de Kei Ozaki y Siddharth Rajpathak, ingenieros del TAC de Cisco.
Pregunta:
¿Qué es el registro de acceso registrado para el tráfico HTTPS?
Entorno: dispositivo de seguridad Cisco Web Security Appliance (WSA) que ejecuta AsyncOS versiones 7.1.x y posteriores, proxy HTTPS activado
La forma en que el dispositivo de seguridad Cisco Web Security Appliance (WSA) registra el tráfico HTTPS es diferente en comparación con el tráfico HTTP normal. Las entradas HTTPS registradas en los registros de acceso tendrán un aspecto diferente dependiendo de cómo se haya tratado la solicitud. En general, tiene características diferentes en comparación con el tráfico HTTP normal.
Lo que se registre dependerá del modo de implementación que esté utilizando (modo de reenvío explícito o modo transparente).
En primer lugar, veamos algunas palabras clave que le ayudarían a leer los registros de acceso fácilmente.
TCP_CONNECT: muestra que el tráfico se recibió de forma transparente (a través de WCCP o redirección L4 ...etc)
CONNECT: muestra que el tráfico se recibió explícitamente
DECRYPT_WBRS: muestra que WSA ha decidido descifrar el tráfico debido a la puntuación de WBRS
PASSTHRU_WBRS: muestra que WSA ha decidido pasar a través del tráfico debido a la puntuación de WBRS
DROP_WBRS: muestra que WSA ha decidido descartar el tráfico debido a la puntuación de WBRS
- Cuando se descifra el tráfico HTTPS, WSA registrará dos entradas.
- TCP_CONNECT o CONNECT en función del tipo de solicitud que se reciba y "GET https://" que muestre la URL descifrada.
- La URL completa solo será visible si WSA descifra el tráfico.
Tenga en cuenta también que:
- En el modo transparente, WSA sólo verá inicialmente la dirección IP de destino
- En el modo explícito, WSA verá el nombre de host de destino
A continuación se muestran algunos ejemplos de lo que se vería en los registros de acceso:
| Transparente - Descifrar |
1252543170.769.386.192.168.30.103 TCP_MISS_SSL/200 0 TCP_CONNECT tunnel://192.168.34.32:443/ - DIRECT/192.168.34.32 - DECRYPT_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,5.0,-,-,-,-,-,-,-,-,-> -
1252543171.166.395.192.168.30.103 TCP_MISS_SSL/200 2061 GET https://www.example.com:443/sample.gif - DIRECT/192.168.34.32 image/gif DEFAULT_CASE-test.policy-test.id-NONE-NONE-NONE <Sear,5.0,0,-,-,-,-,-,- ,-,-> - |
| Transparente - Paso a través |
| 1252543337.373 690 192.168.30.103 TCP_MISS/200 2044 TCP_CONNECT tunnel://192.168.34.32:443/ - DIRECT/192.168.34.32 - PASSTHRU_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,9.0,-,-,-,-,-,-,-,-,-> - |
| Transparente - Caída |
| 1252543418.175.430.192.168.30.103 TCP_DENIED/403 0 TCP_CONNECT tunnel://192.168.34.32:443/ - DIRECT/192.168.34.32 - DROP_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,-9.1.0,-,-,-,-,-,-,-,-,-> - |
| Explícito - Descifrar |
252543558.405 385 10.66.71.105 TCP_CLIENT_REFRESH_MISS_SSL/200 40 CONNECT tunnel://www.example.com:443/ - DIRECT/www.example.com - DECRYPT_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,5.0,-,-,-,-,-,-,-,-,-> -
1252543559.535 1127 10.66.71.105 TCP_MISS_SSL/200 2061 GET https://www.example.com:443/sample.gif - DIRECT/www.example.com image/gif DEFAULT_CASE-test.policy-test.id-NONE-NONE-NONE <Sear,5.0,0,-,-,-,0,-,-,-,-> - |
| Explícito: paso |
| 1252543491.302 568 10.66.71.105 TCP_CLIENT_REFRESH_MISS/200 2256 CONNECT tunnel://www.example.com:443/ - DIRECT/www.example.com - PASSTHRU_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,9.0,-,-,-,-,-,-,-,-> - |
| Explícito: descartar |
| 1252543668.375 1 10.66.71.105 TCP_DENIED/403 1578 CONNECT tunnel://www.example.com:443/ - NONE/- - DROP_WBRS-DefaultGroup-test.id-NONE-NONE-NONE <Sear,-9.1,-,-,-,-,-,-,-,-,-,-> - |
Comentarios
