Benutzerdefinierte URL-Kategorien in sicherer Web-Appliance konfigurieren

Einleitung

In diesem Dokument wird die Struktur der URL-Kategorien (Custom Uniform Resource Locator) in Secure Web Appliance (SWA) beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Wie Proxy funktioniert.
• Verwaltung der Secure Web Appliance (SWA).

Cisco empfiehlt Folgendes:

• Physische oder Virtual Secure Web Appliance (SWA) installiert.
• Lizenz aktiviert oder installiert.
• Der Setup-Assistent ist abgeschlossen.

• Administratorzugriff auf die SWA.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Benutzerdefinierte URL-Kategorien

Das URL-Filter-Modul ermöglicht das Filtern von Transaktionen in Zugriffs-, Entschlüsselungs- und Datensicherheitsrichtlinien. Wenn Sie URL-Kategorien für Richtliniengruppen konfigurieren, können Sie Aktionen für benutzerdefinierte URL-Kategorien (sofern definiert) und vordefinierte URL-Kategorien konfigurieren.

Sie können benutzerdefinierte und externe Live-Feed-URL-Kategorien erstellen, die bestimmte Hostnamen und IP-Adressen beschreiben. Außerdem können Sie URL-Kategorien bearbeiten und löschen.

Wenn Sie diese benutzerdefinierten URL-Kategorien in derselben Access, Decryption oder Cisco Data Security Policy-Gruppe einschließen und jeder Kategorie unterschiedliche Aktionen zuweisen, hat die Aktion der höher eingeschlossenen benutzerdefinierten URL-Kategorie Vorrang.

Anmerkung: Wenn Domain Name System (DNS) mehrere IPs in eine Website auflöst und eine dieser IPs eine benutzerdefinierte Sperrliste ist, blockiert die Websicherheits-Appliance die Website für alle IPs, unabhängig davon, ob sie nicht in der benutzerdefinierten Sperrliste aufgeführt sind.

URL-Kategorien für Live-Feeds

Externe Live-Feed-Kategorien werden verwendet, um die Liste der URLs von einer bestimmten Website abzurufen, z. B. zum Abrufen der Office 365-URLs von Microsoft.

Wenn Sie beim Erstellen und Bearbeiten von benutzerdefinierten und externen URL-Kategorien für den Kategorietyp Externe Live-Feed-Kategorie auswählen, müssen Sie das Feed-Format (Cisco Feed-Format oder Office 365 Feed-Format) auswählen und dann eine URL für den entsprechenden Feed-Datei-Server angeben.
Das erwartete Format für die einzelnen Feed-Dateien sieht wie folgt aus:

• Cisco Feed-Format - Dies muss eine CSV-Datei (Comma-Separated Values, durch Komma getrennte Werte) sein. d. h. eine Textdatei mit der Erweiterung .csv. Jeder Eintrag in der CSV-Datei muss in einer separaten Zeile im Format Adresse/Komma/Adresstyp stehen.
  (beispiele: www.cisco.com,site oder ad2.*\.com,regex). Gültige Adresstypen sind site und regex.

Hier ein Auszug aus einer CSV-Datei im Cisco Feed-Format:

www.cisco.com,site
\.xyz,regex
ad2.*\.com,regex
www.cisco.local,site
1:1:1:11:1:1::200,site 

• Office 365-Feed-Format - Dies ist eine XML-Datei auf einem Microsoft Office 365-Server oder einem lokalen Server, auf dem Sie die Datei gespeichert haben. Es wird vom Office 365-Dienst bereitgestellt und kann nicht geändert werden.

Die Netzwerkadressen in der Datei sind in XML-Tags eingeschlossen. Diese Struktur: Produkte > Produkt > Adressliste > Adresse. In der aktuellen Implementierung kann ein "Adresslistentyp" IPv6, IPv4 oder URL sein [dieser kann Domänen und reguläre Ausdrücke (Regex) enthalten].

Hier ist ein Ausschnitt einer Office 365-Feed-Datei:

fc00:1040:401::d:80
fc00:1040:401::a
fc00:1040:401::9


10.71.145.72
10.71.148.74
10.71.145.114


*.cisco.com
*.example.local




*.subdomain.cisco.com
*.example.local

Anmerkung: Schließen Sie http:// oder https:// nicht als Teil eines Websiteeintrags in die Datei ein, da andernfalls ein Fehler auftritt. Mit anderen Worten: www.cisco.com wird korrekt geparst, während http://www.cisco.com einen Fehler erzeugt

Schritte zum Erstellen benutzerdefinierter URL-Kategorien

Schritt 1: Wählen Sie Websicherheits-Manager > Benutzerdefinierte und externe URL-Kategorien.

image- Benutzerdefinierte Kategorie in GUI auswählen

Schritt 2: Um eine benutzerdefinierte URL-Kategorie zu erstellen, klicken Sie auf Kategorie hinzufügen. Um eine benutzerdefinierte URL-Kategorie zu bearbeiten, klicken Sie auf den Namen der URL-Kategorie.

Bild - Kategorie über GUI hinzufügen

Schritt 3: Geben Sie folgende Informationen an:

• Kategoriename: Geben Sie einen Bezeichner für diese URL-Kategorie ein. Dieser Name wird angezeigt, wenn Sie den URL-Filter für Richtliniengruppen konfigurieren.
• Listenreihenfolge:  Geben Sie die Reihenfolge dieser Kategorie in der Liste der benutzerdefinierten URL-Kategorien an. Geben Sie "1" für die erste URL-Kategorie in der Liste ein.
  Das URL-Filtermodul wertet eine Clientanforderung anhand der benutzerdefinierten URL-Kategorien in der angegebenen Reihenfolge aus.

Anmerkung: Wenn das URL-Filtermodul eine URL-Kategorie mit der URL in einer Clientanforderung vergleicht, wertet es die URL zuerst mit den benutzerdefinierten URL-Kategorien aus, die in der Richtliniengruppe enthalten sind. Wenn die URL in der Anforderung nicht mit einer enthaltenen benutzerdefinierten Kategorie übereinstimmt, vergleicht das URL-Filtermodul sie mit den vordefinierten URL-Kategorien. Wenn die URL keiner der enthaltenen benutzerdefinierten oder vordefinierten URL-Kategorien entspricht, wird die Anforderung nicht kategorisiert.

• Kategorie: Wählen Sie Lokale benutzerdefinierte Kategorie oder Externe Live-Feed-Kategorie aus.
• Routingtabelle: Wählen Sie Management oder Data (Daten). Diese Option ist nur verfügbar, wenn "Split-Routing" aktiviert ist. d. h., sie ist nicht mit lokalen benutzerdefinierten Kategorien verfügbar.

image-Lokale benutzerdefinierte URL-Kategorie	Image: Feeds für benutzerdefinierte URL-Kategorie konfigurieren
Lokale benutzerdefinierte Kategorie	Externe Live-Feed-Kategorie

Reguläre Ausdrücke verwenden

Die Secure Web Appliance verwendet eine Syntax für reguläre Ausdrücke, die sich geringfügig von der Syntax für reguläre Ausdrücke unterscheidet, die von anderen Implementierungen der Velocity Pattern-Matching-Engine verwendet wird.

Außerdem unterstützt die Appliance keinen umgekehrten Schrägstrich, um einen umgekehrten Schrägstrich zu vermeiden. Wenn Sie einen Schrägstrich in einem regulären Ausdruck verwenden möchten, geben Sie einfach den Schrägstrich ohne umgekehrten Schrägstrich ein.

Anmerkung: Technisch verwendet AsyncOS für Web den Flex-Analyzer für reguläre Ausdrücke

Um Ihre regulären Ausdrücke zu testen, können Sie diesen Link benutzen: flex lint - Regex Tester/Debugger

Vorsicht:  Regelmäßige Ausdrücke, die mehr als 63 Zeichen zurückgeben, schlagen fehl und erzeugen einen Fehler bei ungültigen Einträgen. Stellen Sie sicher, dass Sie reguläre Ausdrücke erstellen, die nicht mehr als 63 Zeichen zurückgeben können.

Vorsicht: Reguläre Ausdrücke, die umfangreiche Zeichen ausführen, verbrauchen Ressourcen und können die Systemleistung beeinflussen. Aus diesem Grund können reguläre Ausdrücke vorsichtig angewendet werden.

Sie können reguläre Ausdrücke an folgenden Stellen verwenden:
・ Benutzerdefinierte URL-Kategorien für Zugriffsrichtlinien Wenn Sie eine benutzerdefinierte URL-Kategorie für Zugriffsrichtlinien-Gruppen erstellen, können Sie mit regulären Ausdrücken mehrere Webserver angeben, die dem von Ihnen eingegebenen Muster entsprechen.
・ Benutzerdefinierte Benutzer-Agents blockieren. Wenn Sie die zu blockierenden Anwendungen für eine Zugriffsrichtliniengruppe bearbeiten, können Sie mithilfe regulärer Ausdrücke bestimmte Benutzer-Agents für die Blockierung eingeben.

Tipp: Sie können die Umgehung des Webproxys für reguläre Ausdrücke nicht festlegen.

Hier ist die Liste der Zeichenklassen in regulärem Flex-Ausdruck

Vorsicht:  Seien Sie vorsichtig mit unentwegten Punkten in langen Mustern, und besonders in der Mitte von längeren Mustern, und seien Sie vorsichtig mit diesem Metazeichen (Stern * ), besonders in Verbindung mit dem Punktzeichen. Jedes Muster enthält einen Punkt ohne Escapezeichen, der mehr als 63 Zeichen zurückgibt, nachdem der Punkt deaktiviert wurde.
Immer entkommen *(Stern) und . (Punkt) mit \ ( umgekehrter Schrägstrich ) wie \* und \.   
Wenn wir .cisco.local im regulären Ausdruck verwenden, stimmt auch die Domain Xcisco.local überein.
Der unverwischte Charakter beeinflusst die Leistung und es erzeugt Langsamkeit während des Web-Browsing. Dies liegt daran, dass die Pattern-Matching-Engine Tausende oder Millionen von Möglichkeiten durchlaufen muss, bis sie eine Übereinstimmung für den richtigen Eintrag findet. Außerdem kann sie Sicherheitsbedenken hinsichtlich ähnlicher URLs für zulässige Richtlinien haben.

Sie können die Befehlszeilenschnittstellenoption (CLI) advanced proxyconfig > miscellaneous > Do you want to enable URL lower case conversion for velocity regex, to enable or disable default regex convertierung to lower case for case-insensitive matching. Verwenden Sie diese Option, wenn bei der Groß-/Kleinschreibung Probleme auftreten.

Einschränkungen und Design-Aspekte  

• Sie können in diesen URL-Kategoriedefinitionen nicht mehr als 30 externe Live-Feed-Dateien verwenden, und jede Datei darf nicht mehr als 5000 Einträge enthalten. 
• Wenn die Anzahl der externen Einspeisungen zunimmt, führt dies zu Leistungseinbußen.
• Es ist möglich, dieselbe Adresse in mehreren benutzerdefinierten URL-Kategorien zu verwenden, aber die Reihenfolge, in der die Kategorien aufgeführt werden, ist relevant.

Wenn Sie diese Kategorien in derselben Richtlinie einschließen und für jede Kategorie unterschiedliche Aktionen definieren, wird die Aktion angewendet, die für die in der Tabelle der benutzerdefinierten URL-Kategorien am höchsten aufgeführte Kategorie definiert ist.

• Wenn eine native FTP-Anforderung (File Transfer Protocol) transparent an den FTP-Proxy umgeleitet wird, enthält sie keine Hostnamen-Informationen für den FTP-Server, sondern nur dessen IP-Adresse.

Aus diesem Grund stimmen einige vordefinierte URL-Kategorien und Webreputations-Filter, die nur über Hostnamen-Informationen verfügen, nicht mit nativen FTP-Anforderungen überein, selbst wenn die Anforderungen für diese Server bestimmt sind.

Wenn Sie den Zugriff auf diese Websites blockieren möchten, müssen Sie benutzerdefinierte URL-Kategorien erstellen, damit diese ihre IP-Adressen verwenden können.

• Eine nicht kategorisierte URL ist eine URL, die keiner vordefinierten URL-Kategorie oder integrierten benutzerdefinierten URL-Kategorie entspricht.

Benutzerdefinierte URL-Kategorien in Richtlinien verwenden 

Das URL-Filter-Modul ermöglicht das Filtern von Transaktionen in Zugriffs-, Entschlüsselungs- und Datensicherheitsrichtlinien. Wenn Sie URL-Kategorien für Richtliniengruppen konfigurieren, können Sie Aktionen für benutzerdefinierte URL-Kategorien (sofern definiert) und vordefinierte URL-Kategorien konfigurieren.

Schritte zum Konfigurieren von URL-Filtern für die Zugriffsrichtlinie

Schritt 1. Wählen Sie Websicherheits-Manager > Zugriffsrichtlinien aus.

Bild: Auswahl von Zugriffsrichtlinien aus der GUI

Schritt 2: Klicken Sie auf den Link in der Richtlinientabelle in der Spalte "URL-Filter" für die Richtliniengruppe, die Sie bearbeiten möchten.

Bild: Benutzerdefinierte Kategorie zur Zugriffsrichtlinie hinzufügen

Schritt 3. (Optional) Im Abschnitt Benutzerdefinierte URL-Kategoriefilterung können Sie benutzerdefinierte URL-Kategorien hinzufügen, für die in dieser Richtlinie Maßnahmen ergriffen werden sollen:

a) Klicken Sie auf Benutzerdefinierte Kategorien auswählen.

Benutzerdefinierte URL-Kategorie für Bildauswahl

b) Wählen Sie die benutzerdefinierten URL-Kategorien aus, die in dieser Richtlinie enthalten sein sollen, und klicken Sie auf Apply.

Image - Wählen Sie benutzerdefinierte Kategorien aus, die in die Richtlinie eingeschlossen werden sollen.

Schritt 4: Wählen Sie im Abschnitt Benutzerdefinierte URL-Kategoriefilterung eine Aktion für jede enthaltene benutzerdefinierte URL-Kategorie aus.

Bild - Aktion für benutzerdefinierte Kategorie auswählen

Schritt 5. Wählen Sie im Abschnitt Filter für vordefinierte URL-Kategorie eine der folgenden Aktionen für jede Kategorie:

Bild - Aktion für vordefinierte Kategorie auswählen

Schritt 6. Wählen Sie im Abschnitt Nicht kategorisierte URLs die Aktion aus, die für Clientanforderungen an Websites ausgeführt werden soll, die nicht in eine vordefinierte oder benutzerdefinierte URL-Kategorie fallen. Diese Einstellung legt auch die Standardaktion für neue und zusammengeführte Kategorien fest, die sich aus Aktualisierungen des URL-Kategoriesatzes ergeben.

Bild: Aktion für nicht kategorisierte URL auswählen

Schritt 7: Änderungen übermitteln und bestätigen.

Schritte zum Konfigurieren von URL-Filtern für die Entschlüsselungsrichtlinie

Schritt 1. Wählen Sie Websicherheits-Manager > Entschlüsselungsrichtlinien aus.

Bild - Entschlüsselungsrichtlinie auswählen

Schritt 2: Klicken Sie auf den Link in der Richtlinientabelle in der Spalte "URL-Filterung" für die Richtliniengruppe, die Sie bearbeiten möchten.

Bild: URL-Filter auswählen

Schritt 3. (Optional) Im Abschnitt Benutzerdefinierte URL-Kategoriefilterung können Sie benutzerdefinierte URL-Kategorien hinzufügen, für die in dieser Richtlinie Maßnahmen ergriffen werden sollen:

1. Klicken Sie auf Benutzerdefinierte Kategorien auswählen.

Bild - Benutzerdefinierte Kategorien auswählen

b. Wählen Sie die benutzerdefinierten URL-Kategorien aus, die in dieser Richtlinie enthalten sein sollen, und klicken Sie auf Apply.

Image - Wählen Sie benutzerdefinierte Kategorien aus, die in die Richtlinie eingeschlossen werden sollen.

Schritt 4: Wählen Sie eine Aktion für jede benutzerdefinierte und vordefinierte URL-Kategorie aus.

Bild - Aktion für Entschlüsselungsrichtlinie auswählen

Schritt 5. Wählen Sie im Abschnitt Nicht kategorisierte URLs die Aktion aus, die für Clientanforderungen an Websites ausgeführt werden soll, die nicht in eine vordefinierte oder benutzerdefinierte URL-Kategorie fallen.

Bild - Nicht kategorisierte Entschlüsselungsrichtlinie

Schritt 6: Änderungen übermitteln und bestätigen.

Vorsicht: Wenn Sie eine bestimmte URL-Kategorie für HTTPS-Anforderungen (Hypertext Transfer Protocol Secure) blockieren möchten, entschlüsseln Sie diese URL-Kategorie in der Gruppe Entschlüsselungsrichtlinie, und blockieren Sie dann dieselbe URL-Kategorie in der Gruppe Zugriffsrichtlinie.

Schritte zum Konfigurieren von URL-Filtern für Datensicherheitsrichtliniengruppen

Schritt 1: Wählen Sie Web Security Manager > Cisco Data Security aus.

Bild - Cisco Datensicherheit

Schritt 2: Klicken Sie auf den Link in der Richtlinientabelle in der Spalte "URL-Filterung" für die Richtliniengruppe, die Sie bearbeiten möchten.

Bild - Datensicherheit URL-Filter auswählen

Schritt 3. (Optional) Im Abschnitt Benutzerdefinierte URL-Kategoriefilterung können Sie benutzerdefinierte URL-Kategorien hinzufügen, für die in dieser Richtlinie Maßnahmen ergriffen werden sollen:

1. Klicken Sie auf Benutzerdefinierte Kategorien auswählen.

Bild - Benutzerdefiniertes Feld auswählen

b. Wählen Sie die benutzerdefinierten URL-Kategorien aus, die in dieser Richtlinie enthalten sein sollen, und klicken Sie auf Apply.

Image - Wählen Sie benutzerdefinierte Kategorien aus, die in die Richtlinie eingeschlossen werden sollen.

Schritt 4: Wählen Sie im Abschnitt Benutzerdefinierte URL-Kategoriefilterung eine Aktion für jede benutzerdefinierte URL-Kategorie aus.

Bild: Datensicherheit - Aktion auswählen

Schritt 5: Wählen Sie im Abschnitt "Filterung nach vordefinierter URL-Kategorie" eine der folgenden Aktionen für jede Kategorie:

Bild - Vordefinierte URL-Aktion für Datensicherheit

Schritt 6. Wählen Sie im Abschnitt Nicht kategorisierte URLs die Aktion aus, die für Upload-Anforderungen an Websites ausgeführt werden soll, die nicht in eine vordefinierte oder benutzerdefinierte URL-Kategorie fallen.

Diese Einstellung legt auch die Standardaktion für neue und zusammengeführte Kategorien fest, die sich aus Aktualisierungen des URL-Kategoriesatzes ergeben.

Bild - Datensicherheit ohne Kategorisierung

Schritt 7: Änderungen übermitteln und bestätigen.

Vorsicht: Wenn Sie die Beschränkung der maximalen Dateigröße nicht deaktivieren, überprüft die Websicherheits-Appliance weiterhin die maximale Dateigröße, wenn die Optionen Zulassen oder Überwachen in der URL-Filterung ausgewählt sind.

Schritte zum Konfigurieren der Steuerung von Upload-Anforderungen mit benutzerdefinierten URL-Kategorien

Jede Upload-Anforderung wird einer Richtliniengruppe "Scannen auf ausgehende Malware" zugewiesen und übernimmt die Kontrolleinstellungen dieser Richtliniengruppe.

Nachdem der Webproxy die Uploadanforderungs-Header empfangen hat, verfügt er über die erforderlichen Informationen, um zu entscheiden, ob er den Anforderungstext scannen muss.

Das DVS-Modul scannt die Anforderung und sendet ein Urteil an den Webproxy. Die Blockseite wird dem Endbenutzer angezeigt, falls zutreffend.

Schritte zum Konfigurieren von Steuerungs-Upload-Anforderungen in Richtlinien für externen SvD

Sobald der Webproxy die Upload-Anforderungsheader empfängt, verfügt er über die erforderlichen Informationen, um zu entscheiden, ob die Anforderung zum Scannen an das externe SvD-System gesendet werden kann.

Das SvD-System scannt die Anforderung und sendet ein Urteil an den Webproxy zurück. Entweder wird die Anforderung blockiert oder überwacht (die Anforderung wird anhand der Zugriffsrichtlinien ausgewertet).

URLs umgehen und weiterleiten 

Sie können die Secure Web Appliance in einer transparenten Proxy-Implementierung so konfigurieren, dass HTTP- oder HTTPS-Anforderungen von bestimmten Clients oder an bestimmte Ziele umgangen werden.

Tipp: Sie können Passthrough für Anwendungen verwenden, die Datenverkehr benötigen, um die Appliance zu passieren, ohne dass Änderungen oder Zertifikatprüfungen der Zielserver erforderlich sind.

Vorsicht: Die Domänenzuordnungsfunktion funktioniert im transparenten HTTPS-Modus. Diese Funktion funktioniert nicht im expliziten Modus und für HTTP-Datenverkehr.

Stellen Sie sicher, dass Sie über eine Identifizierungsrichtlinie für die Geräte verfügen, die Datenverkehr an bestimmte Server weiterleiten müssen. Im Einzelnen müssen Sie:

• Wählen Sie Von Authentifizierung/Identifikation ausnehmen.

• Geben Sie die Adressen an, auf die dieses Identifikationsprofil angewendet werden soll. Sie können IP-Adressen, CIDR-Blöcke (Classless Inter-Domain Routing) und Subnetze verwenden.

Webproxy-Umgehung für Webanforderungen konfigurieren

Wenn Sie die benutzerdefinierten URL-Kategorien zur Umgehungsliste des Proxys hinzugefügt haben, werden alle IP-Adressen und die Domänennamen der benutzerdefinierten URL-Kategorien sowohl für die Quelle als auch für das Ziel umgangen.

Vorsicht: Die Umgehung des Webproxys für reguläre Ausdrücke kann nicht festgelegt werden.

Berichte

Auf der Seite "Reporting" >> URL-Kategorien wird eine kollektive Anzeige von URL-Statistiken bereitgestellt, die Informationen über die am häufigsten zugeordneten URL-Kategorien und die am häufigsten blockierten URL-Kategorien enthält.

Auf dieser Seite werden kategoriespezifische Daten zu Bandbreiteneinsparungen und Web-Transaktionen angezeigt.

Bild-URL-Kategoriebericht

Sie können auf einen beliebigen Kategorienamen klicken, um weitere Details zu dieser Kategorie anzuzeigen, z. B. Übereinstimmende Domänen oder Benutzerliste.

Bild - Detaillierte Berichtsseite

Benutzerdefinierte URL-Kategorien im Zugriffsprotokoll anzeigen

Die sichere Web-Appliance verwendet die ersten vier Zeichen benutzerdefinierter URL-Kategorienamen, denen in den Zugriffsprotokollen "c_" vorangestellt ist.

In diesem Beispiel lautet der Kategoriename CustomURLCategoriesBLOCKED, und in den Zugriffsprotokollen wird C_Cust angezeigt:

1685269516.853 86 10.61.108.72 TCP_DENIED_SSL/403 0 GET https://www.cisco.com:443/ - NONE/- - DROP_CUSTOMCAT_7-DefaultGroup-DefaultGroup-NONE-NONE-NONE-NONE-NONE <"C_Cust",-,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"-",-,"-","-","-","-","-","-","-",0.00,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - -

Vorsicht: Berücksichtigen Sie den benutzerdefinierten URL-Kategorienamen, wenn Sie Sawmill zum Analysieren der Zugriffsprotokolle verwenden. Wenn die ersten vier Zeichen der benutzerdefinierten URL-Kategorie ein Leerzeichen enthalten, kann Sawmill den Zugriffsprotokolleintrag nicht richtig analysieren. Verwenden Sie stattdessen nur unterstützte Zeichen in den ersten vier Zeichen.

Tipp: Wenn Sie den vollständigen Namen einer benutzerdefinierten URL-Kategorie in die Zugriffsprotokolle aufnehmen möchten, fügen Sie den Zugriffsprotokollen den Formatbezeichner %XF hinzu.

Wenn für eine Webzugriffsrichtliniengruppe eine benutzerdefinierte URL-Kategorie auf Überwachung festgelegt ist und eine andere Komponente (z. B. die Webreputations-Filter oder das DVS-Modul (Different Verdicts Scanning)) die endgültige Entscheidung trifft, eine Anforderung für eine URL in der benutzerdefinierten URL-Kategorie zuzulassen oder zu blockieren, zeigt der Zugriffsprotokolleintrag für die Anforderung die vordefinierte URL-Kategorie anstelle der benutzerdefinierten URL-Kategorie an.

Weitere Informationen zum Konfigurieren benutzerdefinierter Felder in Zugriffsprotokollen finden Sie unter: Konfigurieren von Leistungsparametern in Zugriffsprotokollen - Cisco

Fehlerbehebung

Kategorie nicht zugeordnet

Aus den Zugriffsprotokollen können Sie sehen, dass die Anforderung zu welcher benutzerdefinierten URL-Kategorie gehört, wenn die Auswahl nicht wie erwartet erfolgt:

- Wenn die Anforderung in andere benutzerdefinierte URL-Kategorien kategorisiert ist, überprüfen Sie, ob eine doppelte URL oder ein übereinstimmender regulärer Ausdruck in anderen Kategorien vorhanden ist, oder verschieben Sie die benutzerdefinierte URL-Kategorie nach oben, und testen Sie sie erneut. ist es besser, die angepasste benutzerdefinierte URL-Kategorie sorgfältig zu prüfen. 

- Wenn die Anfrage in vordefinierte Kategorien kategorisiert ist, überprüfen Sie die Bedingungen in der vorhandenen benutzerdefinierten URL-Kategorie, wenn alle übereinstimmen, versuchen Sie, die IP-Adresse hinzuzufügen und zu testen, oder stellen Sie sicher, dass der Tippfehler und der richtige reguläre Ausdruck verwendet wird, falls vorhanden.

Vordefinierte Kategorien sind nicht aktuell 

Wenn die vordefinierten Kategorien nicht auf dem neuesten Stand sind oder in den Zugriffsprotokollen im URL-Kategorieabschnitt "err" angezeigt wird, stellen Sie sicher, dass TLSv1.2 für Updater aktiviert ist.

Um die SSL-Konfiguration des Updaters zu ändern, gehen Sie in der GUI wie folgt vor:

Schritt 1: Wählen Sie in der Systemverwaltung die Option SSL-Konfiguration aus.

Image-/SSL-Konfiguration

Schritt 2: Wählen Sie Einstellungen bearbeiten.

Schritt 3: Wählen Sie im Abschnitt "Update service" die Option "TLSv1.2".  

Image - Service TLSv1.2 aktualisieren

Schritt 4: Änderungen übermitteln und bestätigen 

Um die SSL-Konfiguration des Updaters zu ändern, gehen Sie in der CLI wie folgt vor:

Schritt 1: Führen Sie in der CLI sslcofig aus

Schritt 2. Geben Sie version ein, und drücken Sie die Eingabetaste. 

Schritt 3. Wählen Sie Updater

Schritt 4: Wählen Sie TLSv1.2.

Schritt 5: Drücken Sie die Eingabetaste, um den Assistenten zu beenden.

Schritt 6. Bestätigen Sie die Änderungen. 

SWA_CLI> sslconfig

Disabling SSLv3 is recommended for best security.

Note that the SSL/TLS service on remote servers may require that the selected TLS versions be sequential. So to avoid communications errors, always select a contiguous set of versions for each service. For example, do not enable TLS 1.0 and
1.2, while leaving TLS 1.1 disabled.

Choose the operation you want to perform:
- VERSIONS - Enable or disable SSL/TLS versions
- COMPRESS - Enable or disable TLS compression for Proxy Service
- CIPHERS - Set ciphers for services in Secure Web Appliance
- FALLBACK - Enable or disable SSL/TLS fallback option
- ECDHE - Enable or disable ECDHE Authentication.
[]> versions

SSL/TLS versions may be enabled or disabled for the following services:

        LDAPS - Secure LDAP Services (including Authentication, External Authentication, SaaS SSO, Secure Mobility)
        Updater - Update Service
        WebUI - Appliance Management Web User Interface
        RADSEC - Secure RADSEC Services (including Authentication, External Authentication)
        SICAP - Secure ICAP Service
        Proxy - Proxy Services (including HTTPS Proxy, Credential Encryption for Secure Client)

Currently enabled SSL/TLS versions by service: (Y : Enabled, N : Disabled)

         LDAPS  Updater  WebUI   RADSEC  SICAP   Proxy
TLSv1.0    N       N       N      N/A      N       N
TLSv1.1    Y       Y       N       Y       Y       N
TLSv1.2    N       N       Y       Y       Y       Y
TLSv1.3   N/A     N/A     N/A     N/A     N/A      Y

Select the service for which to enable/disable SSL/TLS versions:

1. LDAPS
2. Updater
3. Proxy
4. RADSEC
5. SICAP
6. WebUI
7. All Services
[]> 2


Currently enabled protocol(s) for Updater are TLSv1.1.


To change the setting for a specific protocol, select an option below:

1. TLSv1.0
2. TLSv1.1
3. TLSv1.2
[]> 3

TLSv1.2 support for Update Service is currently disabled. Do you want to enable it? [N]> Y


Currently enabled protocol(s) for Updater are TLSv1.1, TLSv1.2.

Referenz 

Best Practices-Richtlinien für Cisco Web Security Appliances - Cisco

BRKSEC-3303 (Cisco Live)

Benutzerhandbuch für AsyncOS 14.5 für Cisco Secure Web Appliance - GD (Allgemeine Bereitstellung) - Verbinden, Installieren und Konfigurieren [Cisco Secure Web Appliance] - Cisco