Comprensión del formato de registro de acceso HTTPS en el dispositivo web seguro

Introducción

Este documento describe los registros de acceso de Secure Web Appliance (SWA) para el tráfico HTTPS.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• SWA físico o virtual instalado.
• Licencia activada o instalada.
• Acceso de Secure Shell (SSH) al SWA.
• El asistente de configuración del sistema ha finalizado.

• Acceso administrativo al SWA.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

La forma en que el tráfico HTTPS se registra en los registros de acceso de SWA difiere del tráfico HTTP normal

Nota: Los registros dependen del modo de implementación de proxy. En el modo de reenvío explícito o en el modo transparente, los registros son diferentes.

Palabras clave de los registros de acceso 

Estas son algunas palabras clave importantes que puede ver en los registros de accesorios:

TCP_CONNECT: Muestra que el tráfico se recibió de forma transparente (a través del protocolo de comunicación de caché web: WCCP, redirección de capa 4 u otros métodos de redirección transparente)
CONECTAR: Esto muestra que el tráfico se recibió explícitamente.
DECRYPT_WBRS: Muestra que SWA ha descifrado el tráfico debido a la puntuación de la reputación en la Web (WBRS).
PASSTHRU_WBRS: Muestra que SWA ha pasado a través del tráfico debido a la puntuación WBRS.
DROP_WBRS: Esto muestra que SWA ha descartado el tráfico debido a la puntuación WBRS

Registros HTTPS en los registros de acceso

Cuando se descifra el tráfico HTTPS, WSA registra dos entradas.

• TCP_CONNECT tunnel:// o CONNECT tunnel:// depende del tipo de solicitud recibida, lo que significa que el tráfico está cifrado ( aún no se ha descifrado ). 
• GET https:// muestra la URL descifrada.

Nota: La dirección URL completa en modo transparente solo es visible si SWA descifra el tráfico.

1706174571.215 582 10.61.70.23 TCP_MISS_SSL/200 39 CONNECT tunnel://www.cisco.com:443/ - DIRECT/www.cisco.com - DECRYPT_WEBCAT_7-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"IW_ref",3.7,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"IW_ref",-,"-","Reference","-","Unknown","Unknown","-","-",0.54,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - -
1706174571.486 270 10.61.70.23 TCP_MISS_SSL/200 1106 GET https://www.cisco.com:443/ - DIRECT/www.cisco.com text/html DEFAULT_CASE_12-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"IW_ref",3.7,1,"-",0,0,0,1,"-",-,-,-,"-",1,-,"-","-",-,-,"IW_ref",-,"Unknown","Reference","-","Unknown","Unknown","-","-",32.77,0,-,"Unknown","-",1,"-",-,-,"-","-",-,-,"-",-,-> - - 

Nota: En el modo transparente, SWA tiene la dirección IP de destino inicialmente cuando el tráfico se redirige a ella.

A continuación se muestran algunos ejemplos de lo que se ve en los registros de acceso:

1252543170.769 386 192.168.30.103 TCP_MISS_SSL/200 0 TCP_CONNECT 192.168.34.32:443/ - DIRECT/192.168.34.32 -     DECRYPT_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,5.0,-,-,-,-,-,-,-,-,-,-,-,-,-> -

1252543171.166 395 192.168.30.103 TCP_MISS_SSL/200 2061 GET https://www.cisco.com:443/sample.gif - DIRECT/192.168.34.32 image/gif DEFAULT_CASE-test.policy-test.id-NONE-NONE-NONE <Sear,5.0,0,-,-,-,-,0,-,-,-,-,-,-,-> -

1252543337.373 690 192.168.30.103 TCP_MISS/200 2044 TCP_CONNECT 192.168.34.32:443/ - DIRECT/192.168.34.32 - PASSTHRU_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,9.0,-,-,-,-,-,-,-,-,-,-,-,-,-> -

1252543418.175 430 192.168.30.103 TCP_DENIED/403 0 TCP_CONNECT  192.168.34.32:443/ - DIRECT/192.168.34.32 - DROP_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,-9.1.0,-,-,-,-,-,-,-,-,-,-,-,-,-> -

252543558.405 385 10.66.71.105 TCP_CLIENT_REFRESH_MISS_SSL/200 40 CONNECT tunnel://www.cisco.com:443/ - DIRECT/www.cisco.com - DECRYPT_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,5.0,-,-,-,-,-,-,-,-,-,-,-,-,-> -



1252543559.535 1127 10.66.71.105 TCP_MISS_SSL/200 2061 GET https://www.cisco.com:443/sample.gif - DIRECT/www.cisco.com image/gif DEFAULT_CASE-test.policy-test.id-NONE-NONE-NONE <Sear,5.0,0,-,-,-,-,0,-,-,-,-,-,-,-> -

1252543491.302 568 10.66.71.105 TCP_CLIENT_REFRESH_MISS/200 2256 CONNECT tunnel://www.cisco.com:443/ - DIRECT/www.cisco.com - PASSTHRU_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,9.0,-,-,-,-,-,-,-,-,-,-,-,-,-> -

1252543668.375 1 10.66.71.105 TCP_DENIED/403 1578 CONNECT tunnel://www.cisco.com:443/ - NONE/- - DROP_WBRS-DefaultGroup-test.id-NONE-NONE-NONE <C_Sea,-9.1,-,-,-,-,-,-,-,-,-,-,-,-,-> -

Contenido relacionado

Guía del usuario de AsyncOS 15.0 para Cisco Secure Web Appliance - GD (implementación general)

Configuración del parámetro de rendimiento en registros de acceso: Cisco