Comprensión de los registros de acceso de Secure Web Appliance
Contenido
Introducción
Este documento describe la estructura del registro de acceso de Secure Web Appliance (SWA).
Prerequisites
Requirements
Cisco recomienda conocer estos temas:
- Acceso a la interfaz de línea de comandos (CLI) de SWA.
- Acceso administrativo al SWA.
- Comprensión básica del flujo de trabajo SWA.
Componentes Utilizados
Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Estructura de AccessLog
En este artículo, la estructura de AccessLog se explica con este ejemplo:
1726597763.348 68855 192.168.1.10 TCP_MISS/200 97645 TCP_CONNECT 10.37.145.84:443 "AMOJARRA\amirhossein@WCCPrealm" DIRECT/www.cisco.com - PASSTHRU_CUSTOMCAT_7-DP_site-IdP_Site-NONE-NONE-NONE-DefaultGroup-NONE <"C_Cisc",-,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"-",-,"-","-","-","-","-","-","-",11.35,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - -
Imagen - Estructura de AccessLog
Nota: La estructura de los registros de acceso depende de la versión de SWA. Al principio de cada archivo de AccessLog hay una línea que muestra su estructura y el orden del especificador de formato.
| Sección |
Ejemplo de AccessLog |
Especificador de formato |
Detalles |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Tiempo de época |
1726597763.348 |
%t |
El tiempo Epoch (a menudo llamado tiempo Unix o tiempo POSIX) es un sistema para realizar un seguimiento del tiempo contando el número total de segundos (o milisegundos/microsegundos) que han transcurrido desde el 1 de enero de 1970, a las 00:00:00 UTC La hora de Epoch en la que finalizó la transacción. Puede convertir este valor mediante el conversor de tiempo Epoch en línea o cualquier sistema operativo Linux. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Tiempo transcurrido |
68855 |
%e |
La cantidad de milisegundos que tardó la solicitud antes de completarse/anularse y de que se cerrara la conexión. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Dirección IP de origen |
192.168.1.10 |
%a |
Dirección IP de origen/cliente. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Código de resultado de transacción |
TCP_MISS |
%w |
El código de resultado de la transacción indica cómo resuelve el SWA las solicitudes de los clientes. A continuación se muestra la lista de códigos de resultado de transacción:
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Código de respuesta HTTP |
/200 |
%h |
El código de respuesta HTTP representa el código de estado devuelto por el servidor Web en respuesta a la solicitud HTTP del cliente. A continuación se muestra la lista de los códigos de respuesta HTTP más importantes (para obtener más información, consulte la sección Código de respuesta HTTP de este artículo)
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Tamaño total transferido |
97645 |
%s |
Total de bytes transferidos para la solicitud. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Método HTTP |
TCP_CONNECT |
%1r |
Un método HTTP es un método estandarizado para que un cliente especifique la acción que un servidor Web debe realizar en un recurso, como recuperar datos con GET o enviar datos con POST.
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Destino |
10.37.145.84:443 |
%2r |
En esta sección se muestra la URL del servidor de destino y el número de puerto TCP. En la redirección transparente, antes de que el tráfico se descifre, SWA muestra la dirección IP de destino y el número de puerto. Si la URL comienza con tunnel:// significa que SWA aún no descifró el tráfico. Si la URL comienza con https:// significa que SWA descifra el tráfico. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Nombre de usuario y rango de autenticación |
"AMOJARRA\amirhossein@WCCPrealm" |
%A |
Credenciales utilizadas para esta conexión. Si la solicitud se autentica, SWA registra el nombre de usuario y los rangos de autenticación como: <Domain Name> \ <User Name> @ <Authentication Realm Name> Si la solicitud aún no se ha autenticado o está exenta de autenticación, en el registro verá el guión "-" |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Tipo de acceso |
DIRECT/ |
%H |
Código que describe el servidor con el que se contactó para recuperar el contenido de la solicitud. Los valores más comunes incluyen:
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Dirección del servidor |
%d |
Dirección IP del servidor o del origen de datos. |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
MIME content-type/subtype |
- |
%c |
MIME Indica la naturaleza y el formato de un documento, archivo o surtido de bytes. Los tipos MIME se definen y estandarizan en IETF RFC 6838 Dos tipos MIME principales son importantes para la función de los tipos predeterminados:
Para obtener una lista completa del tipo MIME, visite: Tipos de medios (iana) |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Etiqueta de decisión de ACL |
PASSTHRU_CUSTOMCAT_7- |
%D |
Una etiqueta de decisión ACL es un campo en una entrada del registro de acceso que indica cómo el proxy web manejó la transacción. Incluye información de los filtros de Web Reputation, las categorías de URL y los motores de análisis. Esta es una lista de las etiquetas de decisión de ACL más importantes. (Para obtener más información, visite la sección Etiqueta de decisión de ACL en este artículo)
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Nombre de política |
DP_site- |
N/A |
Dependiendo del tipo de tráfico, esto muestra lo siguiente:
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Política de identidad |
IdP_Site- |
N/A |
Muestra el nombre del perfil de identificación |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Grupo de políticas de escaneo de malware saliente |
NINGUNO- |
N/A |
Nombre del grupo de políticas de escaneo de malware saliente. Cualquier espacio en el nombre del grupo de políticas se sustituye por un guión bajo ( _ ) |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Grupo de políticas de seguridad de datos |
NINGUNO- |
N/A |
Nombre del grupo de políticas de seguridad de datos de Cisco. Cuando la transacción coincide con la política de seguridad de datos de Cisco global, este valor es DefaultGroup. Este nombre de grupo de políticas solo aparece cuando los filtros de seguridad de datos de Cisco están habilitados. "NONE" aparece cuando no se ha aplicado ninguna política de seguridad de datos. Cualquier espacio en el nombre del grupo de políticas se sustituye por un guión bajo ( _ ) |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Grupo de políticas DLP externas |
NINGUNO- |
N/A |
Cuando la transacción coincide con la política DLP externa global, este valor es DefaultGroup. Aparece "NONE" cuando no se ha aplicado ninguna política DLP externa. Cualquier espacio en el nombre del grupo de políticas se sustituye por un guión bajo ( _ ). |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Grupo de políticas de enrutamiento |
DefaultGroup- |
N/A |
Nombre del grupo de directivas de enrutamiento como ProxyGroupName/ProxyServerName. Cuando la transacción coincide con la política de enrutamiento global, este valor es DefaultRouting. Cuando no se utiliza ningún servidor proxy upstream, este valor es DIRECT Cualquier espacio en el nombre del grupo de políticas se sustituye por un guión bajo ( _ ). |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Toque Tráfico web |
NINGUNO |
N/A |
Tráfico web Toque el nombre de la política. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Abreviatura de categoría de URL |
<"C_Cisco", |
%XC |
Categoría de URL con la que coincide la solicitud.
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Puntuación de reputación en la Web |
-, |
%XW |
Este campo muestra la puntuación de Web Reputation (WBRS). ns significa que la URL no tiene puntuación. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Exploración de Webroot |
-,"-",-,-,-, |
Estos 5 campos están relacionados con el análisis de Webroot
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Escaneo de McAfee |
-,"-",-,-,-,"-", |
Estos 6 campos están relacionados con el análisis de McAfee.
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Escaneo de Sophos |
-,-,"-","-", |
Estos 4 campos están relacionados con la exploración de Sophos
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Veredicto del análisis de Cisco Data Security |
-, |
%Xl |
El veredicto del análisis de Cisco Data Security se basa en la acción de la columna Contenido de la política de seguridad de datos de Cisco. Esta lista describe los valores posibles para este campo: 0.Permitir 1.Bloqueo - (guión).Los filtros de seguridad de datos de Cisco no iniciaron ningún análisis. Este valor aparece cuando los filtros de seguridad de datos de Cisco están desactivados o cuando la acción de categoría de URL se establece en Permitir. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Veredicto de exploración de DLP externa |
-, |
%Xp |
El veredicto de la exploración de DLP externa se basa en el resultado proporcionado en la respuesta ICAP. Esta lista describe los valores posibles para este campo: 0.Permitir 1.Bloqueo - (guión).El servidor DLP externo no inició ningún análisis. Este valor aparece cuando el análisis de DLP externa está desactivado o cuando el contenido no se ha analizado debido a una categoría de URL exenta en la página Políticas de DLP externa > Destinos. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Veredicto de categoría de URL predefinida |
"-", |
%XQ |
El veredicto predefinido de la categoría de URL determinado durante el análisis de la solicitud, abreviado. Este campo muestra un guión ( - ) cuando el filtrado de URL está desactivado. Si la solicitud llega a una categoría de URL personalizada, puede ver el nombre de la categoría de URL predefinida en el registro de acceso, pero la decisión la tomó la categoría de URL personalizada. Para obtener una lista de abreviaturas de categorías de URL, consulteDescripciones de categorías de URL. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Veredicto de categoría de URL |
-, |
%XA |
El veredicto de la categoría de URL determinado por el motor de análisis de contenido dinámico (DCA) durante el análisis del lado de la respuesta, abreviado. Se aplica únicamente al motor de filtrado de URL de los controles de uso web de Cisco. nc: Este valor aparece en el veredicto del análisis del lado de la solicitud cuando el motor de análisis de contenido dinámico está activado y no se ha asignado ninguna categoría de URL en el momento de la solicitud, lo que indica que la URL no se ha clasificado durante la fase de solicitud inicial antes de que el análisis del lado de la respuesta la categorice |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Veredicto de Unified Inbound DVS |
"-", |
%XZ |
Veredicto de escaneo anti-malware del lado de la respuesta unificada que proporciona la categoría de malware independientemente de los motores de escaneo que estén habilitados. Se aplica a las transacciones bloqueadas o supervisadas debido al análisis de respuestas del servidor. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Tipo de amenaza de Web Reputation Filter |
"-", |
%Xk |
Los filtros de Web Reputation devuelven el nombre de categoría o el tipo de amenaza. El nombre de categoría se devuelve cuando la reputación en la Web es alta y el tipo de amenaza, cuando la reputación es baja. Normalmente, este campo se rellena para los sitios con una reputación de -4 o inferior. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
URL encapsulada de Google Translate |
"-", |
%X#10# |
La URL que se encapsula dentro del motor de traducción de Google. Si no hay una URL encapsulada, el valor del campo será "-". |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Control de aplicaciones (AVC/ADC) |
"-","-","-", |
En estos 3 campos se registran las estadísticas de visibilidad y control de aplicaciones (AVC) y de descubrimiento y control de aplicaciones (ADC).
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Veredicto de navegación segura |
"-", |
%XS |
Este valor indica si se aplicó a la transacción la función de búsqueda segura o la función de clasificación de contenido del sitio.
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Ancho de banda medio |
11.35, |
%XB |
El ancho de banda medio consumido al servir la solicitud, en Kb/s. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Control de límite de ancho de banda |
0, |
%XT |
Valor que indica si la solicitud se limitó debido a la configuración de control de límite de ancho de banda. "1" indica que la solicitud se ha limitado. "0" indica que la solicitud no se ha limitado. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Tipo de usuario |
-, |
%l |
El tipo de usuario que realiza la solicitud, ya sea "[Local]" o "[Remoto]". Solo se aplica cuando AnyConnect Secure Mobility está activado. Cuando no está habilitado, el valor es un guión (-) |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Escaneo de malware saliente |
"-","-", |
Estos 2 campos se aplican a las transacciones bloqueadas o supervisadas debido al análisis de solicitudes de clientes cuando se aplica una directiva de escaneo de malware saliente.
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Protección frente a malware avanzado |
-,"-",-,-,"-","-", |
Estos 6 campos están relacionados con el terminal seguro (también conocido como protección frente a malware avanzado):
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Análisis de archivo |
-,-,"-", |
Estos 3 campos indican el estado del análisis de archivos de almacenamiento:
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Toque Web |
-, |
%XU |
Comportamiento de Web Tap. |
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Categoría de URL de YouTube |
- > |
%X#29# |
La categoría de URL de YouTube asignada a la transacción, abreviada. Este campo muestra "nc" cuando no se ha asignado ninguna categoría. |
Código de respuesta HTTP
Esta es la lista completa de código de respuesta HTTP
| Código de estado | Significado |
| Información 1xx | |
| 100 | Continúe |
| 101 | Protocolos de switching |
| 102 | Procesamiento |
| 103 | Sugerencias tempranas |
| 2xx correcto | |
| 200 | OK |
| 201 | Creado |
| 202 | Aceptado |
| 203 | Información no autorizada |
| 204 | Sin contenido |
| 205 | Restablecer contenido |
| 206 | Contenido parcial |
| 207 | Estado múltiple |
| 208 | Ya informado |
| 226 | IM utilizada |
| Redirección 3xx | |
| 300 | Varias opciones |
| 301 | Movido permanentemente |
| 302 | Encontrado (previamente "movido temporalmente") |
| 303 | Ver otros |
| 304 | No modificado |
| 305 | Utilizar proxy |
| 306 | Switch Proxy |
| 307 | Redirección temporal para autenticación (Normalmente se observa en la implementación transparente mientras SWA autentica al usuario) |
| 308 | Redireccionamiento permanente |
| Error de cliente 4xx | |
| 400 | Solicitud incorrecta |
| 401 | Se requiere autenticación de servidor web (normalmente se observa en la implementación transparente mientras SWA autentica al usuario) |
| 402 | Pago requerido |
| 403 | Prohibido |
| 404 | Not found |
| 405 | Método no permitido |
| 406 | No aceptable |
| 407 | Se requiere autenticación de proxy explícita |
| 408 | Tiempo de espera de solicitud |
| 409 | Conflicto |
| 410 | Desaparecido |
| 411 | Longitud requerida |
| 412 | Error de condición previa |
| 413 | Carga útil demasiado grande |
| 414 | URI demasiado largo |
| 415 | Tipo de medio no compatible |
| 416 | Rango no satisfecho |
| 417 | Error de expectativa |
| 418 | Soy una tetera |
| 421 | Solicitud mal dirigida |
| 422 | Entidad no procesable |
| 423 | Bloqueado |
| 424 | Dependencia fallida |
| 425 | Demasiado pronto |
| 426 | Actualización necesaria |
| 428 | Requisito previo necesario |
| 429 | Demasiadas solicitudes |
| 431 | Campos de encabezado de solicitud demasiado grandes |
| 451 | No disponible por motivos legales |
| 5xx Error de servidor | |
| 500 | Error interno del servidor |
| 501 | No implementado |
| 502 | Gateway incorrecto |
| 503 | Servicio no disponible |
| 504 | Tiempo de espera de gateway |
| 505 | Versión HTTP no admitida |
| 506 | Variant también negocia |
| 507 | Almacenamiento insuficiente |
| 508 | Bucle detectado |
| 510 | No extendido |
| 511 | Se requiere autenticación de red |
Etiqueta de decisión de ACL
Esta es la lista completa de las etiquetas de decisión de ACL:
| Etiqueta de decisión de ACL | Descripción |
| ALLOW_ADMIN_ERROR_PAGE | El proxy web permitió la transacción a una página de notificación y a cualquier logotipo utilizado en esa página. |
| ALLOW_CUSTOMCAT | El proxy web permitió la transacción basándose en la configuración de filtrado de categoría de URL personalizada para el grupo de políticas de acceso. |
| ALLOW_REFERER | El proxy web permitió la transacción basándose en una exención de contenido integrado/referido. |
| ALLOW_WBRS | El proxy de web permitió la transacción basándose en la configuración del filtro de reputación web para el grupo de políticas de acceso. |
| AMP_FILE_VERDICT | Valor que representa un veredicto del servidor de reputación de AMP para el archivo: |
| 1 - Desconocido | |
| 2 - Limpio | |
| 3 - Malintencionado | |
| 4 - No escaneable | |
| ARCHIVESCAN_ALLCLEAR | Veredicto de análisis de archivo |
| ARCHIVESCAN_BLOCKEDFILETYPE | ARCHIVESCAN_ALLCLEAR - No hay tipos de archivo bloqueados en el archivo inspeccionado. |
| ARCHIVESCAN_NESTEDTOODEEP | ARCHIVESCAN_BLOCKEDFILETYPE - Hay un tipo de archivo bloqueado en el archivo inspeccionado. El siguiente campo de la entrada del registro (Detalle del veredicto) proporciona detalles, en concreto el tipo de archivo bloqueado y el nombre del archivo bloqueado. |
| ARCHIVESCAN_UNKNOWNFMT | ARCHIVESCAN_NESTEDTOODEEP - El archivo está bloqueado porque contiene más archivos "encapsulados" o anidados que el máximo configurado. El campo Detalle de veredicto contiene "Archivo no escaneable bloqueado". |
| ARCHIVESCAN_UNSCANABLE | ARCHIVESCAN_UNKNOWNFMT - El archivo está bloqueado porque contiene un tipo de archivo de formato desconocido. El detalle del veredicto es "Archivo no escaneable bloqueado". |
| ARCHIVESCAN_FILETOOBIG | ARCHIVESCAN_UNSCANABLE - El archivo está bloqueado porque contiene un archivo que no se puede analizar. El detalle del veredicto es "Archivo no escaneable bloqueado". |
| ARCHIVESCAN_FILETOOBIG - El archivo está bloqueado porque el tamaño del archivo es mayor que el máximo configurado. El detalle del veredicto es "Archivo no escaneable bloqueado". | |
| Detalle de veredicto de análisis de archivo | |
| El campo Veredicto y el campo Veredicto de la entrada del registro proporcionan información adicional sobre el veredicto, como el tipo de archivo bloqueado y el nombre del archivo bloqueado, "Archivo no escaneable bloqueado" o "-" para indicar que el archivo no contiene ningún tipo de archivo bloqueado. | |
| Por ejemplo, si un archivo de almacenamiento inspeccionable está bloqueado (ARCHIVESCAN_BLOCKEDFILETYPE) en función de la política de acceso: Configuración personalizada de bloqueo de objetos, la entrada Detalles del veredicto incluye el tipo de archivo bloqueado y el nombre del archivo bloqueado. | |
| Consulte Políticas de acceso: Bloquear objetos y Configuración de inspección de archivo para obtener más información sobre la inspección de archivo. | |
| BLOCK_ADMIN | Transacción bloqueada según algunos valores predeterminados del grupo de políticas de acceso. |
| BLOCK_ADMIN_CONNECT | Transacción bloqueada basada en el puerto TCP del destino, como se define en la configuración Puertos HTTP CONNECT para el grupo de políticas de acceso. |
| BLOCK_ADMIN_CUSTOM_USER_AGENT | Transacción bloqueada según el agente de usuario definido en la configuración Bloquear agentes de usuario personalizados para el grupo de directivas de acceso. |
| BLOCK_ADMIN_TUNNELING | El proxy web bloqueó la transacción basándose en la tunelización del tráfico no HTTP en los puertos HTTP para el grupo de políticas de acceso. |
| BLOCK_ADMIN_HTTPS_NonLocalDestination | Transacción bloqueada; El cliente intentó omitir la autenticación utilizando el puerto SSL como proxy explícito. Para evitar esto, si una conexión SSL se establece con el propio WSA, solo se permiten las solicitudes al nombre de host de redirección de WSA real. |
| BLOCK_ADMIN_IDS | Transacción bloqueada en función del tipo MIME del contenido del cuerpo de la solicitud según se define en el grupo de políticas de seguridad de datos. |
| BLOCK_ADMIN_FILE_TYPE | Transacción bloqueada según el tipo de archivo definido en el grupo de políticas de acceso. |
| BLOCK_ADMIN_PROTOCOL | Transacción bloqueada según el protocolo definido en la configuración Bloquear protocolos para el grupo de directivas de acceso. |
| BLOCK_ADMIN_SIZE | Transacción bloqueada en función del tamaño de la respuesta según se define en la configuración Tamaño del objeto para el grupo de políticas de acceso. |
| BLOCK_ADMIN_SIZE_IDS | Transacción bloqueada en función del tamaño del contenido del cuerpo de la solicitud según se define en el grupo de políticas de seguridad de datos. |
| BLOCK_AMP_RESP | El proxy web bloqueó la respuesta basándose en la configuración de protección frente a malware avanzado del grupo de políticas de acceso. |
| BLOCK_AMW_REQ | El proxy web bloqueó la solicitud basándose en la configuración anti-malware del grupo de políticas de escaneo de malware saliente. El organismo de solicitud emitió un veredicto positivo de Malware. |
| BLOCK_AMW_RESP | El proxy web bloqueó la respuesta basándose en la configuración anti-malware del grupo de políticas de acceso. |
| BLOCK_AMW_REQ_URL | El proxy web sospecha que la URL de la solicitud HTTP no puede ser segura, por lo que bloqueó la transacción a la hora de la solicitud en función de la configuración anti-malware del grupo de políticas de acceso. |
| BLOCK_AVC | Transacción bloqueada según la configuración de la aplicación para el grupo de políticas de acceso. |
| BLOCK_CONTENT_UNSAFE | Transacción bloqueada según la configuración de clasificación de contenido del sitio para el grupo de directivas de acceso. La solicitud del cliente era para contenido para adultos y la política está configurada para bloquear contenido para adultos. |
| BLOCK_CONTINUE_CONTENT_UNSAFE | Transacción bloqueada y mostrada en la página Advertir y continuar según la configuración de clasificación de contenido del sitio en el grupo Directiva de acceso. La solicitud del cliente era para contenido para adultos y la política está configurada para dar una advertencia a los usuarios que acceden a contenido para adultos. |
| BLOCK_CONTINUE_CUSTOMCAT | La transacción se bloqueó y se mostró en la página Advertir y continuar en función de una categoría de URL personalizada del grupo de políticas de acceso configurado como "Advertir". |
| BLOCK_CONTINUE_WEBCAT | La transacción se bloqueó y se mostró en la página Advertir y continuar en función de una categoría de URL predefinida en el grupo de políticas de acceso configurado como "Advertir". |
| BLOCK_CUSTOMCAT | Transacción bloqueada según la configuración de filtrado de categoría de URL personalizado para el grupo de políticas de acceso. |
| BLOCK_ICAP | El proxy de web bloqueó la solicitud basándose en el veredicto del sistema DLP externo definido en el grupo de políticas DLP externas. |
| BLOCK_SEARCH_UNSAFE | La solicitud del cliente incluía una consulta de búsqueda no segura y la directiva de acceso está configurada para aplicar búsquedas seguras, por lo que se bloqueó la solicitud del cliente original. |
| BLOCK_SUSPECT_USER_AGENT | Transacción bloqueada según la configuración del agente de usuario sospechoso para el grupo de políticas de acceso. |
| BLOCK_UNSUPPORTED_SEARCH_APP | Transacción bloqueada según la configuración de búsqueda segura del grupo de políticas de acceso. La transacción era para un motor de búsqueda no compatible y la política está configurada para bloquear motores de búsqueda no compatibles. |
| BLOCK_WBRS | Transacción bloqueada en función de la configuración de filtro de Web Reputation para el grupo de políticas de acceso. |
| BLOCK_WBRS_IDS | El proxy web bloqueó la solicitud de carga basándose en la configuración del filtro de reputación web para el grupo de políticas de seguridad de datos. |
| BLOCK_WEBCAT | Transacción bloqueada según la configuración de filtrado de categorías de URL para el grupo de políticas de acceso. |
| BLOCK_WEBCAT_IDS | El proxy web bloqueó la solicitud de carga basándose en la configuración de filtrado de categorías de URL para el grupo de políticas de seguridad de datos. |
| BLOCK_YTCAT | El proxy web bloqueó la transacción basándose en la configuración de filtrado de categorías de YouTube predefinida para el grupo de políticas de acceso. |
| BLOCK_CONTINUE_YTCAT | El proxy de web bloqueó la transacción y mostró la página Advertir y continuar en función de una categoría de YouTube predefinida en el grupo de políticas de acceso configurado como 'Advertir'. |
| DESCIFRAR_ADMIN | El proxy web descifró la transacción basándose en algunos valores predeterminados para el grupo de políticas de descifrado. |
| DECRYPT_ADMIN_EXPIRED_CERT | El proxy web descifró la transacción aunque el certificado del servidor ha caducado. |
| DECRYPT_EUN_ADMIN_DEFAULT_ACTION | El proxy web descifró la transacción basándose en la configuración predeterminada como conexión de caída para el grupo de políticas de descifrado cuando EUN está habilitado. |
| DECRYPT_EUN_ADMIN_EXPIRED_CERT | El proxy web descifró la transacción cuando la configuración del proxy HTTPS descarta un certificado caducado con EUN activado. |
| DECRYPT_EUN_ADMIN_INVALID_LEAF_CERT | El proxy web descifró la transacción cuando la configuración del proxy HTTPS descarta un certificado de hoja no válido con EUN habilitado. |
| DECRYPT_EUN_ADMIN_MISMATCHED_HOSTNAME | El proxy web descifró la transacción cuando la configuración del proxy HTTPS descarta el nombre de host no coincidente con EUN habilitado. |
| DECRYPT_EUN_ADMIN_OCSP_OTHER_ERROR |
El proxy web descifró la transacción cuando la configuración del proxy HTTPS descarta un OCSP con otros errores con EUN habilitado. |
| DECRYPT_EUN_ADMIN_OCSP_REVOKED_CERT | El proxy web descifró la transacción cuando la configuración de proxy HTTPS descarta un certificado revocado de OCSP con EUN habilitado. |
| DECRYPT_EUN_ADMIN_UNRECOGNIZED_ROOT_CERT | El proxy web descifró la transacción cuando la configuración del proxy HTTPS descarta una autoridad raíz no reconocida o un certificado de emisor con EUN habilitado. |
| DECRYPT_EUN_CUSTOMCAT | El proxy web descifró la transacción basándose en la configuración de filtrado de categoría de URL personalizada para el grupo de políticas de descifrado. Si EUN está habilitado, el tráfico se descarta. |
| DECRYPT_EUN_WBRS | El proxy web descifró la transacción basándose en la configuración del filtro de reputación web para el grupo de políticas de descifrado. Si EUN está habilitado, el tráfico se descarta. |
| DECRYPT_EUN_WBRS_NO_SCORE | El proxy web descifró la transacción basándose en la configuración del filtro de reputación web para la URL sin puntuación en el grupo de políticas de descifrado. Si EUN está habilitado, el tráfico se descarta. |
| DESCIFRAR_EUN_WEBCAT | El proxy web descifró la transacción basándose en la configuración de filtrado de categorías de URL para el grupo de políticas de descifrado. Si EUN está habilitado, el tráfico se descarta. |
| DESCIFRAR_WEBCAT | El proxy web descifró la transacción basándose en la configuración de filtrado de categorías de URL para el grupo de políticas de descifrado. |
| DESCIFRAR_WBRS | El proxy web descifró la transacción basándose en la configuración del filtro de reputación web para el grupo de políticas de descifrado. |
| DEFAULT_CASE | El proxy web permitía al cliente acceder al servidor porque ninguno de los servicios AsyncOS, como Web Reputation o el análisis anti-malware, realizó ninguna acción en la transacción. |
| DENY_ADMIN | El proxy web denegó la transacción. Esto ocurre para las solicitudes HTTPS cuando se requiere autenticación y se inhabilita Descifrar para autenticación en la configuración de proxy HTTPS. |
| DROP_ADMIN | El proxy web descartó la transacción basándose en algunos valores predeterminados para el grupo de políticas de descifrado. |
| DROP_ADMIN_EXPIRED_CERT | El proxy web descartó la transacción porque el certificado del servidor ha caducado. |
| DROP_WEBCAT | El proxy web descartó la transacción basándose en la configuración de filtrado de categorías de URL para el grupo de políticas de descifrado. |
| DROP_WBRS | El proxy de web descartó la transacción basándose en la configuración del filtro de reputación web para el grupo de políticas de descifrado. |
| MONITOR_ADMIN_EXPIRED_CERT | El proxy web supervisó la respuesta del servidor porque el certificado del servidor ha caducado. |
| MONITOR_AMP_RESP | El proxy web supervisó la respuesta del servidor en función de la configuración de protección frente a malware avanzado para el grupo de políticas de acceso. |
| MONITOR_AMW_RESP | El proxy web supervisó la respuesta del servidor en función de la configuración anti-malware del grupo de políticas de acceso. |
| MONITOR_AMW_RESP_URL | El proxy web sospecha que la URL de la solicitud HTTP no puede ser segura, pero monitoreó la transacción basándose en la configuración Anti-Malware para el grupo de políticas de acceso. |
| MONITOR_AVC | El proxy web supervisó la transacción basándose en la configuración de la aplicación para el grupo de políticas de acceso. |
| MONITOR_CONTINUE_CONTENT_UNSAFE | Originalmente, el proxy web bloqueó la transacción y mostró la página Advertir y continuar basándose en la configuración de clasificación de contenido del sitio en el grupo Directiva de acceso. La solicitud del cliente era para contenido para adultos y la política está configurada para dar una advertencia a los usuarios que acceden a contenido para adultos. El usuario aceptó la advertencia y continuó en el sitio solicitado originalmente, y ningún otro motor de análisis bloqueó posteriormente la solicitud. |
| MONITOR_CONTINUE_CUSTOMCAT | Originalmente, el proxy web bloqueaba la transacción y mostraba la página Advertir y continuar basada en una categoría de URL personalizada del grupo de políticas de acceso configurado como "Advertir". El usuario aceptó la advertencia y continuó en el sitio solicitado originalmente, y ningún otro motor de análisis bloqueó posteriormente la solicitud. |
| MONITOR_CONTINUE_WEBCAT | Originalmente, el proxy web bloqueaba la transacción y mostraba la página Advertir y continuar en función de una categoría de URL predefinida en el grupo de políticas de acceso configurado como "Advertir". El usuario aceptó la advertencia y continuó en el sitio solicitado originalmente, y ningún otro motor de análisis bloqueó posteriormente la solicitud. |
| MONITOR_CONTINUE_YTCAT | Originalmente, el proxy web bloqueó la transacción y mostró la página Advertir y continuar basada en una categoría de YouTube predefinida en el grupo de políticas de acceso configurado como 'Advertir'. El usuario aceptó la advertencia y continuó en el sitio solicitado originalmente, y ningún otro motor de análisis bloqueó posteriormente la solicitud. |
| MONITOR_IDS | El proxy web analizó la solicitud de carga mediante una política de seguridad de datos o una política DLP externa, pero no bloqueó la solicitud. Evaluó la solicitud con las directivas de acceso. |
| MONITOR_SUSPECT_USER_AGENT | El proxy web supervisó la transacción basándose en la configuración del agente de usuario sospechoso para el grupo de políticas de acceso. |
| MONITOR_WBRS | El proxy de web supervisó la transacción basándose en la configuración del filtro de Web Reputation para el grupo de políticas de acceso. |
| NO_AUTHORIZATION | El proxy web no permitió al usuario acceder a la aplicación porque el usuario ya estaba autenticado en un rango de autenticación, pero no en ningún rango de autenticación configurado en la directiva de autenticación de la aplicación. |
| NO_PASSWORD | Error de autenticación del usuario. |
| PASSTHRU_ADMIN | El proxy web pasó a través de la transacción basándose en algunos valores predeterminados para el grupo de políticas de descifrado. |
| PASSTHRU_ADMIN_EXPIRED_CERT | El proxy web pasó a través de la transacción aunque el certificado del servidor ha caducado. |
| PASSTHRU_WEBCAT | El proxy web pasó a través de la transacción basándose en la configuración de filtrado de categorías de URL para el grupo de políticas de descifrado. |
| PASSTHRU_WBRS | El proxy web pasó a través de la transacción basándose en la configuración de filtro de Web Reputation para el grupo de políticas de descifrado. |
| REDIRECT_CUSTOMCAT | El proxy web redirigió la transacción a una dirección URL diferente basada en una categoría de URL personalizada del grupo de políticas de acceso configurado en "Redirigir". |
| SAAS_AUTH | El proxy web permitió al usuario acceder a la aplicación porque el usuario se autenticó de forma transparente en el rango de autenticación configurado en la directiva de autenticación de la aplicación. |
| OTRO | El proxy web no completó la solicitud debido a un error, como un error de autorización, desconexión del servidor o una anulación del cliente. |
Valores de veredicto de escaneo de malware
Un veredicto de escaneo de Malware es un valor asignado a una solicitud de URL o a una respuesta del servidor que determina la probabilidad de que contenga Malware. Los motores de exploración de Webroot, McAfee y Sophos devuelven el veredicto de exploración de malware al motor DVS, de modo que éste puede determinar si se debe supervisar o bloquear el objeto analizado. Cada veredicto de escaneo de malware corresponde a una categoría de Malware enumerada en la página Access Policies > Reputation and Anti-Malware Settings cuando edita la configuración Anti-Malware para una política de acceso determinada.
Esta lista presenta los diferentes valores de veredicto de escaneo de malware y cada categoría de malware correspondiente:
| Valor de veredicto de escaneo de malware |
Categoría de malware |
|---|---|
| - |
no establecido |
| 0 |
Desconocido |
| 1 |
No analizado |
| 2 |
Tiempo de espera |
| 3 |
Error |
| 4 |
No escaneable |
| 10 |
Spyware genérico |
| 12 |
Objeto de ayudante del explorador |
| 13 |
Adware |
| 14 |
Monitor del sistema |
| 18 |
Monitor de sistema comercial |
| 19 |
Marcador |
| 20 |
Secuestrador |
| 21 |
URL de phishing |
| 22 |
Descargador troyano |
| 23 |
Caballo troyano |
| 24 |
Phisher troyano |
| 25 |
Gusano |
| 26 |
Archivo cifrado |
| 27 |
Virus |
| 33 |
Otro malware |
| 34 |
PUA |
| 35 |
Anulado |
| 36 |
Heurística de brotes |
| 37 |
Archivos maliciosos y de alto riesgo conocidos |
Información Relacionada
- Guía del usuario de AsyncOS 15.2 para Cisco Secure Web Appliance
- Garantizar la correcta funcionalidad del grupo HA de WSA virtual en un entorno VMware
- Configurar el parámetro de rendimiento en registros de acceso
- Comprensión del formato de registro de acceso HTTPS en el dispositivo web seguro
- Acceder a registros de appliances web seguros
Historial de revisiones
| Revisión | Fecha de publicación | Comentarios |
|---|---|---|
1.0 |
29-Apr-2026
|
Versión inicial |
ComentariosContacte a Cisco
- Abrir un caso de soporte
- (Requiere un Cisco Service Contract)