Secure Web ApplianceのHTTPSアクセスログ形式について

概要

このドキュメントでは、HTTPSトラフィックのセキュアWebアプライアンス(SWA)アクセスログについて説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• 物理または仮想SWAがインストールされている。
• ライセンスがアクティブ化またはインストールされていること。
• SWAへのセキュアシェル(SSH)アクセス
• システム、セットアップウィザードが完了します。

• SWAへの管理アクセス。

使用するコンポーネント

本書の内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

HTTPSトラフィックがSWAアクセスログに記録される方法は、通常のHTTPトラフィックとは異なります

注：ログはプロキシ導入モードによって異なります。 明示的転送モードまたは透過モードでは、ログは異なります。

アクセスログのキーワード 

アクセスログに表示される重要なキーワードを次に示します。

TCP_CONNECT（オプション）：トラフィックが透過的に受信されたことを示します(Web Cache Communication Protocol(WCCP)、レイヤ4リダイレクト、またはその他の透過的なリダイレクト方法を使用)。
CONNECT（オプション）：トラフィックが明示的に受信されたことを示します。
DECRYPT_WBRS（任意）:SWAが、Webレピュテーションスコア(WBRS)スコアに基づいて、トラフィックを復号したことを示します。
PASSTHRU_WBRS:WBRSスコアにより、SWAがトラフィックをパススルーしたことが示されます。
DROP_WBRS:WBRSスコアによりSWAでトラフィックがドロップされたことを示します。

アクセスログのHTTPSログ

HTTPSトラフィックが復号されると、WSAは2つのエントリをログに記録します。

• TCP_CONNECT tunnel://またはCONNECT tunnel://は、受信した要求のタイプによって異なります。つまり、トラフィックは暗号化されています（まだ復号化されていません）。 
• GET https://は復号化されたURLを表示します。

注：トランスペアレントモードのフルURLは、SWAがトラフィックを復号する場合にのみ表示されます。

1706174571.215 582 10.61.70.23 TCP_MISS_SSL/200 39 CONNECT tunnel://www.cisco.com:443/ - DIRECT/www.cisco.com - DECRYPT_WEBCAT_7-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"IW_ref",3.7,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"IW_ref",-,"-","Reference","-","Unknown","Unknown","-","-",0.54,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - -
1706174571.486 270 10.61.70.23 TCP_MISS_SSL/200 1106 GET https://www.cisco.com:443/ - DIRECT/www.cisco.com text/html DEFAULT_CASE_12-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"IW_ref",3.7,1,"-",0,0,0,1,"-",-,-,-,"-",1,-,"-","-",-,-,"IW_ref",-,"Unknown","Reference","-","Unknown","Unknown","-","-",32.77,0,-,"Unknown","-",1,"-",-,-,"-","-",-,-,"-",-,-> - - 

注：トランスペアレントモードでは、トラフィックがSWAにリダイレクトされたときに、最初はSWAに宛先IPアドレスがあります。

アクセスログに表示される情報の例を次に示します。

1252543170.769 386 192.168.30.103 TCP_MISS_SSL/200 0 TCP_CONNECT 192.168.34.32:443/ - DIRECT/192.168.34.32 -     DECRYPT_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting  -

1252543171.166 395 192.168.30.103 TCP_MISS_SSL/200 2061 GET https://www.cisco.com:443/sample.gif - DIRECT/192.168.34.32 image/gif DEFAULT_CASE-test.policy-test.id-NONE-NONE-NONE  -

1252543337.373 690 192.168.30.103 TCP_MISS/200 2044 TCP_CONNECT 192.168.34.32:443/ - DIRECT/192.168.34.32 - PASSTHRU_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting  -

1252543418.175 430 192.168.30.103 TCP_DENIED/403 0 TCP_CONNECT  192.168.34.32:443/ - DIRECT/192.168.34.32 - DROP_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting  -

252543558.405 385 10.66.71.105 TCP_CLIENT_REFRESH_MISS_SSL/200 40 CONNECT tunnel://www.cisco.com:443/ - DIRECT/www.cisco.com - DECRYPT_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting  -



1252543559.535 1127 10.66.71.105 TCP_MISS_SSL/200 2061 GET https://www.cisco.com:443/sample.gif - DIRECT/www.cisco.com image/gif DEFAULT_CASE-test.policy-test.id-NONE-NONE-NONE  -

1252543491.302 568 10.66.71.105 TCP_CLIENT_REFRESH_MISS/200 2256 CONNECT tunnel://www.cisco.com:443/ - DIRECT/www.cisco.com - PASSTHRU_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting  -

1252543668.375 1 10.66.71.105 TCP_DENIED/403 1578 CONNECT tunnel://www.cisco.com:443/ - NONE/- - DROP_WBRS-DefaultGroup-test.id-NONE-NONE-NONE  -

関連コンテンツ

AsyncOS 15.0 for Cisco Secure Web Applianceユーザガイド – GD（一般導入）

アクセスログのパフォーマンスパラメータの設定 – Cisco