WBNP en SBNP begrijpen
Inhoud
Inleiding
Dit document beschrijft de achterwaartse route van telemetriegegevens naar Cisco en Talos.
Achtergrondinformatie
De Cisco Web and Email Content Security-producten kunnen telemetriegegevens teruggeven aan Cisco en Talos om de effectiviteit van webcategorisatie in de Web Security Appliance (WSA) te verhogen en de IP-reputatie voor de Email Security Appliance (ESA) te verbinden.
De telemetriegegevens worden op opt-in-basis verstrekt aan de WSA en het ESA.
De gegevens worden verzonden via binaire gecodeerde SSL-gecodeerde pakketten. De bijgevoegde bijlagen geven inzicht in de gegevens, specifieke opmaak en beschrijvingen voor de gegevens die worden verzonden.
WebBase Network Participation (WBNP) en SenderBase Network Participation (SBNP) gegevens zijn niet zichtbaar in een direct log of bestandsformaat. Deze gegevens worden in gecodeerde vorm verzonden. Op geen enkel moment zijn deze gegevens 'in rust'.
WSA - WebBase Network Participation
Cisco erkent het belang van het handhaven van uw privacy en verzamelt of gebruikt geen persoonlijke of vertrouwelijke informatie zoals gebruikersnamen en wachtwoordgroepen. Bovendien worden de bestandsnamen en URL-kenmerken die bij de hostnaam zijn inbegrepen, verduisterd om de vertrouwelijkheid te garanderen.
Als het gaat om gedecodeerde HTTPS-transacties, ontvangt het SensorBase-netwerk alleen het IP-adres, de webreputatiescore en de URL-categorie van de servernaam in het certificaat.
Raadpleeg voor volledige informatie de WSA-gebruikershandleiding voor de versie van AsyncOS for Web Security die momenteel op uw apparaat wordt uitgevoerd.
Zie Het Cisco SensorBase-netwerk in de ESA-gebruikershandleiding.
ESA - Deelname van het SenderBase-netwerk
Als u deelneemt aan het SenderBase-netwerk, staat u Cisco toe om geaggregeerde e-mailverkeersstatistieken over uw organisatie te verzamelen, waardoor het nut van de service voor alle gebruikers toeneemt. Deelname is vrijwillig. Cisco verzamelt alleen overzichtsgegevens over berichtkenmerken en informatie over hoe verschillende soorten berichten werden verwerkt door Cisco-apparaten. Cisco verzamelt bijvoorbeeld niet de tekst van het bericht of het onderwerp van het bericht. Persoonlijk identificeerbare informatie en informatie die uw organisatie identificeert, wordt vertrouwelijk gehouden.
Voor volledige informatie raadpleegt u de ESA-gebruikershandleiding voor de versie van AsyncOS for ESA Security die momenteel op uw toestel wordt uitgevoerd.
Raadpleeg het hoofdstuk Deelname aan het SenderBase-netwerk in de handleiding.
Veelgestelde vragen over algemene beveiligingsproblemen
| Vraag: | Waar worden de verzamelde gegevens opgeslagen? |
| Antwoord: | Toesteltelemetrie wordt opgeslagen in Amerikaanse datacenters van Cisco. |
| Vraag: | Wie heeft toegang tot de verzamelde en opgeslagen gegevens? |
| Antwoord: | Toegang is beperkt tot Cisco SBG-personeel dat de gegevens analyseert/gebruikt om bruikbare intelligentie te creëren. |
| Vraag: | Wat is de bewaartijd van de verzamelde gegevens? |
| Antwoord: | Er is geen beleid voor het bewaren/verlopen van gegevens met betrekking tot telemetrie van het apparaat. Gegevens kunnen voor onbepaalde tijd worden bewaard of kunnen om verschillende redenen worden verwijderd, waaronder maar niet beperkt tot downsampling / aggregatie, opslagbeheer, leeftijd, relevantie voor huidige / toekomstige bedreigingen, enzovoort. |
| Vraag: | Worden serienummers van klanten of openbare IP-adressen opgeslagen in de Talos-categorisatiedatabase? |
| Antwoord: | Nee, alleen URL en categorieën blijven behouden. Het WBNP-pakket bevat geen bron-IP-informatie. |
operatie
In dit gedeelte worden de werking, het type gegevens (per beschrijving) en een steekproefgegevens beschreven om de informatie aan te tonen die zou worden verzonden:
- SBNP - Specifieke gegevenstypen (velden) en voorbeeldgegevens met betrekking tot e-mailbeveiliging
- WBNP - Specifieke gegevenstypen (velden) en voorbeeldgegevens met betrekking tot webbeveiliging
- Threat Detection Operation - Algemeen overzicht van Threat Detection vanuit een operationeel perspectief
Deelname aan het SenderBase-netwerk (e-mail)
Statistieken gedeeld per e-mailapparaat
| Item | voorbeeldgegevens |
| MGA-id | MGA 10012 |
| tijdstempel | Gegevens van 08:05 tot 08:05 op 1 juli 2005 |
| Softwareversienummers | MGA versie 4.7.0 |
| Versienummers regelset | Anti-spam regelset 102 |
| Antivirus-updateinterval | Updates elke 10 minuten |
| Quarantainegrootte | 500 MB |
| Aantal quarantaineberichten | 50 berichten momenteel in quarantaine |
| Drempelwaarde virusscore | Stuur berichten naar quarantaine op dreigingsniveau 3 of hoger |
| Som van virusscores voor berichten die in quarantaine worden geplaatst | 120 |
| Aantal berichten dat in quarantaine wordt geplaatst | 30 (gemiddelde score van 4) |
| Maximale quarantainetijd | 12 uur |
| Aantal uitbraak-quarantaineberichten uitgesplitst naar de reden waarom ze in quarantaine zijn gegaan en deze hebben verlaten, gecorreleerd aan het antivirusresultaat | 50 Het invoeren van quarantaine als gevolg van .exe regel 30 verlaten quarantaine als gevolg van handmatige release, en alle 30 waren virus positief |
| Aantal uitbraak-quarantaineberichten uitgesplitst naar welke actie werd ondernomen bij het verlaten van de quarantaine | 10 berichten hadden bijlagen ontdaan na het verlaten van de quarantaine |
| Sum van tijd berichten werden gehouden in quarantaine | 20 uur |
Gedeelde statistieken per IP-adres
| Item |
voorbeeldgegevens |
standaarddeelname |
Beperkte deelname |
| Telling van berichten in verschillende fasen van het apparaat |
Gemaakt door Anti-Virus Engine: 100 |
||
| Som van anti-spam en anti-virus scores en vonnissen |
2.000 (som van anti-spam scores voor alle geziene berichten) |
||
| Aantal berichten dat verschillende combinaties van antispam- en antivirusregels raakt |
100 berichten raken regels A en B |
||
| Aantal aansluitingen |
20 SMTP-verbindingen |
||
| Aantal totale en ongeldige ontvangers |
50 totale ontvangers |
||
| Gehashte bestandsnaam(en): (a) |
Een bestand <one-way-hash>.pif werd gevonden in een archiefbijlage genaamd <one-way-hash>.zip. |
Onduidelijke bestandsnaam |
Gehashte bestandsnaam |
| Verduisterde bestandsnaam(en): (b) |
Een bestand aaaaaaa0.aaa.pif werd gevonden in een bestand aaaaaaa.zip. |
Onduidelijke bestandsnaam |
Verduisterde bestandsnaam |
| URL Hostnaam (c) |
Er is een link gevonden in een bericht naar www.domain.com |
Onduidelijke URL-hostnaam |
Verduisterde URL-hostnaam |
| Verduisterd URL-pad (d) |
Er werd een link gevonden in een bericht naar hostnaam www.domain.com, en had pad aaa000aa/aa00aaa. |
Onduidelijk URL-pad |
Verduisterd URL-pad |
| Aantal berichten per spam en virusscanresultaten |
10 spam positief |
| Aantal berichten door verschillende anti-spam en anti-virus vonnissen |
500 spam, 300 ham |
||
| Aantal berichten in groottebereiken |
125 in 30K-35K bereik |
||
| Aantal verschillende extensietypen |
300 ".exe"-bijlagen |
||
| Correlatie tussen bijlagen, het ware bestandstype en het containertype |
100 bijlagen die een ".doc" extensie hebben maar eigenlijk ".exe" zijn |
||
| Correlatie van extensie en ware bestandstype met bijlage grootte |
30 bijlagen waren ".exe" binnen het 50-55K bereik |
||
| Aantal berichten door Stochastic Sampling resultaten |
14 berichten overgeslagen sampling |
||
| Aantal berichten waarvoor de DMARC-verificatie is mislukt |
34 berichten hebben DMARC-verificatie mislukt |
Opmerkingen:
Bestandsnamen zijn gecodeerd in een 1-weg hash (MD5).
(b) Bestandsnamen worden verzonden in een verduisterde vorm, met alle kleine letters ASCII ([a-z]) vervangen door "a", alle hoofdletters ASCII ([A-Z]) vervangen door "A", alle multi-byte UTF-8 tekens vervangen door "x" (om privacy te bieden voor andere tekensets), alle ASCII-cijfers ([0-9]) vervangen.
(c) URL-hostnamen verwijzen naar een webserver die inhoud biedt, net als een IP-adres. Er worden geen vertrouwelijke gegevens, zoals gebruikersnamen en wachtwoorden, opgenomen.
(d) URL-informatie die bij de hostnaam is inbegrepen, wordt verduisterd om ervoor te zorgen dat persoonlijke informatie van de gebruiker niet wordt onthuld.
Gedeelde statistieken per SDS-client
| Item |
voorbeeldgegevens |
| tijdstempel |
|
| Clientversie |
|
| Aantal verzoeken aan de klant |
|
| Aantal aanvragen van de SDS-client |
|
| Tijdsresultaten voor DNS-opzoekingen |
|
| Resultaten responstijd server |
|
| Tijd om verbinding te maken met de server |
|
| Aantal aansluitingen vastgesteld |
|
| Aantal gelijktijdige open verbindingen met server |
|
| Aantal serviceaanvragen voor WBRS |
|
| Aantal aanvragen dat lokale WBRS-cache heeft bereikt |
|
| Grootte van lokale WBRS-cache |
|
| Resultaten van responstijd van externe WBRS |
AMP SBNP-telemetriegegevens
| formaat |
voorbeeldgegevens |
| amp_verdicts' : {"verdict", "spyname", "score", "uploaded", "file_name"), |
|
| ("verdict", "spyname", "score", "uploaded", "file_name"), |
|
| ("verdict", "spyname", "score", "uploaded", "file_name"), |
|
| ..... |
|
| ("verdict", "spyname", "score", "uploaded", "file_name"), |
|
| } |
|
| Beschrijving |
|
| - Vonnis van de AMP reputatie query |
Kwaadwillig/schoon/onbekend |
| Spyname - Naam van de gedetecteerde malware |
[Trojan-test] |
| Score - AMP toegewezen reputatiescore |
[1-100 ] |
| Uploaden - AMP cloud aangegeven om het bestand te uploaden |
1 |
| Bestandsnaam - Naam van de bestandsbijlage |
abcd.pdf |
WebBase (Web)-netwerkdeelname
Statistieken gedeeld per webaanvraag
| Item |
voorbeeldgegevens |
standaarddeelname |
Beperkte deelname |
| Versie |
Coeus 7.7.0-608 |
||
| serienummer |
|||
| SBNP-bemonsteringsfactor (volume) |
|||
| SBNP-bemonsteringsfactor (percentage) |
1 |
||
| IP-adres en -poort van bestemming |
onoverzichtelijke URL-padsegmenten |
gehashte URL-padsegmenten |
|
| Anti-Spyware gekozen malware categorie |
overgeslagen |
||
| WBRS-score |
4.7 |
||
| Uitspraak McAfee-malware |
|||
| Referentie-URL |
onoverzichtelijke URL-padsegmenten |
gehashte URL-padsegmenten |
|
| Type-ID inhoud |
|||
| ACL Decision Tag |
0 |
||
| Legacy-webcategorisatie |
|||
| CIWUC-webcategorie en beslissingsbron |
{'src': 'req', 'cat': '1026'} |
||
| AVC-app-naam |
Advertenties en tracking |
||
| Type AVC-app |
advertentienetwerken |
||
| AVC-appgedrag |
onveilig |
||
| Interne AVC-resultaattracering |
[0,1,1,1 ] |
||
| Tracking van gebruikersagent via geïndexeerde gegevensstructuur |
3 |
Geavanceerde Malware Statistieken per Web Request
| AMP-statistieken |
|
| - Vonnis van de AMP reputatie query |
Kwaadwillig/schoon/onbekend |
| Spyname - Naam van de gedetecteerde malware |
[Trojan-test] |
| Score - AMP toegewezen reputatiescore |
[1-100 ] |
| Uploaden - AMP cloud aangegeven om het bestand te uploaden |
1 |
| Bestandsnaam - Naam van de bestandsbijlage |
abcd.pdf |
Statistieken voor feedback van eindgebruikers
| Statistieken gedeeld per eindgebruiker Miscategorisatie Feedback |
|
| Item |
voorbeeldgegevens |
| Motor-ID (numeriek) |
0 |
| Legacy Web Categorisatiecode |
|
| CIWUC-webcategorisatiebron |
"RESP" / "REQ" |
| CIWUC-webcategorie |
1026 |
Voorbeeldgegevens verstrekt – standaarddeelname
# categorized
"http://google.com/": { "wbrs": "5.8",
"fs": {
"src": "req",
"cat": "1020"
},
}
# uncategorized
"http://fake.example.com": { "fs": {
"cat": "-"
},
}
Voorbeeldgegevens verstrekt – beperkte deelname
- Oorspronkelijk verzoek van klant: www.gunexams.com/Non-Restricted-FREE-Practice-Exams
- Bericht gelogd (in telemetrieserver): http://www.gunexams.com/76bd845388e0
Volledige WBNP-decodering
Statistieken gedeeld per Cisco-apparaat:
| Item |
voorbeeldgegevens |
| Versie |
Coeus 7.7.0-608 |
| Serienummer |
0022190B6ED5-XYZ1YZ2 |
| Model |
S660 |
| Webroot ingeschakeld |
1 |
| AVC ingeschakeld |
1 |
| Sophos ingeschakeld |
0 |
| Categorisatie van antwoordzijde ingeschakeld |
1 |
| Anti-Spyware Engine ingeschakeld |
Standaard-2001005008 |
| Anti-Spyware SSE versie |
Standaard-2001005008 |
| Anti-Spyware Spycat Definitions versie |
Standaard-8640 |
| Anti-Spyware URL Blocklist DAT versie |
|
| Anti-Spyware URL Phishing DAT versie |
|
| Anti-Spyware Cookies DAT versie |
|
| Antispywaredomein blokkeren ingeschakeld |
0 |
| Dreigingsdrempel voor antispywaredreiging |
90 |
| McAfee ingeschakeld |
0 |
| McAfee Engine-versie |
|
| McAfee DAT-versie |
Standaard-5688 |
| WBNP-detailniveau |
2 |
| WBRS-motorversie |
FreeBSD6-I386-300036 |
| WBRS-componentversies |
Categorieën=V2-1337979188, IP=default-1379460997, keyword=V2-1312487822, prefixcat=V2-1379460670, rule=default-1358979215 |
| drempelwaarde voor WBRS-blokkering |
-6 |
| drempelwaarde voor WBRS-toelatingslijst |
6 |
| WBRS ingeschakeld |
1 |
| Veilige mobiliteit ingeschakeld |
0 |
| L4 Verkeersmonitor ingeschakeld |
0 |
| L4 Verkeersmonitor, versie van de blokkeringslijst |
standaard-0 |
| L4 Verkeersmonitor Beheerdersblokkering |
|
| L4 Traffic Monitor Admin Blocklist-poorten |
|
| L4 Verkeersmonitor Allowlist |
|
| L4 Verkeersmonitor Toegestane poorten |
|
| SBNP-bemonsteringsfactor |
0.25 |
| SBNP-bemonsteringsfactor (volume) |
0.1 |
| SurfControl SDK-versie (legacy) |
standaard-0 |
| SurfControl Volledige Database versie (legacy) |
standaard-0 |
| SurfControl Local Incremental Accumulation-bestandsversie (legacy) |
standaard-0 |
| Firestone Engine-versie |
Standaard-210016 |
| Firestone DAT-versie |
v2-310003 |
| AVC Engine versie |
Standaard-110076 |
| AVC DAT-versie |
Standaard-1377556980 |
| Sophos Engine versie |
Standaard-1310963572 |
| Sophos DAT-versie |
standaard-0 |
| Adaptief scannen ingeschakeld |
0 |
| Drempelwaarde voor de risicoscore voor adaptieve scans |
[10, 6, 3] |
| drempelwaarde voor de belastingsfactor voor adaptieve scanning |
[5, 3, 2] |
| SOKKEN ingeschakeld |
0 |
| Totaal transacties |
| Totaal transacties |
|
| Totaal toegestane transacties |
|
| Totaal aantal gedetecteerde malwaretransacties |
|
| Totaal aantal transacties geblokkeerd door beheerdersbeleid |
|
| Totale transacties geblokkeerd door WBRS-score |
|
| Totaal transacties met een hoog risico |
|
| Totaal aantal transacties gedetecteerd door Traffic Monitor |
|
| Totale transacties met IPv6-clients |
|
| Totale transacties met IPv6-servers |
|
| Totaal aantal transacties met SOCKS-proxy |
|
| Totaal aantal transacties van externe gebruikers |
|
| Totaal aantal transacties van lokale gebruikers |
|
| Totaal toegestane transacties met SOCKS-proxy |
|
| Totaal aantal transacties van lokale gebruikers toegestaan met SOCKS-proxy |
|
| Totale transacties van externe gebruikers toegestaan met SOCKS-proxy |
|
| Totaal aantal transacties geblokkeerd met SOCKS-proxy |
|
| Totale transacties van lokale gebruikers geblokkeerd met SOCKS-proxy |
|
| Totale transacties van externe gebruikers geblokkeerd met SOCKS-proxy |
| Seconden sinds laatste herstart |
2843349 |
| CPU-gebruik (%) |
9.9 |
| RAM-gebruik (%) |
55.6 |
| Gebruik van vaste schijf (%) |
57.5 |
| Bandbreedtegebruik (per seconde) |
15307 |
| TCP-verbindingen openen |
2721 |
| Transacties per seconde |
264 |
| Latentie van client |
163 |
| Cache hit rate |
21 |
| Proxy CPU-gebruik |
17 |
| WBRS WUC CPU-gebruik |
2.5 |
| CPU-gebruik vastleggen |
3.4 |
| CPU-gebruik rapporteren |
3.9 |
| Webroot CPU-gebruik |
0 |
| CPU-gebruik van Sophos |
0 |
| McAfee CPU-gebruik |
0 |
| Uitvoer van het VMSTAT-hulpprogramma (VMSTAT –Z, VMSTAT –M) |
|
| Aantal geconfigureerde toegangsbeleidsregels |
32 |
| Aantal geconfigureerde aangepaste webrubrieken |
32 |
| Authenticatieprovider |
Basis, NTLMSSP |
| Verificatieruimten |
Hostnaam, protocol en andere configuratie-elementen van de verificatieprovider |
Statistieken gedeeld per webaanvraag
| Item |
voorbeeldgegevens |
standaarddeelname |
Beperkte deelname |
| Versie |
Coeus 7.7.0-608 |
||
| serienummer |
|||
| SBNP-bemonsteringsfactor (volume) |
|||
| SBNP-bemonsteringsfactor (percentage) |
1 |
||
| IP-adres en -poort van bestemming |
onoverzichtelijke URL-padsegmenten |
gehashte URL-padsegmenten |
|
| Anti-Spyware gekozen malware categorie |
overgeslagen |
||
| WBRS-score |
4.7 |
||
| Uitspraak McAfee-malware |
|||
| Referentie-URL |
onoverzichtelijke URL-padsegmenten |
gehashte URL-padsegmenten |
|
| Type-ID inhoud |
|||
| ACL Decision Tag |
0 |
||
| Legacy-webcategorisatie |
|||
| CIWUC-webcategorie en beslissingsbron |
{'src': 'req', 'cat': '1026'} |
||
| AVC-app-naam |
Advertenties en tracking |
||
| Type AVC-app |
advertentienetwerken |
||
| AVC-appgedrag |
onveilig |
||
| Interne AVC-resultaattracering |
[0,1,1,1 ] |
||
| Tracking van gebruikersagent via geïndexeerde gegevensstructuur |
3 |
Geavanceerde Malware Statistieken per Web Request
| AMP-statistieken |
|
| - Vonnis van de AMP reputatie query |
Kwaadwillig/schoon/onbekend |
| Spyname - Naam van de gedetecteerde malware |
[Trojan-test] |
| Score - AMP toegewezen reputatiescore |
[1-100 ] |
| Uploaden - AMP cloud aangegeven om het bestand te uploaden |
1 |
| Bestandsnaam - Naam van de bestandsbijlage |
abcd.pdf |
Statistieken voor feedback van eindgebruikers
| Statistieken gedeeld per eindgebruiker Miscategorisatie Feedback |
|
| Item |
voorbeeldgegevens |
| Motor-ID (numeriek) |
0 |
| Legacy Web Categorisatiecode |
|
| CIWUC-webcategorisatiebron |
"RESP" / "REQ" |
| CIWUC-webcategorie |
1026 |
Talos-detectie-inhoud
Gericht op bedreiging
Gerelateerde informatie
- Cisco Web Security Appliance - Productpagina
- Cisco Email Security Appliance - Productpagina
- Technische ondersteuning en documentatie – Cisco Systems
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
3.0 |
11-Aug-2026
|
Bijgewerkte koppelingen en tekst om deze aan te passen aan de publicatienormen van Cisco. |
1.0 |
22-Apr-2016
|
Eerste vrijgave |
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)