Entender o formato do registro de acesso HTTPS no Secure Web Appliance

Introdução

Este documento descreve os logs de acesso do Secure Web Appliance (SWA) para o tráfego HTTPS.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• SWA físico ou virtual instalado.
• Licença ativada ou instalada.
• Acesso Secure Shell (SSH) ao SWA.
• O assistente de configuração do sistema foi concluído.

• Acesso administrativo ao SWA.

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

A forma como o tráfego HTTPS é registrado nos logs de acesso SWA difere do tráfego HTTP normal

Note: Os logs dependem do modo de implantação do proxy. No modo de encaminhamento explícito ou no modo transparente, os logs são diferentes.

Palavras-chave nos registros de acesso 

Aqui estão algumas palavras-chave importantes que você pode ver nos registros de acesso:

TCP_CONNECT : Mostra que o tráfego foi recebido de forma transparente (via Web Cache Communication Protocol - WCCP, redirecionamento da Camada 4 ou outros métodos de redirecionamento transparente)
CONNECT: Isso mostra que o tráfego foi recebido explicitamente.
DESCRIPTOGRAFAR_WBRS : Mostra que o SWA descriptografou o tráfego devido à pontuação do Web Reputation Score (WBRS).
PASSTHRU_WBRS : Isso mostra que o SWA passou pelo tráfego devido à pontuação WBRS.
DROP_WBRS: Isso mostra que o SWA tem a opção Drop the traffic due to WBRS score (Descartar o tráfego devido à pontuação WBRS)

Logs HTTPS nos logs de acesso

Quando o tráfego HTTPS é descriptografado, o WSA registra duas entradas.

• TCP_CONNECT tunnel:// ou CONNECT tunnel:// depende do tipo de solicitação recebida, o que significa que o tráfego está criptografado ( ainda não foi descriptografado ). 
• GET https:// mostra o URL descriptografado.

Note: A URL completa no modo transparente só estará visível se o SWA descriptografar o tráfego.

1706174571.215 582 10.61.70.23 TCP_MISS_SSL/200 39 CONNECT tunnel://www.cisco.com:443/ - DIRECT/www.cisco.com - DECRYPT_WEBCAT_7-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"IW_ref",3.7,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"IW_ref",-,"-","Reference","-","Unknown","Unknown","-","-",0.54,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - -
1706174571.486 270 10.61.70.23 TCP_MISS_SSL/200 1106 GET https://www.cisco.com:443/ - DIRECT/www.cisco.com text/html DEFAULT_CASE_12-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"IW_ref",3.7,1,"-",0,0,0,1,"-",-,-,-,"-",1,-,"-","-",-,-,"IW_ref",-,"Unknown","Reference","-","Unknown","Unknown","-","-",32.77,0,-,"Unknown","-",1,"-",-,-,"-","-",-,-,"-",-,-> - - 

Note: No modo transparente, o SWA tem o endereço IP de destino inicialmente quando o tráfego é redirecionado para ele.

Aqui estão alguns exemplos do que você vê nos logs de acesso:`

1252543170.769 386 192.168.30.103 TCP_MISS_SSL/200 0 TCP_CONNECT 192.168.34.32:443/ - DIRECT/192.168.34.32 -     DECRYPT_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,5.0,-,-,-,-,-,-,-,-,-,-,-,-,-> -

1252543171.166 395 192.168.30.103 TCP_MISS_SSL/200 2061 GET https://www.cisco.com:443/sample.gif - DIRECT/192.168.34.32 image/gif DEFAULT_CASE-test.policy-test.id-NONE-NONE-NONE <Sear,5.0,0,-,-,-,-,0,-,-,-,-,-,-,-> -

1252543337.373 690 192.168.30.103 TCP_MISS/200 2044 TCP_CONNECT 192.168.34.32:443/ - DIRECT/192.168.34.32 - PASSTHRU_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,9.0,-,-,-,-,-,-,-,-,-,-,-,-,-> -

1252543418.175 430 192.168.30.103 TCP_DENIED/403 0 TCP_CONNECT  192.168.34.32:443/ - DIRECT/192.168.34.32 - DROP_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,-9.1.0,-,-,-,-,-,-,-,-,-,-,-,-,-> -

252543558.405 385 10.66.71.105 TCP_CLIENT_REFRESH_MISS_SSL/200 40 CONNECT tunnel://www.cisco.com:443/ - DIRECT/www.cisco.com - DECRYPT_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,5.0,-,-,-,-,-,-,-,-,-,-,-,-,-> -



1252543559.535 1127 10.66.71.105 TCP_MISS_SSL/200 2061 GET https://www.cisco.com:443/sample.gif - DIRECT/www.cisco.com image/gif DEFAULT_CASE-test.policy-test.id-NONE-NONE-NONE <Sear,5.0,0,-,-,-,-,0,-,-,-,-,-,-,-> -

1252543491.302 568 10.66.71.105 TCP_CLIENT_REFRESH_MISS/200 2256 CONNECT tunnel://www.cisco.com:443/ - DIRECT/www.cisco.com - PASSTHRU_WBRS-DefaultGroup-test.id-NONE-NONE-DefaultRouting <Sear,9.0,-,-,-,-,-,-,-,-,-,-,-,-,-> -

1252543668.375 1 10.66.71.105 TCP_DENIED/403 1578 CONNECT tunnel://www.cisco.com:443/ - NONE/- - DROP_WBRS-DefaultGroup-test.id-NONE-NONE-NONE <C_Sea,-9.1,-,-,-,-,-,-,-,-,-,-,-,-,-> -

Conteúdo relacionado

Guia do usuário do AsyncOS 15.0 para Cisco Secure Web Appliance - GD (General Deployment, implantação geral)

Configurar Parâmetro de Desempenho em Logs de Acesso - Cisco