Contents

Perguntas frequentes sobre Web Reputation score (WBRS) e Web Categorization Engine (FAQ).

Qual é o significado da pontuação do Web Reputation?

O que significa categorização da Web?

Como encontrar pontuação de reputação nos registros de acesso?

Como encontrar pontuação de reputação em meus relatórios?

Onde você verifica os logs de atualização da Pontuação de reputação baseada na Web (WBRS)?

Como você verifica se tem conectividade com servidores Web Reputation Score (WBRS)?

Como você arquiva uma disputa pela categorização da Web?

Como você arquiva disputa por pontuação do Web Reputation?

Uma disputa foi arquivada, mas a pontuação ou categoria não está sendo atualizada no Cisco Web Security Appliance (WSA) ou no Cisco TALOS.

Cisco Web Security Appliance (WSA) mostrando resultados diferentes do Cisco TALOS, como corrigir isso?

Como as pontuações do Web Reputation estão sendo calculadas?

Qual é a faixa de pontuação para cada uma das categorias de reputação (boa, neutra, ruim)?

Intervalos do Web Reputation e suas ações associadas:

Políticas de acesso:

Políticas de descriptografia:

Políticas de segurança de dados da Cisco:

O que significa site sem categoria?

Como você bloqueia URLS sem categoria?

Com que frequência o banco de dados é atualizado?

Como listar uma URL na lista branca/negra?

Perguntas frequentes sobre Web Reputation score (WBRS) e Web Categorization Engine (FAQ).

Este artigo descreve as perguntas mais frequentes sobre a pontuação do Web Reputation (WBRS) e o recurso de categorização com o Cisco Web Security Appliance (WSA).

Qual é o significado da pontuação do Web Reputation?

Os filtros do Web Reputation atribuem uma pontuação de reputação baseada na Web (WBRS) a um URL para determinar a probabilidade de que ele contenha malware baseado em URL. O Web Security appliance usa pontuações de reputação da Web para identificar e interromper ataques de malware antes que eles ocorram. Você pode usar filtros do Web Reputation com políticas de acesso, descriptografia e segurança de dados da Cisco.

O que significa categorização da Web?

Os sites da Internet são categorias baseadas no comportamento e na finalidade desses sites, para facilitar a tarefa dos administradores dos proxies, adicionamos cada URL de site a uma categoria predefinida, na qual ele pode ser identificado para fins de segurança e geração de relatórios. os sites que não pertencem a uma das categorias predefinidas são chamados de sites sem categoria, que podem ser devido à criação de novos sites e à falta de dados/tráfego suficientes para determinar sua categoria. e isso muda com o tempo.

Como encontrar pontuação de reputação nos registros de acesso?

Cada solicitação que você está fazendo por meio do Cisco Web Security Appliance (WSA) deve ter uma pontuação WBRS (Web-Based Reputation Score) e uma categoria de URL conectada a ela. e uma das maneiras de visualizá-lo é através dos registros de acesso, o exemplo é abaixo: a pontuação WBRS (Web-Based Reputation Score) é (-1.4) e a categoria de URL é: Computadores e Internet.

Referência de texto para a captura de tela acima.

1563214694.033 117 xx.xx.xx.xx TCP_MISS/302 1116 GET https://example.com - DIRECT/example.com text/html DEFAULT_CASE_12-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE

-1.4

,0,"-",0,0,0,-,"-",-,-,-,"-",-,-,"-","-",-,-,IW_comp,-,"-","-","Unknown","Unknown","-","-",76.31,0,-,"Unknown","-",-,"-",-,-,"-","-",-,-,"-",-> -

Notas:

- Os registros de acesso podem ser visualizados na CLI (Command Line Interface, interface de linha de comando) ou baixados por meio da conexão usando o método FTP (File Transfer Protocol, protocolo de transferência de arquivos) no IP da interface de gerenciamento. (certifique-se de que o FTP esteja ativado na interface).

- Lista completa de categorias Abreviação: https://www.cisco.com/c/en/us/td/docs/security/wsa/wsa11-7/user_guide/b_WSA_UserGuide_11_7/b_WSA_UserGuide_11_7_chapter_01001.html#con_1208638

Como encontrar pontuação de reputação em meus relatórios?

1. Navegue até a GUI do Cisco Web Security Appliance (WSA) -> Reporting -> Web Tracking.

2. Procure o domínio que você está procurando.

3. Na página Resultados, clique no link necessário e mais detalhes aparecerão como abaixo.

Onde você verifica os logs de atualização da Pontuação de reputação baseada na Web (WBRS)?

Os registros de atualizações da Pontuação de Reputação Baseada na Web (WBRS) podem ser encontrados em updater_logs, você pode fazer o download desses registros através do login do Protocolo de Transferência de Arquivos (FTP - File Transfer Protocol) na interface de gerenciamento. ou via CLI (Command Line Interface, interface de linha de comando).

Para exibir registros usando terminal:

1. Abrir terminal.

2. Digite a cauda do comando.

3. Escolha o número dos registros (varia dependendo da versão e do número de registros configurados).

4. Os registros serão exibidos.

WSA.local (SERVICE)> tail

Currently configured logs:

1. "xx.xx.xx.xx" Type: "Configuration Logs" Retrieval: FTP Push - Host

xx.xx.xx.xx

2. "Splunk" Type: "Access Logs" Retrieval: FTP Poll

3. "accesslogs" Type: "Access Logs" Retrieval: FTP Push - Host xx.xx.xx.xx

4. "amp_logs" Type: "AMP Engine Logs" Retrieval: FTP Poll

5. "archiveinspect_logs" Type: "ArchiveInspect Logs" Retrieval: FTP Poll

....

43. "uds_logs" Type: "UDS Logs" Retrieval: FTP Poll

44. "updater_logs" Type: "Updater Logs" Retrieval: FTP Poll

45. "upgrade_logs" Type: "Upgrade Logs" Retrieval: FTP Poll

46. "wbnp_logs" Type: "WBNP Logs" Retrieval: FTP Poll

47. "webcat_logs" Type: "Web Categorization Logs" Retrieval: FTP Poll

48. "webrootlogs" Type: "Webroot Logs" Retrieval: FTP Poll

49. "webtapd_logs" Type: "Webtapd Logs" Retrieval: FTP Poll

50. "welcomeack_logs" Type: "Welcome Page Acknowledgement Logs" Retrieval: FTP

Poll

Enter the number of the log you wish to tail.

[]> 44

Press Ctrl-C to stop scrolling, then `q` to quit.

Mon Jul 15 19:24:04 2019 Info: mcafee updating the client manifest

Mon Jul 15 19:24:04 2019 Info: mcafee update completed

Mon Jul 15 19:24:04 2019 Info: mcafee waiting for new updates

Mon Jul 15 19:36:43 2019 Info: wbrs preserving wbrs for upgrades

Mon Jul 15 19:36:43 2019 Info: wbrs done with wbrs update

Mon Jul 15 19:36:43 2019 Info: wbrs verifying applied files

Mon Jul 15 19:36:58 2019 Info: wbrs Starting heath monitoring

Mon Jul 15 19:36:58 2019 Info: wbrs Initiating health check

Mon Jul 15 19:36:59 2019 Info: wbrs Healthy

Mon Jul 15 19:37:14 2019 Info: wbrs Initiating health check

Mon Jul 15 19:37:15 2019 Info: wbrs Healthy

Mon Jul 15 19:37:30 2019 Info: wbrs Initiating health check

Mon Jul 15 19:37:31 2019 Info: wbrs Healthy

Mon Jul 15 19:37:46 2019 Info: wbrs Initiating health check

Mon Jul 15 19:37:47 2019 Info: wbrs Healthy

Mon Jul 15 19:38:02 2019 Info: wbrs updating the client manifest

Mon Jul 15 19:38:02 2019 Info: wbrs update completed

Mon Jul 15 19:38:03 2019 Info: wbrs waiting for new updates

Mon Jul 15 20:30:23 2019 Info: Starting scheduled release notification fetch

Mon Jul 15 20:30:24 2019 Info: Scheduled next release notification fetch to occur at Mon Jul 15 23:30:24 2019

Mon Jul 15 23:30:24 2019 Info: Starting scheduled release notification fetch

Mon Jul 15 23:30:25 2019 Info: Scheduled next release notification fetch to occur at Tue Jul 16 02:30:25 2019

Como verificar se você tem conectividade com Pontuação de reputação baseada na Web (WBRS) atualiza servidores?

Para garantir que o Cisco Web Security Appliance (WSA) possa obter as novas atualizações. verifique se você tem a conectividade com os servidores da atualização da Cisco nas seguintes portas TCP (Transmission Control Protocol) 80 e 443:

wsa.local (SERVICE)> telnet updates.ironport.com 80

Trying xx.xx.xx.xx...

Connected to updates.ironport.com.

Escape character is '^]'.

wsa.calo (SERVICE)> telnet upgrades.ironport.com 80

Trying xx.xx.xx.xx...

Connected to upgrades.ironport.com.

Escape character is '^]'.

Note: Se você tiver algum proxy de upstream, faça os testes acima por meio do proxy de upstream.

Como você arquiva uma disputa pela categorização da Web?

Depois de verificar se o Cisco Web Security Appliance (WSA) e o Cisco TALOS têm a mesma pontuação de reputação, mas ainda assim você acha que esse não é um resultado válido, isso precisa ser corrigido enviando uma disputa com a equipe do Cisco TALOS.

Isso pode ser feito usando o seguinte link: https://talosintelligence.com/reputation_center/support

Para enviar o litígio, siga as instruções abaixo.

Resulta após a pesquisa e a opção de alterar manualmente a pontuação.

Note: Os envios do Cisco TALOS podem levar algum tempo para serem refletidos no banco de dados, se o problema for urgente, você sempre poderá criar um WHITELIST ou BLOCKLIST, como uma solução alternativa até que o problema seja corrigido do back-end da Cisco. para fazer isso, você pode marcar esta seção (Como fazer lista branca ou URL da lista negra).

Como você arquiva disputa por pontuação do Web Reputation?

Depois de verificar se o Cisco Web Security Appliance (WSA) e o Cisco TALOS têm a mesma Categorização, mas ainda assim você acha que esse não é um resultado válido, isso precisa ser corrigido enviando uma disputa com a equipe do Cisco TALOS.

Acesse a página de envio de categorização no site do TALOS: https://talosintelligence.com/reputation_center/support#categorization

Para enviar o litígio, siga as instruções abaixo.

Para atualizar a Categoria, escolha no menu suspenso o que você acha que ele se encaixa melhor no site e certifique-se de seguir as diretrizes de comentários.

Uma disputa foi arquivada, mas a pontuação ou categoria não está sendo atualizada no Cisco Web Security Appliance (WSA) ou no Cisco TALOS.

Caso tenha registrado um caso no Cisco TALOS e a reputação/pontuação não tenha sido atualizada em 3 a 4 dias. você pode verificar as configurações das atualizações e verificar se tem acesso ao servidor de atualização da Cisco. se todas essas etapas estiverem ok, você pode abrir um tíquete com o Cisco TAC, e o engenheiro da Cisco ajudará você a acompanhar a equipe do Cisco TALOS.

Note: você pode aplicar a solução WHITELIST/BLOCKLIST para aplicar a ação necessária até que a categoria/reputação seja atualizada pela equipe do Cisco TALOS.

Cisco Web Security Appliance (WSA) mostrando resultados diferentes do Cisco TALOS, como corrigir isso?

O banco de dados pode estar desatualizado no Cisco Web Security Appliance (WSA) devido a vários motivos, principalmente comunicação com nossos servidores de atualização. Siga estas etapas para verificar se você tem os servidores de atualização e a conectividade corretos.

1. Verifique se você tem a conectividade para os servidores da atualização da Cisco nas portas 80 e 443:

wsa.local (SERVICE)> telnet updates.ironport.com 80

Trying xx.xx.xx.xx...

Connected to updates.ironport.com.

Escape character is '^]'.

wsa.calo (SERVICE)> telnet upgrades.ironport.com 80

Trying xx.xx.xx.xx...

Connected to upgrades.ironport.com.

Escape character is '^]'.

2. Se você tiver algum proxy de upstream, certifique-se de que o proxy de upstream certifique-se de fazer os testes acima através do proxy de upstream.

3. Se a conectividade estiver boa e você ainda vir a diferença, force as atualizações manualmente: atualize agora a partir da CLI, ou a partir da GUI->Serviços de segurança -> Proteção contra malware -> atualizar agora.

Aguarde alguns minutos e, se isso não funcionar, verifique a próxima etapa.

4. Neste ponto, você precisará verificar os updater_logs: terminal aberto: CLI->tail-> (escolha o número do arquivo de log updater_logs.) isso fará com que os logs de atualização exibam apenas as novas linhas.

As linhas de registro devem começar com esta linha "Comando remoto recebido para sinalizar uma atualização manual":

Mon Jul 15 19:14:12 2019 Info: Received remote command to signal a manual update

Mon Jul 15 19:14:12 2019 Info: Starting manual update

Mon Jul 15 19:14:12 2019 Info: Acquired server manifest, starting update 342

Mon Jul 15 19:14:12 2019 Info: wbrs beginning download of remote file "http://updates.ironport.com/wbrs/3.0.0/ip/default/1563201291.inc"

Mon Jul 15 19:14:12 2019 Info: wbrs released download lock

Mon Jul 15 19:14:13 2019 Info: wbrs successfully downloaded file "wbrs/3.0.0/ip/default/1563201291.inc"

Mon Jul 15 19:14:13 2019 Info: wbrs started applying files

Mon Jul 15 19:14:13 2019 Info: wbrs started applying files

Mon Jul 15 19:14:13 2019 Info: wbrs applying component updates

Mon Jul 15 19:14:13 2019 Info: Server manifest specified an update for mcafee

Mon Jul 15 19:14:13 2019 Info: mcafee was signalled to start a new update

Mon Jul 15 19:14:13 2019 Info: mcafee processing files from the server manifest

Mon Jul 15 19:14:13 2019 Info: mcafee started downloading files

Mon Jul 15 19:14:13 2019 Info: mcafee waiting on download lock

5. Verifique se há alguma mensagem de "Crítico/Aviso", os registros de atualização são erros muito legíveis por humanos e, muito provavelmente, o guiará por onde está o problema.

6. Se não houver resposta, você poderá abrir um tíquete com o suporte da Cisco com os resultados das etapas acima e eles terão o prazer de ajudar.

Como as pontuações do Web Reputation estão sendo calculadas?

Alguns dos parâmetros que estão sendo considerados ao atribuir uma pontuação a um site específico:

- Dados de categorização de URL

- Presença de código para download

- Presença de contratos de licença de usuário final (EULAs) longos e obscuros

- Volume global e alterações no volume

- Informações do proprietário da rede

- Histórico de um URL

- Idade de um URL

- Presença em qualquer lista de bloqueio

- Presença em qualquer lista de permissão

- Tipos de URL de domínios populares

- Informações do agente de registro

- informação de endereço IP

Qual é a faixa de pontuação para cada uma das categorias de reputação (boa, neutra, ruim)?

Intervalos do Web Reputation e suas ações associadas:

Políticas de acesso:

Pontuação

Ação

Descrição

Exemplo

-10 a -6.0

(Pobre)

Bloqueio

Site ruim. A solicitação está bloqueada,

e nenhuma outra verificação de malware

ocorre.

- O URL faz o download de informações sem.

- permissão de usuário.

- Aumento repentino no volume de URL.

- URL é um erro de digitação de um domínio popular.

-5.9 a 5.9

(Neutro)

Analisar

Site indeterminado. A solicitação é

passado ao mecanismo DVS para

mais verificação de malware. O

O mecanismo DVS verifica a solicitação

e conteúdo de resposta do servidor.

- URL recém-criada que tem um

- endereço IP dinâmico e contém

- conteúdo para download.

- Endereço IP do proprietário da rede que tem um

- Pontuação positiva do Web Reputation.

6.0 a 10.0

(Bom)

Permissão

Bom local. A solicitação é permitida.

Não é necessária verificação de malware.

- O URL não contém conteúdo para download.

- Domínio republicável de alto volume com histórico longo.

- Domínio presente em várias listas de permissão.

- Nenhum link para URLs com reputação ruim.

Políticas de descriptografia:

Pontuação

Ação

Descrição

-10 a -9.0

(Pobre)

Largar

Site ruim. A solicitação é liberada sem aviso enviado ao usuário final. Uso

essa configuração com cuidado.

-8.9 a 5.9

(Neutro)

Descriptografar

Site indeterminado. A solicitação é permitida, mas a conexão é descriptografada

e as Políticas de acesso são aplicadas ao tráfego descriptografado.

6.0 a 10.0

(Bom)

Passar

Bom local. A solicitação é passada sem nenhuma inspeção ou descriptografia.

Políticas de segurança de dados da Cisco:

Pontuação

Ação

Descrição

-10 a -6.0

(Pobre)

Bloqueio

Site ruim. A transação está bloqueada e não ocorre mais verificação.

-5.9 a 0.0

(Neutro)

Monitor

A transação não será bloqueada com base no Web Reputation e prosseguirá para verificações de conteúdo (tipo e tamanho do arquivo).

Observação Sites sem pontuação são monitorados.

O que significa site sem categoria?

URLS sem categoria são aqueles que o banco de dados da Cisco não tem informações suficientes para confirmar sua categoria. geralmente sites recém-criados.

Como você bloqueia URLS sem categoria?

1. Vá para a política de acesso desejada: Web Security Manager -> Políticas de Acesso.

2. Role para baixo até a seção URLs sem categoria.

3. Escolha uma das ações desejadas, Monitorar, Bloquear ou Avisar.

4. Enviar e confirmar alterações.

Com que frequência o banco de dados é atualizado?

A frequência de verificação de atualizações pode ser atualizada usando o seguinte comando da CLI: updateconfig

WSA.local (SERVICE)> updateconfig

Service (images): Update URL:

------------------------------------------------------------------------------

Webroot Cisco Servers

Web Reputation Filters Cisco Servers

L4 Traffic Monitor Cisco Servers

Cisco Web Usage Controls Cisco Servers

McAfee Cisco Servers

Sophos Anti-Virus definitions Cisco Servers

Timezone rules Cisco Servers

HTTPS Proxy Certificate Lists Cisco Servers

Cisco AsyncOS upgrades Cisco Servers

Service (list): Update URL:

------------------------------------------------------------------------------

Webroot Cisco Servers

Web Reputation Filters Cisco Servers

L4 Traffic Monitor Cisco Servers

Cisco Web Usage Controls Cisco Servers

McAfee Cisco Servers

Sophos Anti-Virus definitions Cisco Servers

Timezone rules Cisco Servers

HTTPS Proxy Certificate Lists Cisco Servers

Cisco AsyncOS upgrades Cisco Servers

Update interval for Web Reputation and Categorization: 12h

Update interval for all other services: 12h

Proxy server: not enabled

HTTPS Proxy server: not enabled

Routing table for updates: Management

The following services will use this routing table:

- Webroot

- Web Reputation Filters

- L4 Traffic Monitor

- Cisco Web Usage Controls

- McAfee

- Sophos Anti-Virus definitions

- Timezone rules

- HTTPS Proxy Certificate Lists

- Cisco AsyncOS upgrades

Upgrade notification: enabled

Choose the operation you want to perform:

- SETUP - Edit update configuration.

- VALIDATE_CERTIFICATES - Validate update server certificates

- TRUSTED_CERTIFICATES - Manage trusted certificates for updates

[]>

Note: o valor acima mostra a frequência com que verificamos atualizações, mas não a frequência com que lançamos novas atualizações para a reputação e outros serviços. as atualizações podem estar disponíveis a qualquer momento.

OU da GUI: System Administration -> Upgrade e atualiza as configurações.

Como listar uma URL na lista branca/negra?

Às vezes, as atualizações de URLs do Cisco TALOS levam tempo, devido à falta de informações suficientes. ou não há como mudar a reputação porque o site ainda não provou a mudança no comportamento mal-intencionado. neste ponto, você pode adicionar este URL a uma categoria de URL personalizada que permita/bloqueie suas políticas de acesso ou passe-por/soltar em sua Política de descriptografia, e que garantirá que o URL seja entregue sem verificação ou verificação de filtragem de URL pelo Cisco Web Security Appliance (WSA) ou bloco.

para enviar uma URL para uma lista branca/lista negra, siga estas etapas:

1. Adicionar URL na categoria de URL personalizada.

Na GUI, vá para Web Security Manager -> Custom and External URL Category.

2. Clique em Adicionar categoria:

3. Adicione os sites semelhantes às capturas de tela abaixo:

4. Vá para a filtragem de URL na política de Acesso necessária (Web Security Manager -> Access Policies -> URL Filtering).

5. Selecione o WHITELIST ou BLACKLIST que acabamos de criar e inclua-o na política.

6. Inclua a Categoria da política nas configurações de filtragem de URL da política, conforme abaixo.

7. Defina a ação, Bloquear na Lista de Bloqueios, Permitir à Lista de Whitelist. e se desejar que a URL passe pelos mecanismos de verificação, mantenha a ação como monitor.

8. Enviar e confirmar alterações.