このセクションでは、NSX Advanced Load Balancer の仮想サービスで使用可能な WAF ログ分析機能について説明します。

仮想サービスに WAF ポリシーを適用すると、特定の WAF ログが生成されます。ログ ファイルを表示するには、次の手順を実行します。

  1. [アプリケーション] > [仮想サービス] の順に移動します。

  2. WAF ポリシーにマッピングされた [仮想サービス] をクリックし、[ログ] に移動します。

  3. ログをフィルタリングして、特定の WAF エントリを表示できます。検索バーに WAF と入力して、使用可能なオプションを入力します。

注：

WAF 分析にも同じフィルタを使用できます。

トランザクションあたりの WAF メモリ消費量

仮想サービス アプリケーションの WAF ログには、memory_allocated フィールドが含まれます。このフィールドは、WAF 要求の処理中に使用されるメモリの量をバイト単位で指定します。

WAF の処理中、SE は各 WAF フェーズの前後にメモリ割り当ての統計情報をキャプチャします。この差異は、割り当てられた合計メモリを追跡するために使用されます。この方法では、WAF フェーズ内で行われ、解放されたメモリ割り当ては追跡されません。

これは、多数の要求が同時に処理されている場合に全体的なメモリへのプレッシャーに寄与するメモリを表します。

TLS SNI と Host ヘッダーが異なる場合の WAF ログ

NSX Advanced Load Balancer では、TLS SNI と Host ヘッダーが異なる場合に WAF を介したトラフィックのフラグ付けがサポートされます。

次の CRS ルールを使用して、TLS SNI と Host ヘッダーが異なる HTTP 要求にフラグを付けます。

SecRule TX:sni_hostname "!@streq %{REQUEST_HEADERS:Host}" "id:'137',phase:1,log,deny,status:403,msg:'SNI-Host-Header mismatch'"

このルールが設定されている場合、NSX Advanced Load Balancer は SNI ホスト名と Host ヘッダーが同じ場合に応答コード 200 を返します。SNI ホスト名と Host ヘッダーが異なる場合、応答コード 403 が返されます。SSL 以外のトラフィックの場合、Host ヘッダーの有無に関係なく、応答コードは 403 になります。