[9.065][MYTH] WAF reporting not working

Hi, can you post a few lines from the logs of the traffic that was blocked and not counted?

Hello Bill, 

yes i search for log but could not get log ,but when i did  many xss scripts  attacks live 
log had nothing but one of the scripts was able to show message on ips 

from ips log 

2013:02:03-16:53:32 acenn snort[6301]: id="2101" severity="warn" sys="SecureNet" sub="ips" name="Intrusion protection alert" action="alert" reason="POLICY-OTHER web server file upload attempt" group="500" srcip="192.168.7.135" dstip="192.168.3.125" proto="6" srcport="44127" dstport="80" sid="5708" class="Misc activity" priority="3"  generator="1" msgid="0"

from  http log

2013:02:03-16:53:32 acenn httpproxy[6227]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="GET" srcip="192.168.7.135" dstip="192.168.3.125" user="" statuscode="404" cached="0" profile="REF_DefaultHTTPProfile (Default Proxy)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="204" request="0xb67f098" url="www.mydomain.com/.../

if you want i will send you xss cheat sheet 

thanks

This is the IPS log and the HTTP proxy log. Both have nothing to do with the WAF.

This is the IPS log and the HTTP proxy log. Both have nothing to do with the WAF.

Yes you are right ,as mention in earlier post when i did some atteck on my web server i could not get any log in waf (i tested with xss ,many scripts i tryed)

www.ance.com/

Hi,

In Logging & Reporting -> Webserver Protection -> WAF statistics 
I tested successfully that both normal and blocked traffic is shown in the graphs.

In addition to this I injected a SQL attack and it also appears in the graph and in reverseproxy.log.

Regards
 Sabine

Astaro QA Engineer

when i did some atteck on my web server i could not get any log in waf (i tested with xss ,many scripts i tryed)

maybe your traffic is bypassing the WAF. thats why no logs [:)]

after removeing www.aaaaaaaa.com (www.mydomain.com)  from static mapping its working 

 method="GET" statuscode="403" reason="waf" extra="Anomaly Score Exceeded (score 100): XSS Attack Detected" time="1155957" url="/" server="www.mydomain.com" referer="-" cookie="-" set-cookie="-" 

ok this may be my mistake /misconfiguration 

other wise it was  (with static maping to www.abce.com )

 2013:02:05-22:21:50 acenn reverseproxy: srcip="127.0.0.1" localip="127.0.0.1" size="55" user="-" host="127.0.0.1" method="GET" statuscode="200" reason="-" extra="-" time="223" url="/lb-status" server="localhost" referer="-" cookie="-" set-cookie="-"

in process of  fixing pop3 serveri have   adding static mapp ( static DNS mapping ) i have added www.mydomain.com also to 
is that is cousing a problem or what 

can you please help me  /can you please please correct me 


thanks

hey wait this is something crazy ,

to test again i again added www.mydomain.com to my dns static mapping list and its working 

GET" statuscode="403" reason="waf" extra="Anomaly Score Exceeded (score 40): Possible XSS Attack Detected

???[:S][:S]

hey wait this is something crazy ,

to test again i again added www.mydomain.com to my dns static mapping list and its working 

GET" statuscode="403" reason="waf" extra="Anomaly Score Exceeded (score 40): Possible XSS Attack Detected

???[:S][:S]

edit :attechment added 

please correct me 
if i am wrong ,i am sorry for that

i dont have problem with myth but how thing can work /dont work with "touch" and go really obove head

thanks