背景描述
我们知道,ProxySG可以使用ICAP协议与DLP联动,将上传的对象送到网络层DLP中做敏感信息扫描并实时阻挡,但能否将阻挡的信息通过access log的方式记录下来呢?
需求分析
在分析这个需求前,我们需要先知道ProxySG是如何记录Access Log的,Access Log是ProxySG区别于Syslog的一块独立的日志,它可以记录下来client到ProxySG,以及ProxySG到OCS的访问行为,通过将这部分日志发到Splunk等SIEM平台,可以为SOC人员提供更加丰富的分析视角。ProxySG对Access Log的记录其实就是抓取请求或响应报头中的字段,并将其塞到指定的位置,默认的Access Log字段极其鸡肋,所以,为了实现我们的目的,可以用自定义log format的方式自主设计Access Log。
ICAP协议简述
这个协议其实不是很复杂,从数据包中看,它和HTTP协议非常相像,ICAP协议也是请求响应模式,也大量使用各种报头记录各种信息,连返回代码都照抄HTTP协议,比如下面这个ICAP响应数据包
这是CAS返回给SG的