Hohe CPU

我发现了网络应用程序防火墙的问题和解决方法bewährten

Überprüfen Sie Richtlinientreffer, Bindungen, Netzwerkkonfiguration, Konfiguration der Web App Firewall:

• Fehlkonfiguration identifizieren
• Identifizierendes vservers， der den betroffenen Datenverkehr bedient

Überprüfen在den folgenden Protokolldateien auf Sicherheitsverstöße und aktuelle Konfigurationsänderungen:

• /var/log/ns.log
• /var/nslog/import.log
• /var/nslog/aslearn.log
• tail -f /var/log/ns.log | grep APPFW_SIGNATURE_MATCH .log

Beispiel:

Jun 13 01:11:09  10.217.31.98 CEF:0|Citrix|NetScaler|NS11.0|APPFW| APPFW_SIGNATURE_MATCH| APPFW| APPFW_SIGNATURE_MATCH| |src=10.217.253.62 spt=61141 method=GET request= http://aaron.stratum8.net/FFC/wwwboard/passwd.txt msg=Signature breach rule ID 807: web-cgi /wwwboard/passwd.txt access cn1=140 cn2=841 cs1=pr_ffc cs2=PPE0 cs3=OyTgjbXBqcpBFeENKDlde3OkMQ00001 cs4=ALERT cs5=2015 cs6=web-cgi act=not blocked 

Isolieren Sie den Datenverkehr, der ausgeführt奇怪:

• Isolieren des的资料
• Sicherheitsuberprufung isolieren
• Isolieren der URL-， virtuellen Server- und Verkehrsparameter

Die Ablaufverfolgung der bedingten profiline hilf der identiierung der Datenverkehrs und Verletzungsdatensätze:

• 设置appfw profile -trace ON
• start nstrace -mode APPFW -size 0
• 停止nstrace

Hinweis: Stellen Sie sicher, dass die Ablaufverfolgung mit der Option -size 0 erfast wild。

Überprüfen Sie Aktivitätszähler für appfw, dht, IP-Reputation:

• Nsconmsg -g as_ -g appfreq_ -g iprep -d current

Monitorfenstergröße für在Verbindung重置:

Appfw legt die Fenstergröße auf 9845 fest, wenn Citrix ADC die Verbindung aufgrund einer ungültigen HTTP-Nachricht zurücksetzt。

Beispiele:

• Fehlgebildete Anfrage empfangen - Verbindung zurückgesetzt
• CPU有问题
• Datenblätter auf Systemgrenzen prüfen
• Überprüfen Sie auf CPU-Auslastung, appfw, DHT und speicherbezogene Aktivität。Uberwachen冯AppFW-Sitzungen
• nsconmsg -g cc_cpu_use -g appfreq -g as -g dht -g mem_AS_OBJ -g mem_AS_COMPONENT -d current . nsconmsg -g cc_cpu_use -g appfreq -g as -g dht

Überwachen Sie den Speicher, der während des Zielzeitraums von Komponenten und Objekten der Web App Firewall zgewiesen und freigegegeben wurde。Es hilft, den Schutz zu isolieren, was zu einer hohen CPU-Auslastung führt。

• Profiler-Ausgabe
• Protokolle beobachten

Appfw-Prüfung isolieren, die zu einer hohen CPU führt:

• startURLClosure
• Formfiledconsistency
• CSRF
• Cookie-Schutz
• Uberweisungskopfprufung

Stellen Sie sicher, dass das automatische Update von Signaturen nicht zu einer hohen CPU führt (Deaktivieren, um zu bestätigen)。