В таблице перечислены критерии, на основании которых можно производить фильтрацию журналов.

Параметр фильтрации Условие Значения и описание

Действие

(неприменимо к журналу веб-прокси)

Равно

Не равно

Не содержится в

Содержится в

Действие, выполняемое службой межсетевого экрана для текущего сеанса или подключения.

Возможные значения:

  • Разрешенное соединение

  • Закрытое соединение

  • Закрытое VPN-соединение

  • Состояние соединения

  • Отклоненное соединение

  • Неудачная попытка соединения

  • Неудачная попытка VPN-подключения

  • Начато соединение

  • Инициированное VPN-подключение

  • Тайм-аут карантина

  • Карантин очищен пользователем

  • Пользователь помещен в карантин

Прошедший проверку клиент (неприменимо к журналу межсетевого экрана)

Равно

Не равно

Информирует о том, прошел ли клиент аутентификацию на сервере Forefront TMG.

Возможные значения:

  • «Нет» или «Да»

Сервер проверки подлинности

Содержит

Равно

Не содержит

Не равно

Возможные значения:

  • текстовое или числовое значение

Двунаправленный (неприменимо к журналу веб-прокси)

Равно

Не равно

Указывает, производится ли передача данных в обоих направлениях.

Может принимать одно из следующих значений:

  • «Нет» или «Да»

Получено байт

Больше или равно

Меньше или равно

Количество байт, отправленных конечным компьютером и полученных клиентом за период обработки соединения. Если данное поле содержит прочерк (-), нулевое (0) или отрицательное значение, это означает, что конечный компьютер не предоставил этой информации или от него не было получено ни одного байта.

Может принимать одно из следующих значений:

  • только числовое значение

Отправлено байт

Больше или равно

Меньше или равно

Общее количество байт, отправленных источником серверу назначения за период данного соединения. Если данное поле содержит прочерк (-), нулевое (0) или отрицательное значение, это означает, что конечный компьютер не предоставил этой информации или ему не было отправлено ни одного байта.

Может принимать одно из следующих значений:

  • только числовое значение

Информация кэша (неприменимо к журналу межсетевого экрана)

Равно

Не равно

Статус кэширования объекта, отражающий причину, по которой объект был или не был помещен в кэш. Это поле есть только в журналах веб-прокси.

Агент клиента

Содержит

Равно

Не содержит

Не равно

Тип клиентского приложения, переданный клиентом в заголовке протокола HTTP. В службе межсетевого экрана в этом поле указывается информация об операционной системе клиента.

Возможные значения:

IP-адрес клиента

Равно

Больше или равно

Меньше или равно

Не равно

Не содержится в

Содержится в

IP-адрес клиента, от которого поступил запрос.

Возможные значения:

  • формат IP-адреса.

Имя пользователя клиента

Содержит

Равно

Не содержит

Не равно

Учетная запись пользователя, от которого поступил запрос. Если механизм управления доступом Forefront TMG не применяется, сервер Forefront TMG использует имя «Anonymous».

Возможные значения:

  • числовое или текстовое значение.

Метод доставки содержимого

Равно

Не равно

Не содержится в

Содержится в

Быстрая потоковая передача

Уведомления о выполнении

Обычная потоковая передача

Имя узла назначения

Содержит

Равно

Не содержит

Не равно

Не содержится в

Содержится в

Доменное имя удаленного компьютера, обслуживающего данное соединение. Прочерк (-) в этом поле в журнале веб-прокси, как правило, означает, что объект извлечен из кэша сервера веб-прокси, а не с запрашиваемого компьютера.

Возможные значения:

  • числовое или текстовое значение.

IP-адрес назначения

Равно

Больше или равно

Меньше или равно

Не равно

Не содержится в

Содержится в

IP-адрес удаленного компьютера, обслуживающего данное соединение. Прочерк (-) в этом поле в журнале веб-прокси, как правило, означает, что объект получен из кэша сервера веб-прокси, а не с запрашиваемого компьютера. Исключение - обратное кэширование. В этом случае указывается IP-адрес, по которому возвращен кэшируемый объект.

Возможные значения:

  • формат IP-адреса.

Сеть назначения

Содержит

Равно

Не содержит

Не равно

Не содержится в

Содержится в

Сеть, обслуживающая текущее соединение.

Возможные значения:

  • Имя любой определенной сети

Порт назначения

Равно

Не равно

Не содержится в

Содержится в

Номер зарезервированного порта удаленного компьютера, обслуживающего данное соединение. Используется клиентским приложением, инициирующим запрос.

Возможные значения:

  • числовое значение.

Сведения об ошибке (неприменимо к журналу межсетевого экрана)

Равно

Не равно

Сведения об ошибке.

Возможные значения:

  • числовое значение.

Сведения о фильтре

Содержит

Равно

Не содержит

Не равно

В данном поле содержатся сведения, представленные веб-фильтром. Например, в этом поле может указываться причина, по которой фильтр HTTP отклонил запрос.

Возможные значения:

  • Блокирован фильтром безопасности HTTP

  • Тело содержит неразрешенные последовательности

  • Длина строки запроса превышает максимально разрешенную

  • Длина тела запроса превышает максимально разрешенную

  • Отправленная команда не разрешена

  • Отправленная команда не имеет явного разрешения

  • Запрос содержит заголовок, длина которого превышает максимально разрешенную

  • Запрос содержит неразрешенный заголовок

  • Ответ сдержит заголовок, длина которого превышает максимально разрешенную

  • Ответ содержит неразрешенный заголовок

  • Содержимое ответа зашифровано и не может быть просканировано

  • В запросе имеются заголовки, содержащие неразрешенную последовательность

  • В ответе имеются заголовки, содержащие неразрешенную последовательность

  • В пути URL-адреса содержится точка (.)

  • URL-адрес содержит неразрешенное расширение

  • URL-адрес содержит расширение, на которое нет явного разрешения

  • URL-адрес содержит символы расширенного набора

  • URL-адрес содержит неразрешенные последовательности

  • Длина URL-адреса превышает максимально допустимую

  • Нормализация URL-адреса не завершена после одного прохождения

Время записи (GMT)

Не ранее

Не позднее

Указывается дата и время записи в журнал в формате UTC (по Гринвичу).

Возможные значения:

  • выбор даты в календаре.

HTTP-метод

Содержит

Равно

Не содержит

Не равно

Используемый метод уровня приложений.

  • Возможные значения для журнала веб-прокси:

  • GET

  • PUT

  • POST

  • HEAD

Возможные значения для журнала межсетевого экрана:

  • CONNECT

  • BIND

  • SEND

  • RECEIVE

  • GHBN (GetHostByName)

  • GHBA (GetHostByAddress)

Код состояния HTTP

Равно

Не равно

Не содержится в

Содержится в

Указывается код состояния HTTP.

Возможные значения:

  • числовое значение.

Тип записи журнала

Равно

Тип журнала для фильтрации.

Возможные значения:

  • Межсетевой экран

  • Фильтр веб-прокси

  • Межсетевой экран или фильтр веб-прокси

Время записи

Последние 24 часа

Последние 30 дней

Последние 7 дней

Последний час

Непосредственно

Не ранее

Не позднее

Время возникновения регистрируемого события.

Возможные значения:

  • «Непосредственно» - для всех журналов, кроме формата SQL Server, экспресс-выпуск

  • SQL Server, экспресс-выпуск - для любых значений. При выборе условия «Не ранее» или «Не позднее» необходимо указать дату.

Malware Inspection Action (Действие по проверке вредоносных программ)

Равно

Не равно

Не содержится в

Содержится в

Действие, применяемое к содержимому.

Возможные значения:

  • Allowed (Разрешено)

  • Blocked (Блокировано)

  • Cleaned (Очищено)

Malware Inspection Duration (Продолжительность проверки вредоносных программ)

Больше или равно

Меньше или равно

Возможные значения:

  • числовое значение.

Malware Inspection Result (Результат проверки вредоносных программ)

Равно

Не равно

Не содержится в

Содержится в

Результат выполнения проверки вредоносных программ.

Возможные значения:

  • Corrupted File (Поврежденный файл)

  • Destination Included in Malware Inspection Exceptions List (Назначение включено в список исключений из проверки вредоносных программ)

  • Encrypted File (Зашифрованный файл)

  • Infected File (Зараженный файл)

  • Low and Medium Level Threats Not Blocked (Незаблокированные угрозы низкого и среднего уровня)

  • Malware Inspection Disabled (Проверка вредоносных программ отключена)

  • Malware Inspection Disabled for the Matching Policy Rule (Проверка вредоносных программ отключена для соответствующего правила политики)

  • Malware Inspection Disabled for the Matching Policy Rule (Проверка вредоносных программ отключена для соответствующего правила веб-цепочки)

  • Maximum Archive Nesting Exceeded (Превышена глубина вложенности архива)

  • Maximum Size Exceeded (Превышен максимальный размер)

  • Maximum Unpacked File Size Exceeded (Превышен максимальный размер нераспакованного файла)

  • No Violation Detected (Нарушений не обнаружено)

  • Request Served by Malware Inspection Web Filter (Запрос обслужен веб-фильтром проверки вредоносных программ)

  • Request/Response Pair Identified as Exempted Protocol Message (Пара вопрос-ответ является недопустимым сообщением протокола)

  • Response Identified as a 200 Response to a CONNECT Request (На запрос CONNECT получен ответ с кодом статуса 200)

  • Response Originated from Proxy Server (Запрос получен от прокси-сервера)

  • Response Scanned Before Being Routed by CARP (Ответ проверен перед передачей по протоколу CARP)

  • Storage Space Limit Exceeded (Превышен предельный размер дискового пространства)

  • Suspicious File (Подозрительный файл)

  • Time Out (Время ожидания вышло)

  • Unknown (Нет данных)

  • Unknown Encoding (Неизвестная кодировка)

MIME-тип (неприменимо к журналу межсетевого экрана)

Содержит

Равно

Не содержит

Не равно

MIME-тип текущего объекта. В поле ставится прочерк (-), если тип MIME не задан или не поддерживается удаленным компьютером, либо если поле не используется.

Возможные значения:

  • выбор из списка определенных типов содержимого.

  • Типы содержимого определены на вкладке «Инструментарий» узла «Политика межсетевого экрана» оснастки управления Forefront TMG.

Сетевой интерфейс (неприменимо к журналу веб-прокси)

Содержит

Равно

Не содержит

Не равно

Не содержится в

Содержится в

Основной IP-адрес интерфейса, принимающего трафик.

Возможные значения:

  • числовое или текстовое значение.

Источник объекта (неприменимо к журналу межсетевого экрана)

Равно

Не равно

Не содержится в

Содержится в

Содержит источник текущего объекта.

Возможные значения:

  • Кэш

  • Интернет

  • Не изменен

  • Непроверенный кэш

  • Вышестоящий

  • Проверенный кэш

  • Проверить ошибку Интернета

Исходный IP-адрес клиента

Равно

Больше или равно

Меньше или равно

Не равно

Не содержится в

Содержится в

IP-адрес клиента, отправившего запрос.

Возможные значения:

  • формат IP-адреса.

Время обработки (неприменимо к журналу межсетевого экрана)

Больше или равно

Меньше или равно

Общее время (в миллисекундах), затраченное сервером Forefront TMG на обработку данного соединения. Указывает время, прошедшее с момента поступления первого запроса до возврата результатов клиенту и окончания сеанса связи.

Для запросов, выполняемых через веб-прокси, указывается время, затраченное на полную обработку запроса и возврат клиенту объекта из кэша.

Возможные значения:

  • числовое значение.

Протокол

Содержит

Равно

Не содержит

Не равно

Не содержится в

Содержится в

Прикладной протокол, используемый для соединения. Обычно принимает значения HTTP, FTP или HTTPS. В журнале службы межсетевого экрана также указывается номер порта.

Возможные значения:

  • протоколы, определенные в Forefront TMG.

Заголовок Raw IP (неприменимо к журналу веб-прокси)

Содержит

Равно

Не содержит

Не равно

Не содержится в

Содержится в

Сведения о заголовке Raw IP.

Возможные значения:

  • числовое или текстовое значение.

Необработанные полезные данные (неприменимо к журналу веб-прокси)

Содержит

Равно

Не содержит

Не равно

Необработанные данные пакета.

Возможные значения:

  • числовое или текстовое значение.

Отсылающий сервер

Содержит

Равно

Не содержит

Не равно

В иерархиях серверов Forefront TMG в этом поле указывается имя направившего запрос подчиненного сервера.

Возможные значения:

  • числовое или текстовое значение.

Код результата

Равно

Не равно

Не содержится в

Содержится в

Числовой идентификатор, указывающий на код результата.

Возможные значения:

Правило

Содержит

Равно

Не содержит

Не равно

Не содержится в

Содержится в

Указывается правило, согласно которому разрешена или запрещена пересылка запроса.

Возможные значения:

  • выбор одного из правил.

Имя сервера (неприменимо к журналу межсетевого экрана)

Содержит

Равно

Не содержит

Не равно

Имя компьютера, на котором выполняется Forefront TMG. Соответствует имени компьютера в операционной системе Microsoft Windows Server 2003 или Windows 2000 Server.

Возможные значения:

  • одно из имен сервера.

Служба (неприменимо к журналу межсетевого экрана)

Равно

Не равно

Не содержится в

Содержится в

Тип регистрируемого запроса.

Возможные значения:

  • Proxy (Прокси) - для исходящих веб-запросов;

  • Reverse Proxy (Обратный прокси) - для входящих веб-запросов (публикации).

Исходная сеть

Содержит

Равно

Не содержит

Не равно

Не содержится в

Содержится в

Имя сети, откуда был получен запрос.

Возможные значения:

  • имя одной из сетей.

Порт источника (неприменимо к журналу веб-прокси)

Равно

Не равно

Номер порта, используемого клиентским приложением для запроса.

Возможные значения:

  • числовое значение.

Threat Level (Уровень угрозы)

Равно

Не равно

Не содержится в

Содержится в

Уровень угрозы при проверке вредоносных программ.

Возможные значения:

  • High (Высокий)

  • Low (Низкий)

  • Medium (Средний)

  • Severe (Критический)

Threat Name (Имя угрозы)

Содержит

Равно

Не содержит

Не равно

Не содержится в

Содержится в

Указывается имя угрозы.

Возможные значения:

  • числовое или текстовое значение.

Транспорт

Содержит

Равно

Не содержит

Не равно

Транспортный протокол, используемый для соединения.

Возможные значения:

  • ICMP

  • TCP

  • UDP

URL-адрес (неприменимо к журналу межсетевого экрана)

Содержит

Равно

Не содержит

Не равно

Не содержится в

Содержится в

Указывается содержимое URL-запроса.

Возможные значения:

  • числовое или текстовое значение.