У логах WAF зафіксовано код 403 (заблоковано), але у логах вебсервера за той самий час є код 200 OK для того ж URI. Чому?

Question

Answer

У логах WAF зафіксовано час UTC, а вебсервер використовував застарілий формат GMT-12

Answer

Статус 200 у логах вебсервера означає, що WAF успішно видалив шкідливий код із запиту

Answer

Атакуючий обійшов WAF (наприклад, звернувшись до IP-адреси бекенду напряму або через HPP)

Answer

Вебсервер IIS автоматично скасував рішення WAF і примусово обробив шкідливий запит

Crowdly