Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 7 replies
  • Subscribers 1 subscriber
  • Views 3500 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

False positives & performance issues

dcline97
We are running a UTM220 and protecting a single web server which runs customer and sales portals as well as our company website.  Everything is written ASP.NET.  Firmware version is 9.204-20.  I'm aware of the WAF issue in this release and am following the workaround (disable XSS Attacks, turn on the WAF, then re-enable XXS Attacks).

When anyone access our portals (which are highly interactive) the performance is degraded quite a bit.  I have looked at the live log and can see that a ton of warnings and errors are being generated.  The sites function properly and all the interactive features are working, but I am concerned about the performance hit and the fact that the WAF thinks these are genuine attacks.

I am currently only skipping a single rule (981176), but I would have to add 14 or 15 more rules to stop all the false positives.  Is this normal?  Would bypassing these additional rules improve the performance?  Any other suggestions for dealing with this excessive logging and the associated performance hit?  I am attaching a snippet of my live log that was filtered to my IP and I only visited 3 pages.

Thanks for any help!

Dave


This thread was automatically locked due to age.
LiveLog.zip
Parents
  • 0
    CPU averages about 10%, RAM 55-60%.

    We have done extensive testing and even with all the warnings/errors you see in the live log, the site functionality does not seem to be affected.  

    Question, when the WAF is running does the IPS also inspect the traffic or does it ignore it?  The reason I ask is prior to running the WAF I ran some pen testing against the sites and the IPS caught a tone of legitimate hack attempts with no false positives.  I'm just concerned that by disabling so many WAF rules it may become somewhat pointless.

    Thoughts?
Reply
  • 0
    CPU averages about 10%, RAM 55-60%.

    We have done extensive testing and even with all the warnings/errors you see in the live log, the site functionality does not seem to be affected.  

    Question, when the WAF is running does the IPS also inspect the traffic or does it ignore it?  The reason I ask is prior to running the WAF I ran some pen testing against the sites and the IPS caught a tone of legitimate hack attempts with no false positives.  I'm just concerned that by disabling so many WAF rules it may become somewhat pointless.

    Thoughts?
Children
No Data
Unfiltered HTML