Citrix Web应用防火墙

Les rubriques suivantes couvrent Les détails d 'installation et de configuration de la fonctionnalité Citrix Web App Firewall。

Le Citrix Web应用防火墙提供des选项方便à配置倒répondre à un大éventail d 'exigences en matière de sécurité des应用程序。Les profiles de Web App Firewall, qui consistent en des ensembles de contrôles de sécurité， peuvent être utilisés pour protéger à la fois Les demandes et Les réponses en fournissant des sees approfondies au niveau des paquets。查克概况包括une选项渗透de sélectionner des保护de基地ou des保护avancées。某些保护措施nécessiter保护措施的使用。例如，les vérifications de validation xml peuvent nécessiter des fichiers WSDL ou de schéma。Les profiles peuvent également使用错误对象和错误特征的人。生产设备être ajoutés本地设备importés à先进设备enregistrés应用设备ultérieure。

chque stratégie identifie un type de traffic et ce traffic est inspecté pour détecter les违规de contrôle de sécurité spécifiées dans le proffil associé à la stratégie。Les stratégies peuvent avoir différents联络点，qui déterminent la portée de la stratégie。例如une stratégie liée à un server virtuel spécifique est appelée et évaluée uniquement pour le traffic circulant à travers ce server virtuel。Les stratégies sont évaluées dans l ' orderre de leurs priorités désignées, et la première qui相应地à la demand ou à la réponse est appliquée。

• Déploiement rapide de la protection par Web应用程序防火墙

  Vous pouvez utiliser la procédure suivante pour un déploiement rapide de la sécurité du Web应用防火墙:

  1. Ajoutez un profile Web App Firewall et sélectionnez le type approprié (html, xml, JSON) pour les exigences de sécurité de l 'application。
  2. Sélectionnez le niveau de sécurité requis (de base ou avancé)。
  3. 你可以在WSDL中输入要求，要求签名。
  4. 配置le profile pour qu 'il利用les fichiers et apportez les aures修改nécessaires aux paramètres par défaut。
  5. Ajoutez une stratégie de Web应用防火墙倒ce配置文件。
  6. Liez la stratégie au point de liaison cible et spécifiez la priorité。

• Entités de Web应用防火墙

  的资料: un profile Web应用防火墙spécifie ce qu 'il faut rechercher et ce qu 'il faut faire。我将审查à la fois la demande et la réponse afin de déterminer违规可能性sécurité doivent être vérifiées et quelles measurement doent être交易中存在的缺陷。Un profile peut protéger une charge utility HTML, XML ou HTML et XML。紧急情况查询sécurité de l 'application, vous pouvez créer un profile de base ou un profile avancé。Un profile de base peut protéger contre les attack conues。Si une sécurité加上élevée est requise, vous pouvez déployer un profile avancé pour permettre un accès contrôlé aux resource de l 'application, bloquant les attack zéro jour。相关，un profile de base peut être modifié pour rir des保护avancées, et in倒置。Plusieurs选项d 'action(例如，集团，期刊，学徒和转换)是不可撤销的。Les contrôles de sécurité avancés peuvent utiliser des cookies de session et des balises de formulaire cachées pour contrôler et surveiller Les connections客户端。Les profile de Web应用防火墙peuvent附录Les违规déclenchées et suggérer Les règles de放松。

  基础保护: un profile de base include un ensemble préconfiguré de règles de relaxation d 'URL de démarrage et de refus d 'URL。cesrègles d ' suplissement déterminent quelles demands doivent être autorisées et celles qui doivent être refusées。Les demantes sont mises en correspondance avec ces listes et Les actions configurées sont appliquées。Cela permet à l 'utilisateur de sécuriser les applications avec une configuration minimale pour les règles de relaxation。Les règles d 'URL de démarrage protègent contre la navigation forcée。Les vulnérabilités conues des servers Web exploitées par Les pirates peuvent être détectées et bloquées en activant un ensemble de règles d 'URL de refus par défaut。Les攻击lancées couramment, telles que缓冲区溢出，SQL ou跨站脚本peuvent également être便利détectées。

  保护皇冠: comme son nom l 'indique, les protection avancées sont utilisées pour les applications qui présentent des exigences de sécurité + élevées。Les règles de relax sont configurées pour autoriser l 'accès à des données spécifiques et bloquer le reste。Ce modèle de sécurité positif atténue les atques inconnues, qui peuvent ne pas être détectées par les contrôles de sécurité de base。En plus de toutes les protections de base, un profile avancé assure le suivi d 'une session utilisateur En contrôlant la navigation, En vérifiant les cookies, En spécifiant les exigences d 'entrée pour différents champs de formulaire et En protégeant contre la驳证de formulaires ou les攻击de驳证de requêtes intersites。L ' apprentice, qui observe le traffic et déploie les relaxations appropriées, est activé par défaut pour de nombreuses vérifications de sécurité。Bien que faciles à utiliser, les protection avancées nécessitent une attention particulière, car elles offrent une sécurité + étroite, mais nécessitent également + de traitement et ne permeent pas l ' utilization de la mise en cache, ce qui peut影响les performance。

  进口国-La fonctionnalité d '进口est实用lorsque les profiles Web应用程序防火墙外部应用程序，c 'est -à-dire des fichiers hébergés基于服务器的Web外部和内部，ou qui doivent être copiés à partir d 'une机器本地。在特殊情况下，进口和储存设备的实用工具où您的设备contrôler 'accès à网站的外部，汇编的时间和体积的计算être synchronisés在déploiements进口和储存设备réutiliser您的设备的计算和体积的计算périphériques。举例:

  • Les WSDL hébergées sur des servers Web externes peuvent être importées localement avant de bloquer l 'accès aux sites Web externes。
  • Les fichiers de signatures volumineux générés par un outtil d 'analyse externe tel que Cenzic peuvent être importés et précompilés à l 'aide d 'un schéma sur l 'appliance Citrix。
  • Une page d ' error HTML ou XML personnalisée peut être importée à partir d 'un server Web external ou copiée à partir d 'un fichier local。

  签名-“我们的签名，我们的工具”“我们的主题”détecter“我们的攻击”être configurées“vérifier à”“我们的需求”réponse“我们的交易”。Ils sont une选项privilégiée lorsqu 'une solution de sécurité personalisable est nécessaire。Plusieurs choix (par示例，bloc, journal，学徒和转化)sont disponibles pour l 'action à effectuer lorsqu 'une书信de signature est détectée。Le Web应用防火墙处理签名对象défaut intégré composé de plus de 1 300 règles签名，avec une option permettant d 'obtenir les dernières règles à l 'aide de la fonctionnalité de mise à jour automatique。Les règles créées par d 'autres outils d 'analyse peuvent également être importées。L ' objecet signature peut être personnalisé en ajoutant de nouvelles règles, qui peuvent functionner avec les autres contrôles de sécurité spécifiés dans le profile Web应用程序防火墙。Une règle de签名peut avoir plusieurs modèles et ne peut标志Une违章的假体les modèles sont appariés， évitant ainsi les假体。Une sélection minutieuse d 'unfastmatch主题littéral pour une règle peut considérablement optimiser le temps de traement。

  策略-Les stratégies de pare-feu Web App sont utilisées pour filtrer et séparer le traffic en différents types。Cela offre la flexibilité nécessaire pour implémenter différents niveaux de protection de sécurité pour les données de l 'application。L 'accès aux données hautement sensibles peut être dirigé vers des inspection de sécurité avancées, tandis que les données moins sensibles sont protégées par des inspection de sécurité de base。Les stratégies peuvent également être configurées pour contourner l 'inspection de contrôle de sécurité pour un traffic in冒犯。Une sécurité加上élevée nécessite加上de traitement, de sorte que la conception soignée des stratégies peut fournir la sécurité souhaitée ainsi que des performance optimisées。La priorité de La stratégie détermine l ' orderre dans lequel elle est évaluée, et son point de liaison détermine La portée de son application。

的简历

1. Possibilité de sécuriser un large éventail d 'applications en protégeant différents types de données, en mettant en euuvre le bon niveau de sécurité pour différentes资源et en obtenant des performance maximales。
2. Flexibilité pour ajouter ou modifier une configuration de sécurité。你的权利保护者relâcher les contrôles de sécurité激活者désactivant les保护基地et avancées。
3. 选项渗透de convertir un profile HTML en profile XML ou Web2.0 (HTML+XML) et反转，offrant la flexibilité d 'ajouter la sécurité pour différents类型de charge实用。
4. Des actions facilement déployées pour blocquer les attacks, les monitiller dans les journaux, collector Des statistics ou même transformer surees chaînes d ' attack pour les rendre in攻势。
5. Capacité à détecter les attack en inspectant les demandes entrantes et à prévenir les fuites de données sensibles en inspectant les réponses envoyées par les servurs。
6. Possibilité d ' apprenre du modèle de traffic pour obtenir des建议pour des règles de弛豫设施可修改内容qui peuvent être déployées pour autoriser les例外。
7. 安全范围模型hybride,贴花la权势des签名personnalisables倒bloquer les attaques记者des模型指定,et, offre la flexibilite中使用莱斯还我们模型的安全范围倒les保护安全范围或者皇冠德基地。
8. Disponibilité de rapports de configuration completed, y包含conformité PCI-DSS上的des信息。