Web应用防火墙ポリシ,のバ,ンド
Web应用程序防火墙ポリシーを設定したら,それらをグローバルまたはバインドポイントにバインドして有効にします。バインド後,Web应用防火墙ポリシーに一致する要求または応答は,そのポリシーに関連付けられたプロファイルによって変換されます。
ポリシをバンドするときは,そのポリシに優先度を割り当てます。優先順位によって,定義したポリシ,が評価される順序が決まります。プラ@ @オリティは任意の正の整数に設定できます。Citrix ADCOSでは、ポリシーの優先順位は逆の順序で機能します。値が大きいほど、優先順位は低くなります。
Web应用程序防火墙機能では,リクエストが一致する最初のポリシーだけが実装され,一致する可能性のある追加のポリシーは実装されないため,意図した結果を得るにはポリシーの優先順位が重要です。最初のポリシーに低い優先度(1000など)を設定した場合,優先度の高い他のポリシーが要求と一致しない場合にのみ,Web应用防火墙を実行するように設定します。最初のポリシーに高い優先度(1など)を与える場合は,Web应用防火墙を最初に実行するように設定し,一致する可能性のあるその他のポリシーをスキップします。ポリシをバインドするときに、各ポリシー間に50または100の間隔で優先順位を設定することで、優先順位を再割り当てすることなく、他のポリシーを任意の順序で追加できる十分な余裕を残すことができます。
Citrix ADCアプラアンスでのポリシのバンドの詳細にいては,”ポリシ,と式を参照してください。
コマンドラインインターフェイスを使用してWeb应用防火墙ポリシーをバインドするには
コマンドプロンプトで,次のコマンドを入力します。
绑定appfw global
绑定appfw profile
-crossSiteScripting data
例
次の例では,pl-blogという名前のポリシーをバインドし,プライオリティ10を割り当てます。
绑定appfw全局pl-blog配置——NeedCopy >
ログ式の構成
Web应用程序防火墙をバインドするためのログ式サポートは,違反が発生したときにHTTPヘッダー情報をログに記録するために追加されます。
ログ式はアプリケーションプロファイルにバインドされ,バインディングには,違反が発生したときに評価され,ロギングフレームワークに送信される必要がある式が含まれています。
httpヘッダ情報を持Web应用防火墙違反ログレコドが記録されます。カスタムログ式を指定することができ,現在のフロー(要求/応答)に対して違反が生成されたときの分析と診断に役立ちます。
設定例
bind appfw profile -logexpression add policy expression headers "" headers (100):"FULL_HEADER" add policy expression body_100 ""BODY:"+HTTP.REQ.BODY(100)" bind appfw profile test -logExpression log_body body_100 bind appfw profile test -logExpression log_headers headers bind appfw profile test -logExpression ""URL:"+HTTP.REQ. BODY(100)"URL + + CLIENT.IP“IP:”。SRC " < !——NeedCopy >
ログの例
Dec 8 16:55:33 10.87.222.145 CEF:0|Citrix|NetScaler|NS12.1|APPFW|APPFW_LOGEXPRESSION|6|src=10.217.222.128 spt=26409 method=POST request=http://10.217.222.44/test/credit.html msg= HEADERS(100):POST /test/credit.html HTTP/1.1^M User-Agent: curl/7.24.0 (amd64-portbld-freebsd8.4) libcurl/7.24.0 OpenSSL/0.9.8y zlib/1.2.3^M Host: 10.217.222.44^M Accept: /^M Content-Length: 33^M Content-Type:application/x- web -form-urlencoded^M ^M cn1=58 cn2=174 cs1=test cs2=PPE1 cs4=ALERT cs5=2017 act=not blocking
Dec 8 16:55:33 10.87.222.145 CEF:0|Citrix|NetScaler|NS12.1|APPFW|APPFW_LOGEXPRESSION|6|src=10.217.222.128 spt=26409 method=POST request=http://10.217.222.44/test/credit.html msg=BODY:ata= asdadasdasdasdddddddddddddddddd cn1=59 cn2=174 cs1=test cs2=PPE1 cs4=ALERT cs5=2017 act=not blocked
Dec 8 16:55:33 10.87.222.145 CEF:0|Citrix|NetScaler|NS12.1|APPFW|APPFW_LOGEXPRESSION|6|src=10.217.222.128 spt=26409 method=POST request=http://10.217.222.44/test/credit.html msg=URL:/test/credit.html IP:10.217.222.128 cn1=60 cn2=174 cs1=test cs2=PPE1 cs4=ALERT cs5=2017 act=not blocked
其他违规日志Dec 8 16:55:33 10.87.222.145 CEF:0|Citrix|NetScaler|NS12.1|APPFW|APPFW_STARTURL|6|src=10.217.222.128 spt=26409 method=POST request=http://10.217.222.44/test/credit.html msg=Disallow非法URL。cn1=61 cn2=174 cs1=test cs2=PPE1 cs4=ALERT cs5=2017 act=not blocking
12月8日16:55:33 10.87.222.145 CEF:0|Citrix|NetScaler|NS12.1|APPFW|APPFW_SAFECOMMERCE|6|src=10.217.222.128 spt=26409 method=POST request=http://10.217.222.44/test/credit.html msg=Maximum number of potential credit card numbers seen cn1=62 cn2=174 cs1=test cs2=PPE1 cs4=ALERT cs5=2017 act=not blocked
注
監査ログのサポ,トのみ利用可能です。ログストリームのサポートとセキュリティ洞察の可視性は,将来のリリースバージョンで追加される予定です。
監査ログが生成される場合,ログメッセ,ジごとに1024バ,トのデ,タしか生成できません。
ログストリーミングを使用する場合,制限は,サポートされるログストリーム/ ipfixプロトコルのサイズ制限の最大サイズに基づきます。ログストリムの最大サポトサズは1024バトを超えています。
GUIを使用してWeb App防火墙ポリシ,をバ,etc,ンドするには
- 次のいずれかを行います:
- [セキュリティ> [Web应用防火墙]に移動し,詳細ペインで[Webアプリケーションファイアウォールポリシーマネージャー]をクリックします。
- 安全>Web应用防火墙>政策>防火墙策略に移動し,詳細ペ策略管理器を選択します。
- [Web应用程序防火墙策略管理器]ダaapl . exe,ポリシaapl . exe,ポリシaapl . exe,をバaapl . exe。選択肢は次のとおりです。
- [グロバルをオバラド]。このバインドポイントにバインドされたポリシーは,Citrix ADCアプライアンスのすべてのインターフェイスからのすべてのトラフィックを処理し,他のポリシーの前に適用されます。
- Lb仮想サ,バ,。負荷分散仮想サーバーにバインドされたポリシーは,その負荷分散仮想サーバーによって処理されるトラフィックにのみ適用され,默认全球ポリシーの前に適用されます。(磅虚拟服务器)を選択した後,このポリシーをバインドする特定の負荷分散仮想サーバーも選択する必要があります。
- Cs仮想サ,バ。コンテンツスイッチ仮想サーバーにバインドされたポリシーは,そのコンテンツスイッチ仮想サーバーによって処理されるトラフィックにのみ適用され,デフォルトグローバルポリシーの前に適用されます。(CS虚拟服务器)を選択した後,このポリシーをバインドする特定のコンテンツスイッチ仮想サーバーも選択する必要があります。
- デフォルトグロ,バル。このバインドポイントにバインドされたポリシーは,Citrix ADCアプライアンスのすべてのインターフェイスからのすべてのトラフィックを処理します。
- ポリシ,ラベル。ポリシーラベルにバインドされたポリシーは,ポリシーラベルがルーティングするトラフィックを処理します。ポリシ,ラベルは,このトラフィックにポリシ,を適用する順序を制御します。
- なし。ポリシをバンドポントにバンドしないでください。
- [続行]をクリックします。既存のWeb应用防火墙ポリシ,のリストが表示されます。
- バ▪▪ンドするポリシ▪▪をクリックして選択します。
- バ@ @ンドに追加の調整を行います。
- ポリシ,の優先度を変更するには,フィ,ルドをクリックして有効にし,新しい優先度を入力します。[優先度を再生成]を選択して,優先度を均等に再番号付けすることもできます。
- ポリシ,式を変更するには,そのフィ,ルドをダブルクリックして[Web应用防火墙策略]ダ@アログボックスを開き,ポリシ@式を編集できます。
- 【转到表达式】を設定するには,【转到表达式】列見出しのフィ,ルドをダブルクリックしてドロップダウンリストを表示し,式を選択できます。
- ”“呼び出しオプションを設定するには,“呼び出し”列見出しのフィールドをダブルクリックしてドロップダウンリストを表示し,式を選択できます。
- 手順3 ~ 6を繰り返して,グローバルにバインドするWeb应用防火墙ポリシーを追加します。
- (好的)をクリックします。ポリシが正常にバインドされたことを示すメッセージがステータスバーに表示されます。