製品ドキュメント
Citrix ADC
当前版本 13.0 12.1 11.1
pdfを表示

Citrixウェブアプリケーションファイアウォールを使用してAWS API网关を保護する

2022年4月25日
寄稿者:
C

Citrix ADCアプライアンスをAWS API网关の前にデプロイし,APIゲートウェイを外部の脅威から保護できます。Citrix Webアプリケーションファイアウォール(WAF)はOWASPトップ10の脅威とゼロデイ攻撃からAPIを守ることができます。Citrix WAFは，すべてのADCフォ。そのため，あらゆる環境にわたってセキュリティポリシ，を一貫して適用し，適用することができます。Citrix WAFは導入が簡単で，単一のラe .センスとして利用できます。思杰WAFには次の機能があります。

  • 構成の簡素化
  • ボットの管理
  • 総合的な可視性
  • 複数のソスからのデタを照合し，統一された画面にデタを表示する

APIゲトウェ保護に加えて，他のCitrix ADC機能も使用できます。詳しくは，Citrix ADCのドキュメントを参照してください。データセンターのフェイルオーバーを回避し,シャットダウン時間を最小限に抑えるだけでなく,アベイラビリティーゾーン内またはアベイラビリティーゾーン間でADCを高可用性に設定できます。自动缩放機能でクラスタリングを使用または構成することもできます。

以前,AWS API网关は,その背後にあるアプリケーションを保護するために必要な保護をサポートしていませんでした。Webアプリケーションファイアウォール(WAF)保護がなければ,APIはセキュリティ上の脅威にさらされがちでした。

AWS APIゲトウェの前にCitrix ADCアプラ

次の例では,Citrix ADCアプライアンスがAWS APIゲートウェイの前にデプロイされています。

Aws APIゲトウェの前にadcをデプロ

AWS Lambdaサビスに対する本物のAPIリクエストがあるとします。このリクエストは，Amazon API Gatewayのドキュメントに記載されているどのAPIサビスにも適用できます。上の図に示すように，トラフィックフロは次のようになります。

  1. クラesxiアントがAWS Lambda関数(XYZ)にリクエストを送信します。このクラ，Citrix ADC仮想サ(192.168.1.1)に送信されます。
  2. 仮想サバはパケットを検査し，悪意のあるコンテンがないかチェックします。
  3. Citrix ADCアプライアンスは,書き換えポリシーをトリガーして,クライアント要求のホスト名とURLを変更します。たとえば，https://restapi.citrix.com/default/LamdaFunctionXYZをhttps://citrix.execute-api。<地区> .amazonaws.com/default/LambdaFunctionXYZに変更するとします。
  4. Citrix ADCアプライアンスは,このリクエストをAWS APIゲートウェイに転送します。
  5. AWS API网关はさらにλサービスにリクエストを送信し,λ関数“XYZ”を呼び出します。
  6. 同時に,攻撃者が悪意のあるコンテンツを含むAPIリクエストを送信すると,その悪意のあるリクエストはCitrix ADCアプライアンスに到達します。
  7. Citrix ADCアプライアンスはパケットを検査し,構成されたアクションに基づいてパケットをドロップします。

WAFを有効にしてCitrix ADCアプラereplicationアンスを構成する

Citrix ADCアプラ称霸アンスでWAFを有効にするには，次の手順を実行します。

  1. コンテンスッチまたは負荷分散仮想サバを追加します。仮想サーバーのIPアドレスが192.168.1.1で,ドメイン名(restapi.citrix.com)に解決されるとします。
  2. Citrix ADC仮想サバでWAFポリシを有効にします。詳細にいては，”Web应用程序防火墙の構成を参照してください。
  3. 書き換えポリシーを有効にして,ドメイン名を変更します。たとえば," restapi.citrix.com "ドメイン名のロードバランサーへの受信リクエストを,“citrix.execute-apiのバックエンドAWS APIゲートウェイに書き換えるように変更するとします。<地区>.amazonaws "ドメン名。

  4. Citrix ADCアプラL3モ。次のコマンドを使用します:

    enable ns mode L3

前の例のステップ3でWebサイト管理者がCitrix ADCアプライアンスで“restapi.citrix.com”ドメイン名を“citrix.execute-apiに置き換えることを望んでいるとします。<地区>. amazon.com "と入力し，URLに"デフォルト/ラムダ/XYZ "を付けます。

次の手順では,書き換え機能を使用してクライアント要求のホスト名とURLを変更する方法について説明します。

  1. SSHを使用してCitrix ADCアプラereplicationアンスにログオンします。

  2. 書き換えアクションを追加する。

    添加重写操作rewrite_host_hdr_act替换HTTP.REQ.HEADER(“主机”)"citrix.execute-api..amazonaws.com""添加重写操作rewrite_url_act替换HTTP.REQ.URL。PATH_AND_QUERY”“/违约/λ/ XYZ”“< !——NeedCopy >

  3. 書き換えアクションの書き換えポリシを追加します。

    添加重写策略rewrite_host_hdr_pol "HTTP.REQ.HEADER("Host").CONTAINS("restapi.citrix.com")"rewrite_host_hdr_act添加重写策略rewrite_url_pol "HTTP.REQ.HEADER("Host").CONTAINS("restapi.citrix.com")“rewrite_url_act < !——NeedCopy >

  4. 書き換えポリシを仮想サバにバンドします。

    bind lb vserver LB_API_Gateway -policyName rewrite_host_hdr_pol -priority 10 -gotoPriorityExpression 20 -type REQUEST bind lb vserver LB_API_Gateway -policyName rewrite_url_pol -priority 20 -gotoPriorityExpression END -type REQUEST

詳しくは，”Citrix ADCアプライアンスのクライアント要求でホスト名とURLを変更するように書き換えを構成するを参照してください。

Citrix ADCの機能と機能

Citrix ADCアプライアンスは,展開を保護するだけでなく,ユーザーの要件に基づいて要求を強化することもできます。Citrix ADCアプラ称霸アンスには，次の主要な機能があります。

  • apiゲトウェの負荷分散:複数のAPIゲートウェイがある場合は,Citrix ADCアプライアンスを使用して複数のAPIゲートウェイを負荷分散し,APIリクエストの動作を定義できます。

    • さまざまな負荷分散方式を使用できます。たとえば，Least 接続メソッドは API Gateway 制限のオーバーロードを回避し、Custom load メソッドは特定の API ゲートウェイの特定の負荷を維持するなどです。詳細については、「負荷分散アルゴリズムを参照してください。

    • SSLオフロドは，トラフィックを中断することなく設定されます。
    • (送信元IP(切实)を使用]モードを有効にすると,クライアントIPアドレスが保持されます。
    • ユーザー定義のSSL設定:独自の署名証明書とアルゴリズムを使用して,独自のSSL仮想サーバーを作成できます。
    • バックアップ仮想サーバー:APIゲートウェイにアクセスできない場合は,追加のアクションのためにリクエストをバックアップ仮想サーバーに送信できます。
    • 他にも多くの負荷分散機能を使用できます。詳しくは，”Citrix ADCアプラereplicationアンスのトラフィックの負荷分散を参照してください。

  • 認証、承認、監査:LDAP、SAML半径などの独自の認証方法を定義し,APIリクエストの承認と監査を行うことができます。

  • レスポンダ:シャットダウン時にAPIリクエストを他のAPI网关にリダereplicationレクトできます。

  • レト制限:レト制限機能を設定して，apiゲの過負荷を回避できます。

  • 可用性の向上:Citrix ADCアプライアンスを高可用性セットアップまたはクラスターセットアップで構成して,AWS APIトラフィックの可用性を高めることができます。

  • REST API:Rest APIをサポトします。Rest APIは，クラウド本番環境での作業の自動化に使用できます。

  • デタの監視:参照用にデタを監視し，ログに記録します。

Citrix ADCアプライアンスにはさらに多くの機能があり,AWS APIゲートウェイと統合できます。詳しくは，Citrix ADCのドキュメントを参照してください。

Citrixウェブアプリケーションファイアウォールを使用してAWS API网关を保護する
2022年4月25日
寄稿者:
C
2022年4月25日
寄稿者:
C

この記事の概要

サ邮箱トに関するフィ邮箱ドバック | プラ邮箱バシ邮箱と法令 | Cookieの設定 | 同意設定
©1999 -思杰系统有限公司。保留所有权利。