Citrix Web应用防火墙の概念実証展開ガイド
概要
この概念実証(PoC)ガイドは,スタンドアロンまたは既存のADC展開の一部としてCitrix Web应用防火墙(WAF)を迅速に展開し,Webアプリケーションとサービスを保護するために設計されています。このガイドでは,Citrix WAFの基本,展開のベストプラクティス,およびWAFプロジェクトの次のステップについて説明します。このガイドでは,利用可能なすべての保護をカバーするわけではありません。また,現在利用可能なすべてのWebテクノロジーも網羅していません。
この手順は,ADCアプライアンスによってすでにプロキシされているアプリケーションまたはサーバのクローン作成について説明しています。これにより,管理者は既存のトラフィックを中断することなくポリシーとルールを構築できます。これは,Web应用程序防火墙のPoCを展開する唯一の方法ではありませんが,他の方法よりも簡単です。
概念アーキテクチャ
Web应用程序防火墙はレイヤ3またはレイヤ4で動作する従来のネットワークファイアウォールとは異なり,アプリケーションレイヤであるレイヤ7で動作します。これは、HTTP、XML、SQL、およびHTMLのようなWebおよびアプリケーションプロトコルを理解しています。
Citrix WAFは,可能な限り幅広い保護を実現するために,正と負の両方のセキュリティモデルを提供します。ネガティブセキュリティモデルは,既知の攻撃を防ぐために脆弱性シグネチャを採用しています。また,迅速な初期導入を可能にし、サードパーティのアセスメントツールから結果をインポートすることにより、アプリケーションの「仮想パッチ適用」メカニズムを提供します。
正のセキュリティモデルは,許可されるトラフィックパターンとユーザ動作を定義し,それ以外のすべてをブロックします。WAFエンジンは,動的プロファイリングを使用して,許容可能な動作のルールセットを構築します。
前提条件
このガイドでは,Citrix ADCまたはスタンドアロンのCitrix WAFで次の項目がすでに構成されていることを前提としています。
- ネットワークの概念とCitrix ADCの管理に関する基本的な理解
- ADCアプライアンスはすでに導入されており,ネットワーク上でアクセス可能
- 適切なライセンスが適用されている——スタンドアロンWAFまたはADCの場合,溢价ライセンスが必要です
- NSIPが割り当てられ,管理のためにアクセス可能
- 剪断が割り当てられ,保護されている1つ以上のサービスと通信できる
別のVIPの内部専用IPアドレスとDNSエントリ(ADCによってすでにサービスが負荷分散されている場合があるため,別のIPとDNSが使用可能であることを確認してください)
注:
別のDNS名とURLを使用してアプリケーションにアクセスする場合は,新しい名前を認識するために,アプリケーションに構成を追加する必要があります。
- 保護するアプリケーションまたはサービスのアーキテクチャと構造に関する基本的な理解。たとえば,サイトがクレジット・カード情報を処理し,クレジット・カード保護が有効かどうかを決定する場合,またはアプリケーションでSQLデータベースを使用して記憶域にSQLデータベースを使用するかどうかがSQLi保護を使用するかどうかが判断されます。
- 保護されているアプリケーションに応じて、HTTP、HTML、正規表現,JavaScriptなどのWebプロトコルと技術の基本的な理解
- Citrix ADCでのレイヤー4の負荷分散と構成の基本的な理解
- 専用のsyslogサーバ——ローカルsyslogを使用できますが,専用のsyslogサーバを設定することをお勧めします。または、安全洞察力を備えたCitrix ADMは,WAFエンジンとアプリケーションセキュリティの詳細な分析を提供します
WAF概念実証に関する考慮事項
おそらく,保護するWebサービスまたはアプリケーションは,ロード・バランシングやその他のトラフィック管理のために,ADCによってすでにプロキシされています。WAF PoCの展開中,既存のユーザのアプリケーションの機能や可用性を損なうことはありません。これを実現するために,重複した仮想サーバが作成されます。ただし,重複する仮想サーバにはWAFポリシーがバインドされている点が異なります。
この方法により,ユーザはアプリケーションをテストして,アプリケーションが正しく機能していることを確認し,許容可能なトラフィックのWAFルールを構築することもできます。
Web应用程序防火墙を有効にする前に,ADC配置のサイジングを考慮する必要があります。これは,リソースを大量に消費する可能性があるからです。サイズを見積もる最善の方法は,Webサーバーを使用して,要求サイズ,応答サイズ,およびフォーム数を分析および推定することです。Citrix ADCを使用して基本的なWebサイジングメトリックを収集できますが,アプリケーションがすでにプロキシされている場合に限ります。
显示httpband类型回应显示httpband类型请求
特定の保護には,他のものよりも大幅に多くのリソースが必要となるため、高度な保護と呼ばれます。高度な保護は,フォームフィールド,URL,饼干,およびWebトランザクション内のその他のデータを記憶しているため,より多くのリソースを消費します。WAFエンジンは,トランザクション間でデータが変更されないことを検証し,要求と応答が改ざんされないこと,およびそれにより多くのアプライアンスのメモリを消費します。設定に記載されているように,一部の高度な保護機能では,セッションレスチェックがサポートされています。セッションレス保護では,メモリよりも多くのCPUリソースが必要です。
たとえば,先进的ポリシーが適用されたアプライアンスは,基本保護のみを持つ同一アプライアンスの約10分の1のトラフィックを処理できます。各アプライアンスでサポートされているWAFスループット機能については,Citrix ADCのデータシートを参照してください。
推奨される保護
通常,これらのセキュリティチェックはWAFプロファイルで有効にできます。これらのチェックのほとんどは,ブロッキングを有効にする前に,学習されたルールを適用する必要があります。学習されたルールを先に展開せずに,デフォルトでブロックをイネーブルにしないでください。
注:
このリストは網羅的なものではありません。一部の保護は,一部のアプリケーションと互換性がありません。また,一部の保護は他のアプリケーションにメリットを追加しません。
- クッキーの一貫性
- アプリケーションからのセッション饼干をWAFエンジンによって暗号化またはプロキシすることを許可する
- クッキーの一貫性により,悪意のあるアクターがクッキーを改ざんするのを防ぎます
クッキーの一貫性は高度な保護です
注:
ユーザーがアプリケーションをアクティブに使用しているときは,この設定を有効にしないでください。暗号化されていないセッションクッキーは送信されません。
- Citrix製品ドキュメントの詳細情報
- バッファオーバーフロー
- セキュリティで保護されていないOSやWebサーバソフトウェアに対する攻撃を防止。処理できるよりも大きいデータを受信すると,予期せぬ動作をする
- バッファオーバーフローは,URL,クッキー,またはヘッダーが指定された最大サイズよりも長いかどうかを検出します
- Citrix製品ドキュメントの詳細情報
- フォームフィールドの一貫性チェック
- ユーザーが返したWebフォームがサーバーに送信される前に変更されていないことを検証します。
- フォームフィールドの一貫性は,セッションレスサポートによる高度な保護機能
- Citrix製品ドキュメントの詳細情報
- SQLインジェクション
- 发布本文,ヘッダー,および饼干からSQLの特殊キーワードと文字をブロックまたは変換します。
- WebアプリケーションがSQLデータベースを使用する場合にのみ適用可能
- Citrix製品ドキュメントの詳細情報
- クロスサイトスクリプティングチェック(XSS)
- クロスサイトスクリプト攻撃に対する要求のヘッダーと发布本文をチェックします。
- WAFは,要求を完全にブロックするか,問題のあるスクリプトを変換して実行されないようにすることができます
- Citrix製品ドキュメントの詳細情報
- URLを拒否する
- ハッカーや悪意のあるコードやスクリプトが一般的にアクセスするURLへの接続をブロックする
- [編集]、[追加]の順にクリックして,(緩和ルール]> [URL拒否) UIでカスタムURL拒否ルールを追加できます。
- Citrix製品ドキュメントの詳細情報
- 開始网址(URL閉鎖)
- ブックマーク,外部リンク,ページジャンプ,または手動でURLを入力することで,サイト上のランダムなURLへの直接アクセス(強制ブラウジング)を防止
- 開始URLは,セッションレスサポートによる高度な保護です。学習したルールは,開始URLに基づいてブロックする前に展開する必要があります。
- Citrix製品ドキュメントの詳細情報
初期WAF設定
WAF保護を設定する場合,次の2つのオプションがあります。
- オプション1:Web应用程序防火墙構成ウィザードを使用してWAFプロファイルとWAFポリシーを作成する
- ウィザードでは,次のように,初期署名セットおよびその他のセキュリティチェックと設定を構築する手順について説明します。
- Web UIで,(セキュリティ]> [Citrix Web应用防火墙]の順に移動します。
- WAFプロファイルの名前とプロファイルの種類(保護するアプリケーションの種類に応じてWeb、XML、またはJSON)を選択します。
- WAFエンジンによって処理されるトラフィックを決定する式を指定します。
既知の脆弱性の保護を適用するシグニチャを選択します。既存のシグニチャセットを使用するか,新しいセットを作成するオプションがあります。この保護プロファイルに適用するシグニチャを選択するには,基本機能または高度な機能を提供する2つのエディタオプションがあります。
両方のエディタには,シグニチャを選択し,有効化,ブロック,ログ,または統計を選択するナビゲーションオプションがあります。複数のページの署名に注意し,すべてが選択されていることを確認してください。基本エディタは使い始めるのが簡単ですが,高度なエディターではより多くの機能が提供されます
注:
次の手順に進む前に,署名が启用としてマークされていることを確認します。
- アプリケーションに適用可能なディーププロテクションを選択します。まず,ロギング,統計,およびラーニングを有効にすることをお勧めします。多くの保護で学習されたルールが必要なため,最初はブロッキングを有効にしないでください。
重要:
WAFウィザードを使用してプロファイルとポリシーを作成すると,グローバルにバインドされます。フィルタリング式をデフォルト(真正的)のままにすると,すべてのトラフィックがWAFエンジンによって処理され,アプリケーションが誤動作する可能性があります。推奨されるアクションは,デフォルトのグローバルバインドポイントからポリシーのバインドを解除し,代わりに後で作成される磅仮想サーバーにバインドすることです。グローバルバインドポイントからWAFポリシーをバインド解除するには,次の手順を実行します。
- [セキュリティ]> Citrix Web应用防火墙]>[ポリシー]>[ファイアウォール]に移動します。
- [ポリシーマネージャ]を選択し,(デフォルトグローバル]を選択します。
- リストされているWAFポリシーを強調表示し,(解开]を選択します。
- ウィザードでは,次のように,初期署名セットおよびその他のセキュリティチェックと設定を構築する手順について説明します。
- オプション2:または,WAFプロファイル,WAFポリシーを手動で作成し,署名セットを適用することによって,WAF保護をアプリケーションまたはサイトに適用することもできます。
- アプリケーションの署名セットを作成する
- [セキュリティ]> [Citrix Web应用防火墙]>[署名)に移動します。
- [默认的签名]をハイライトし,(添加]を押して,デフォルトシグニチャセットのコピーを作成します
- 保護するアプリケーションまたはサイトに応じて適切な署名を選択し,署名が[启用]に設定されていることを確認します。
- Web应用程序防火墙プロファイルの作成
- [セキュリティ]> Citrix Web应用防火墙]>[プロファイル]に移動します。
- プロファイルにわかりやすい名前を付けて,保護するアプリケーションの種類に応じて[网络],[XML],または(JSON)を選択します。
- 基本設定を適用するには,基本]を選択します。
- 作成したら,新しいプロファイルをハイライト表示し,(編集]を押します
- セキュリティチェックを開き、すべてのアイテムでブロックを選択解除します
- プロファイル設定を開く
- [バインドされた署名]設定で以前に作成した署名セットを選択します。
- バックエンドアプリケーションサーバーがチャンクされた要求をサポートしている場合は、[ストリーミング]を有効にしてパフォーマンスを向上させます
- 保護されているアプリケーションまたはWebサイトに基づいて,追加の設定を変更します。
- Web应用程序防火墙ポリシーの作成
- [セキュリティ]> Citrix Web应用防火墙]>[ポリシー]>[ファイアウォール]に移動します。
- [追加]を押して,新しいポリシーを作成します
- ポリシーにわかりやすい名前を付けて,前に作成したWAFプロファイルを選択します。
- WAFエンジンによって処理されるトラフィックを決定するトラフィック式を作成します。
- アプリケーションの署名セットを作成する
使用方法に関係なく,基本的なWeb应用防火墙設定をバインドできるようになりました。最後の手順は,シグニチャファイルを更新することです。
- [セキュリティ]> [Citrix Web应用防火墙]>[署名]に移動します。
- 新しく作成した署名セットをハイライトし,[アクションの選択]>[自動更新設定)を押します。
署名の自動更新を有効にし,更新URLが入力されていることを確認します
注:
シグニチャの更新では,ADCがDNS名を解決し,NSIPからパブリックインターネットにアクセスできる必要があります。
- 自動更新が設定されると,ADCは1時間に1回アップデートをチェックします。シグニチャは手動で更新することもでき,WAFプロファイルとポリシーの作成後に手動更新を1回実行する必要があります。
ADCアプライアンスがシグニチャアップデートに到達できるかどうかを確認するには,CLI(退出Shell)から次のコマンドを実行します。
壳旋度-我https://s3.amazonaws.com/NSAppFwSignatures/SignaturesMapping.xml
システムはHTTP / 1.1 200 OKを返す必要があります
最新のシグニチャアップデートのドキュメントは,Citrix製品ドキュメントで入手できます。RSSによるアップデートも利用できます。
デフォルトでは,共通イベント形式(CEF)ロギングは有効になっていません。WAFはネイティブロギング形式を使用します。さらに,WAFエンジンには,リクエストのジオロケーション情報を含めることができます。トラブルシューティングを容易にするために,(セキュリティ]> [Citrix Web应用防火墙]>[エンジン設定の変更]の順に選択して,CEFログとジオロケーションを有効にすることをお勧めします。欧共体语言教学大纲的ロギングおよびGeoロケーションロギングのチェックボックスをオンにします**。または,これらの設定は,CLIを使用して次のようにで有効にできます。
集设置GeoLocationLogging ON CEFLogging ON
仮想サーバ構成のクローン作成
Web应用程序防火墙プロファイルとポリシーを作成したら,負荷分散仮想サーバーにバインドする必要があります。アプリケーションまたはサービスがADCにまだ設定されていない場合は,最初から設定する必要があります。アプリケーションがすでに設定されている場合は,クローンする必要があります。
既存の仮想サーバのクローンをすばやく作成するには,次の手順を実行します。
- [トラフィック管理]>[負荷分散]>[仮想サーバー]に移動します
- 既存の仮想サーバをハイライト表示し,(追加]を押して,同様の設定で新しい仮想サーバを作成します。
- 新しい仮想サーバに新しい名前および異なるIPアドレスを割り当てる
- ポートとプロトコルが正しいことを確認し,(好的)を押します
- サービスまたはサービスグループをバインドし,(继续]を押します
- 既存の仮想サーバと一致するために必要な負荷分散方法,永続性,およびその他のトラフィック設定を変更します。
- この仮想サーバーがHTTPS仮想サーバーの場合は,適切な証明書がバインドされ,セキュリティで保護された密码套件がバインドされていることを確認します。
次に,WAFポリシーを,この新しい仮想サーバにバインドする必要があります。
- [トラフィック管理]>[負荷分散]>[仮想サーバー]に移動します
- 新しく作成した仮想サーバをハイライト表示し,(編集]を押します。
- 右の[詳細設定]列で,(ポリシー]
- +(プラス)アイコンを押してポリシーを追加します
- * *リクエストの種類でアプリファイアウォールポリシーを選択する**
- デフォルトのバインドの詳細は放置することができます
ユーザー受け入れテストと初期トラブルシューティング
この時点で,ユーザは新しいURLを使用してアプリケーションのテストを開始し,WAFポリシーがバインドされたWebアプリケーションにアクセスできます。アプリケーションの複雑さに応じて,異なる部署にまたがる複数のユーザーがアプリケーションを使用して,許容可能なトラフィック量を生成する必要があります。このトラフィックは,学習エンジンによってアプリケーションのすべての部分を確認し,アプリケーションの機能を妨げるフォールスポジティブブロックがないことを確認するために使用されます。
最初のテストでは,問題のあるリクエストに関連する情報を見つけるのは難しい場合がありますが,これを支援する設定がいくつかあります。1つ目は,要求がブロックされるたびに診断情報を提示するカスタムHTMLエラーオブジェクトを設定することです。エラーオブジェクトが設定されていない場合,ユーザーには情報が何も提供されない空白のページが表示されることがよくあります。
注:
これは,WAFで保護されたアプリケーションがテスト対象外のユーザーに公開されると,削除または変更することをお勧めします。
- 診断情報を表示するようにHTMLエラーオブジェクトを設定します。
- WAFプロファイルに移動し,[* *プロファイルの設定* *]を展開します
- HTMLエラーオブジェクトを選択し,追加ボタン(またはプラス)をクリックして新しいオブジェクトを作成します
- [HTMLエラーページのインポート]で[テキスト]を選択します
- エラーオブジェクトに名前を付けて,次のコードを貼り付けます。
< html >< >头<标题>应用防火墙阻止页面< /名称>< / >头<身体><标题> < B >您的请求已被安全策略阻止< B > < BR > < / H1 >< H3 >访问已被阻止-如果你觉得这是错误的,请联系网站管理员引用以下内容:< / H3 >< UL ><李>nstransaction ID: ${NS_TRANSACTION_ID}<李>AppFW会话ID: ${NS_APPFW_SESSION_ID}<李>违反类别:$ {NS_APPFW_VIOLATION_CATEGORY}<李>违反细节:$ {NS_APPFW_VIOLATION_LOG}< / UL >< /身体>< / html >
結果のエラーページには,違反カテゴリやログの詳細など,貴重な診断情報が表示されます。この情報により,管理者は,フォールスポジティブが原因でブロックを緩和する必要があるかどうかを検証できます。
重要:
WAFブロックによっては,ページの特定の要素の読み込みのみが妨げられます。たとえば,画像、CSS フォーマット、スクリプト、ボタン\ フォーム機能が動作しない場合があります。これらのブロックは依然として問題と見なされますが、診断エラーページは表示されません。syslog ビューア(以下の例を参照)を使用して、問題の原因となっているシグニチャまたはセキュリティチェックを見つけます。
WAFエンジンによって生成されるSyslogメッセージは,診断エラーページが使用できない場合に,ブロックされたセッションを理解するのに役立ちます。
- [システム]>[監査]> [Syslogメッセージ]
- 「フィルタ”列で”“モジュールを選択し,”APPFW“を選択します。
- 適用を押してください
フォールスポジティブブロックがある場合,いくつかの違反はSyslogビューアからすぐに緩和できます
- [Syslogメッセージ]ビュー(前の)から,ルール違反であるSyslogメッセージを見つけます。
- メッセージの右上隅にあるボックスにチェックを入れます
- [アクション]メニューを選択し,[展開]を選択します。
- または,展開する前に緩和ルールを変更することもできます
注:
署名違反による偽陽性のブロックは,多くの場合,Webアプリケーションが標準に従っていないか,正しく記述されていないことを意味します。アプリケーションを機能させる即時アクションは,緩和ルールを適用することですが,長期的な目標は,アプリケーション自体を修正することです。記述の悪いアプリケーションでの緩和ルールは,アプリケーションの機能を許可することにより,悪意のあるコンテンツを通過させることができます。
すべてのアイテムの統計をオンにすると,アプライアンスはルールまたはシグニチャに違反するたびにカウンタを収集します。これは,最初にカウンタをクリアして,WAFポリシーの結果としてブロックされた新しい要求が発生したかどうかを確認できるので便利です。
ADC UIの[ダッシュボード]タブで,統計ビューを[アプリケーションファイアウォール]に設定し,関連するすべての統計数を表示します。統計は,このビューからもクリアできます。
または,次のコマンドを使用して,アプライアンスのシェルコマンドラインから統計を表示できます。
nsonmsg- d统计|grepappfw
Web应用程序防火墙はWeb標準に準拠しており,既定では,不正な形式の要求はブロックされます。この動作を変更するには,次の操作を行います。
- Citrix WAFは厳格なHTTPチェックを使用しています
- デフォルトでは無効で,RFCに準拠していないHTTP要求はブロックされます。
- RFCに準拠していない要求処理を変更するには,[セキュリティ]> [Citrix Web应用防火墙)の順に選択し,(エンジンの設定の変更]
- CLIメソッドでは,不正な形式のリクエストのロギングと統計生成のみを設定するには,次のコードを参照してください。
注:
この設定はグローバルです。ブロックオプションを無効にすると,WAFエンジンは,RFCに準拠していない要求に対してアプリケーションファイアウォール処理をバイパスします。これはお勧めしません。
集appfw设置-malformedReqAction日志数据
セキュリティチェックの学習
学習されたデータは,WAFエンジンのポジティブなセキュリティモデルのルールを作成するために使用されます。学習されたルールに関するいくつかの簡単な詳細:
- RegEx形式で保存され,分析または移行のためにCSVにエクスポート可能
- アプライアンスのHAペアに伝播される
- セキュリティチェックはラーニングモードのままにできますが,必須ではありません。
- UAT中に処理されるトラフィックが増加するほど,より有用なデータを収集します
- アプライアンスが既知のクライアントと不明なクライアントの両方からトラフィックを受信しているときに,学習用に信任学习客户を設定することを強く推奨します。この設定により,悪意のあるトラフィックが学習されたルールに許可されないようにします。
学習されたエンジンは,aslearn
プロセスとして実行され,ルールは次の場所にSQLite形式で格納されます。
/var/nslog/asl/appfwprofile.db
ラーニングモードは永続的に有効にできますが,学習データベースのサイズ制限は20 MBです。データベースがこのサイズに達すると,ラーニングエンジンは新しいデータを追加しません。
プロセスの観点からは,次のように学習が行われます。
有効なラーニングチェックを含むバインドWAFポリシーを使用してユーザが新しいアプリケーションにアクセスしているときはいつでも,学習された規則が生成されます。重複仮想サーバーアプローチを使用すると,保護されたアプリケーションをテストしている間,本番トラフィックはブロックされません。さらに,この時点でWAFエンジンを通過するすべてのトラフィックは,学習されたルールを生成します。
緩和規則を構築し,誤検出ブロックなしでアプリケーションが期待どおりに動作することを保証するための典型的な流れは,連続的に発生します。
このプロセスは,以前にルールが作成されていないアプリケーションまたはワークフローに変更があるときはいつでも繰り返す必要があります。
UIを使用して学習されたデータを表示するには,次の手順を実行します。
- [セキュリティ]> [Citrix Web应用防火墙]>[プロファイル]の順に選択し[アプリファイアウォール]プロファイルを選択して[編集]を選択します。
- 右側の列で,(学習したルール]を選択します。
- ラーニングをサポートする各セキュリティチェックは,いくつかのオプションとともに表示されます。
- 特定のセキュリティチェックで学習されたルールを表示および展開するには,(編集]を選択します。
- ルールが配置されると,学習したルールから緩和ルールに移行されます。
- 学習したルールUIから,ルールを[学習したデータのエクスポート]ボタンを使用してルールをCSVにエクスポートしてから,ルールを緩和ルールに移動できます。
- ビジュアライザーは,ルールと保護されたアプリケーションのURLマップを視覚化するためのスタートURLチェックに特に便利なツールです。
学習したルールが緩和ルールに配備されると,セキュリティチェックを[ブロック]に設定できます。
注:
十分なトラフィックが処理されていないか,WAFエンジンによってすべてのアプリケーションパスが認識されない場合は,誤検出ブロックがある可能性があります。学習したルールプロセスは,アプリケーションが期待どおりに動作するまで繰り返すことができます。
インポートエクスポート
Web应用程序防火墙プロファイルの構成全体は,複数のアプライアンスに複製できます。このプロセスでは、HTMLエラーオブジェクト,XMLエラーオブジェクト,WSDL \ XMLスキーマ,署名,緩和規則など,すべてのバインドされたオブジェクトをキャプチャします。これは,テスト環境から実稼働環境に移行する場合や,変更を行う前にWAF設定をバックアップする場合に特に便利です。
注:
エクスポートされた構成では,両方のアプライアンスが同じビルド上にある必要があります。
GUIを使用してWAFプロファイルをエクスポートするには,ソースアプライアンスで,(セキュリティ]> [Citrix Web应用防火墙]>[プロファイル]> [WAFプロファイルの選択]の順に選択し,[操作]>[エクスポート]の順に選択します。エクスポートファイルの生成には,しばらく時間がかかる場合があります。アーカイブが完了すると,WafProfile.tgZファイルがクライアントコンピュータにダウンロードされます。
GUIを使用してWAFプロファイルをインポートするには,移行先アプライアンスで,(セキュリティ]> [Citrix Web应用防火墙]>[プロファイル]>[操作]>[インポート]の順に選択します。[インポート元] [ファイル] を選択し、[ファイルの選択] を選択して、以前にダウンロードしたアーカイブを検索します。インポートプロセスに関するすべての問題は、次のファイルに記録されます。
/var/log/ns.log
注:
インポートプロセスでは,WAFポリシーまたはバインディングは作成されません。
動的プロファイリング
ダイナミックプロファイリング機能は,バージョン13.0でWAFエンジンに追加され,設定されたしきい値の後に,学習したデータを自動的に緩和ルールに展開できます。管理者にアラートが送信され,無効な場合はデータをスキップできます。そうでない場合,データは自動的に追加されます。デフォルトでは,サポートされているすべてのセキュリティー検査で動的プロファイリングが無効になっています。動的プロファイリングを有効にし,設定を構成するには,次の手順を実行します。
- [セキュリティ]> [Citrix Web应用防火墙]>[プロファイル]の順に選択し[アプリファイアウォール]プロファイルを選択して[編集]を選択します。
- 右側の列で,(動的プロファイリング]を選択します。
- 各セキュリティチェックは,このUIから有効または無効にできます。
- このWaFプロファイルの動的プロファイル設定は,(設定]
動的プロファイルを使用する場合は,信頼できるラーニングクライアントを有効にして,有効なアプリケーショントラフィックのみがルールを生成するようにすることを強くお勧めします。これらのクライアントは,次の場所から追加できます。
- 学習したルールUI
- 動的プロファイリングUI
本番環境への移行時の考慮事項
重複仮想サーバ方式を使用する際の最も重要な考慮事項は、URLを含む学習された規則のいずれも,アプリケーションURLが変更された場合に適用されないことです。たとえば,開始URLおよびCSRFフォームタグルールにはURLが含まれます。
運用仮想サーバーに移行する最良の方法は,セキュリティー検査のブロックを無効にし,URLを含むルールを再学習して展開することです。または,学習したルールをエクスポートし,URLを変更した後に読み出すこともできます。また,信頼できるラーニングクライアントがまだ追加されていない場合は,有効化することも非常に重要です。
最後に,PoCを実稼働環境とは異なるリソースを持つテストプラットフォームで実行する場合は,Web应用程序防火墙を有効にすることで変化するリソース要件を考慮することが重要です。
参照ドキュメント
Citrixアプリケーションファイアウォールがアプリケーションデータトラフィックを変更する方法