WAF 洞察

WAF 洞察的工作原理

• 威胁指数。 一种一位数评级系统，指示应用程序受攻击的严重程度，无论应用程序是否受 NetScaler 设备保护。应用程序受到的攻击越严重，该应用程序的威胁指数就越高。值范围为 1 到 7。
  威胁指数基于攻击信息。攻击相关信息（例如违规类型、攻击类别、位置和客户端详细信息）可让您深入了解应用程序受到的攻击。仅当发生违规或攻击时，违规信息才会发送到 NetScaler Console。许多漏洞和安全弱点会导致较高的威胁指数值。
• 安全指数。 一种一位数评级系统，指示您配置 NetScaler 实例以保护应用程序免受外部威胁和漏洞的安全性。应用程序的安全风险越低，安全指数就越高。值范围为 1 到 7。
  安全指数同时考虑应用程序防火墙配置和 NetScaler 系统安全配置。要获得较高的安全指数值，这两种配置都必须强大。例如，如果已实施严格的应用程序防火墙检查，但未采用 NetScaler 系统安全措施（例如为 nsroot 用户设置强密码），则应用程序将被分配较低的安全指数值。
• 可操作信息。 您需要降低威胁指数和提高安全指数的信息，这将显著提高应用程序安全性。例如，您可以查看有关违规、应用程序防火墙和其他安全功能的现有和缺失安全配置以及应用程序受攻击速率的信息。

配置 WAF 洞察

1. 导航到“基础结构 > 实例 > NetScaler”并选择实例类型。例如，VPX。
2. 选择实例，然后从“选择操作”列表中选择“配置分析”。
3. 在“在虚拟服务器上配置分析”窗口中：
   1. 选择要启用安全洞察的虚拟服务器，然后单击“启用安全和分析”。
      将显示“启用安全和分析”窗口。
   2. 选择“WAF 安全违规”
   3. 在“高级选项”下，选择“Logstream”或“IPFIX”作为传输模式
      注意
      对于 NetScaler 12.0 或更早版本，“IPFIX”是传输模式的默认选项。对于 NetScaler 12.0 或更高版本，您可以选择“Logstream”或“IPFIX”作为传输模式。
      有关“IPFIX”和“Logstream”的更多信息，请参阅Logstream 概述。

   4. 表达式默认为 true
   5. 单击“确定”
      
      注意
      • 如果您没有使用弹性许可证，并且您选择了未获得许可的虚拟服务器，则 NetScaler Console 会首先许可这些虚拟服务器，然后启用分析。

为安全洞察报告配置地理位置

1. 将地理数据库文件 Citrix_Netscaler_InBuilt_GeoIP_DB.csv 复制到 NetScaler 设备上的任意位置。
2. 使用文本编辑器（例如 vi 编辑器）打开地理数据库文件，并为组织中的每个位置添加一个条目。
   条目必须采用以下格式：
   <start IP\>,<end IP\>,,<country\>,<state\>,,<city\>,,longitude,latitude
   例如，
   4.17.142.224,4.17.142.239,,US,New York,,Harrison,,73.7304,41.0568
3. 运行以下命令以启用地理位置日志记录和 CEF 格式的日志记录：
   • add locationFile <包含数据库文件的完整路径\>
   • 设置应用防火墙设置 -geoLocationLogging ON
   • 设置应用防火墙设置 -CEFLogging ON

阈值

1. 导航到“设置 > 分析设置 > 阈值”，然后选择“添加”。
2. 在“流量类型”字段中将流量类型选择为“安全”，并在其他相应字段（例如“名称”、“持续时间”和“实体”）中输入所需信息。
3. 在“规则”部分中，使用“指标”、“比较器”和“值”字段设置阈值。
   例如，“威胁指数” “>” “5”
4. 单击“创建”。

WAF Insight 用例