Web App Firewall NetScaler
El Web App Firewall de NetScaler ofrece opciones fáciles de configurar para cumplir con una amplia gama de requisitos de seguridad de las aplicaciones. Los perfiles de Web App Firewall, que constan de conjuntos de comprobaciones de seguridad, se pueden utilizar para proteger tanto las solicitudes como las respuestas mediante inspecciones exhaustivas a nivel de paquetes. Cada perfil incluye una opción para seleccionar protecciones básicas o avanzadas. Algunas protecciones pueden requerir el uso de otros archivos. Por ejemplo, las comprobaciones de validación de XML pueden requerir archivos WSDL o de esquema. Los perfiles también pueden utilizar otros archivos, como firmas u objetos de error. Estos archivos se pueden agregar localmente o pueden importarse con anticipación y guardarse en el dispositivo para su uso futuro.
Cada directiva identifica un tipo de tráfico y ese tráfico se inspecciona para detectar las infracciones de comprobación de seguridad especificadas en el perfil asociado a la directiva. Las directivas pueden tener diferentes puntos de enlace, que determinan el alcance de la directiva. Por ejemplo, una directiva que está enlazada a un servidor virtual específico se invoca y evalúa únicamente para el tráfico que fluye a través de ese servidor virtual. Las directivas se evalúan en el orden de sus prioridades designadas y se aplica la primera que coincida con la solicitud o la respuesta.
-
Implementación rápida de la protección de Web App Firewall
Puede utilizar el siguiente procedimiento para implementar rápidamente la seguridad de Web App Firewall:
- Agregue un perfil de Web App Firewall y seleccione el tipo adecuado (html, xml, JSON) para los requisitos de seguridad de la aplicación.
- Seleccione el nivel de seguridad necesario (básico o avanzado).
- Agregue o importe los archivos necesarios, como firmas o WSDL.
- Configure el perfil para que utilice los archivos y realice cualquier otro cambio necesario en la configuración predeterminada.
- Agregue una directiva de Web App Firewall para este perfil.
- Enlace la directiva al punto de enlace de destino y especifique la prioridad.
-
Entidades de Web App Firewall
Perfil: un perfil de Web App Firewall especifica qué buscar y qué hacer. Inspecciona tanto la solicitud como la respuesta para determinar qué posibles infracciones de seguridad deben verificarse y qué acciones deben tomarse al procesar una transacción. Un perfil puede proteger una carga HTML, XML o HTML y XML. Según los requisitos de seguridad de la aplicación, puede crear un perfil básico o avanzado. Un perfil básico puede proteger contra ataques conocidos. Si se requiere una mayor seguridad, puede implementar un perfil avanzado para permitir el acceso controlado a los recursos de la aplicación y bloquear los ataques de día cero. Sin embargo, se puede modificar un perfil básico para ofrecer protecciones avanzadas y viceversa. Hay varias opciones de acción disponibles (por ejemplo, bloquear, registrar, aprender y transformar). Las comprobaciones de seguridad avanzadas pueden utilizar cookies de sesión y etiquetas de formulario ocultas para controlar y supervisar las conexiones del cliente. Los perfiles de Web App Firewall pueden aprender las infracciones desencadenadas y sugerir las reglas de relajación.
Protecciones básicas: un perfil básico incluye un conjunto preconfigurado de reglas de relajación de URL de inicio y denegación de URL. Estas reglas de relajación determinan qué solicitudes deben permitirse y cuáles deben denegarse. Las solicitudes entrantes se comparan con estas listas y se aplican las acciones configuradas. Esto permite al usuario proteger las aplicaciones con una configuración mínima para las reglas de relajación. Las reglas de URL de inicio protegen contra la navegación forzosa. Las vulnerabilidades conocidas del servidor web que explotan los piratas informáticos se pueden detectar y bloquear activando un conjunto de reglas predeterminadas de denegar URL. Los ataques lanzados comúnmente, como desbordamiento de búfer, SQL o scripts entre sitios también se pueden detectar fácilmente.
Protecciones avanzadas: como su nombre indica, se utilizan protecciones avanzadas para aplicaciones que tienen requisitos de seguridad más altos. Las reglas de relajación se configuran para permitir el acceso solo a datos específicos y bloquear el resto. Este modelo de seguridad positiva mitiga los ataques desconocidos, que podrían no detectarse mediante comprobaciones de seguridad básicas. Además de todas las protecciones básicas, un perfil avanzado realiza un seguimiento de la sesión de un usuario mediante el control de la navegación, la búsqueda de cookies, la especificación de los requisitos de entrada de los distintos campos del formulario y la protección contra la manipulación de formularios o los ataques de falsificación de solicitudes entre sitios. El aprendizaje, que observa el tráfico e implementa las relajaciones adecuadas, está activado de forma predeterminada para muchas comprobaciones de seguridad. Aunque son fáciles de usar, las protecciones avanzadas requieren la debida consideración, ya que ofrecen una seguridad más estricta, pero también requieren más procesamiento y no permiten el uso del almacenamiento en caché, lo que puede afectar el rendimiento.
Importar: la funcionalidad de importación resulta útil cuando los perfiles de Web App Firewall deben utilizar archivos externos, es decir, archivos alojados en un servidor web externo o interno, o que deben copiarse desde un equipo local. Importar un archivo y almacenarlo en el dispositivo es útil, especialmente en situaciones en las que tiene que controlar el acceso a sitios web externos o cuando la compilación lleva mucho tiempo, los archivos grandes se deben sincronizar entre implementaciones de alta disponibilidad o puede reutilizar un archivo copiándolo en varios dispositivos. Por ejemplo:
- Los WSDL alojados en servidores web externos se pueden importar localmente antes de bloquear el acceso a sitios web externos.
- Los archivos de firmas grandes generados por una herramienta de escaneo externa, como Cenzic, se pueden importar y precompilar mediante el esquema del dispositivo NetScaler ADC.
- Una página de error HTML o XML personalizada se puede importar desde un servidor web externo o copiar desde un archivo local.
Firmas: las firmas son potentes porque utilizan la coincidencia de patrones para detectar ataques maliciosos y se pueden configurar para comprobar tanto la solicitud como la respuesta de una transacción. Son una opción preferida cuando se necesita una solución de seguridad personalizable. Hay varias opciones disponibles (por ejemplo, bloquear, registrar, aprender y transformar) para que la acción se lleve a cabo cuando se detecte una coincidencia de firmas. El Web App Firewall tiene un objeto de firma predeterminado integrado que consta de más de 1300 reglas de firma, con la opción de obtener las reglas más recientes mediante la función de actualización automática. Las reglas creadas por otras herramientas de análisis también se pueden importar. El objeto de firma se puede personalizar agregando nuevas reglas, que pueden funcionar con las demás comprobaciones de seguridad especificadas en el perfil de Web App Firewall. Una regla de firma puede tener varios patrones y solo puede marcar una infracción cuando todos los patrones coinciden, evitando así los falsos positivos. La selección cuidadosa de un
fastmatchpatrón literal para una regla puede optimizar significativamente el tiempo de procesamiento.Directivas: las directivasde Web App Firewall se utilizan para filtrar y separar el tráfico en diferentes tipos. Esto proporciona la flexibilidad necesaria para implementar diferentes niveles de protección de seguridad para los datos de la aplicación. El acceso a los datos altamente confidenciales se puede dirigir a inspecciones de control de seguridad avanzadas, mientras que los datos menos confidenciales se protegen mediante inspecciones de seguridad de nivel básico. Las directivas también se pueden configurar para evitar la inspección de control de seguridad en caso de tráfico inofensivo. Una mayor seguridad requiere más procesamiento, por lo que un diseño cuidadoso de las directivas puede proporcionar la seguridad deseada junto con un rendimiento optimizado. La prioridad de la directiva determina el orden en que se evalúa y su punto de enlace determina el alcance de su aplicación.
Resumen
- Capacidad para proteger una amplia gama de aplicaciones mediante la protección de diferentes tipos de datos, la implementación del nivel de seguridad adecuado para los diferentes recursos y, al mismo tiempo, obtener el máximo rendimiento.
- Flexibilidad para agregar o modificar una configuración de seguridad. Puede reforzar o relajar los controles de seguridad habilitando o inhabilitando las protecciones básicas y avanzadas.
- Opción para convertir un perfil HTML en un perfil XML o Web2.0 (HTML+XML) y, a la inversa, ofrece la flexibilidad necesaria para agregar seguridad a diferentes tipos de carga útil.
- Acciones fáciles de implementar para bloquear ataques, supervisarlos en registros, recopilar estadísticas o incluso transformar algunas cadenas de ataque para hacerlos inofensivos.
- Capacidad para detectar ataques mediante la inspección de las solicitudes entrantes y para evitar la fuga de datos confidenciales mediante la inspección de las respuestas enviadas por los servidores.
- Capacidad de aprender del patrón de tráfico para obtener recomendaciones sobre reglas de relajación fácilmente modificables que se puedan implementar para permitir excepciones.
- Modelo de seguridad híbrido que aplica el poder de las firmas personalizables para bloquear los ataques que coincidan con patrones específicos y proporciona la flexibilidad necesaria para utilizar las comprobaciones del modelo de seguridad positivo para obtener protecciones de seguridad básicas o avanzadas.
- Disponibilidad de informes de configuración completos, que incluyen información sobre el cumplimiento de PCI-DSS.