Citrix Web App Firewall
Los siguientes temas tratan los detalles de instalación y configuración de la función Citrix Web App Firewall.
| Introducción | Información general sobre la seguridad web y cómo funciona el Web App Firewall. |
| Configuración | Cómo configurar el Web App Firewall para proteger un sitio web, un servicio web o un sitio web 2.0. |
| Firmas | Una descripción detallada sobre las firmas y cómo configurarlas desde una herramienta de análisis de vulnerabilidades admitida, y defina sus propias firmas, con ejemplos. |
| Introducción a las comprobaciones de seguridad | Una descripción detallada de las comprobaciones de seguridad de Web App Firewall, con información de configuración y ejemplos. |
| Perfiles | Descripción de cómo se configuran y utilizan los perfiles en Web App Firewall. |
| Directivas | Descripción de cómo se utilizan las directivas al configurar Web App Firewall, con ejemplos de directivas útiles. |
| Importaciones | Descripción de cómo el Web App Firewall utiliza diferentes tipos de archivos importados y cómo importar y exportar archivos. |
| Configuración global | Descripción de las funciones de Web App Firewall que se aplican a todos los perfiles y cómo configurarlos. |
| Casos de uso | Ejemplos extendidos que demuestran cómo configurar el Web App Firewall para proteger mejor tipos específicos de sitios web y servicios web más complejos. |
| Registros, estadísticas e informes | Cómo acceder y utilizar los registros del Web App Firewall, las estadísticas y los informes para ayudar a configurar el Web App Firewall. |
Citrix Web App Firewall ofrece opciones fáciles de configurar para cumplir con una amplia gama de requisitos de seguridad de aplicaciones. Los perfiles de Web App Firewall, que consisten en conjuntos de comprobaciones de seguridad, se pueden utilizar para proteger tanto las solicitudes como las respuestas, proporcionando inspecciones profundas a nivel de paquete. Cada perfil incluye una opción para seleccionar protecciones básicas o protecciones avanzadas. Algunas protecciones pueden requerir el uso de otros archivos. Por ejemplo, las comprobaciones de validación xml pueden requerir archivos WSDL o esquema. Los perfiles también pueden utilizar otros archivos, como firmas u objetos de error. Estos archivos se pueden agregar localmente o pueden importarse con anticipación y guardarse en el dispositivo para su uso futuro.
Cada directiva identifica un tipo de tráfico y ese tráfico se inspecciona para detectar las infracciones de comprobación de seguridad especificadas en el perfil asociado a la directiva. Las directivas pueden tener diferentes puntos de enlace, que determinan el alcance de la directiva. Por ejemplo, una directiva enlazada a un servidor virtual específico se invoca y evalúa solo para el tráfico que fluye a través de ese servidor virtual. Las directivas se evalúan en el orden de sus prioridades designadas y se aplica la primera que coincide con la solicitud o respuesta.
-
Implementación rápida de la protección de Web App Firewall
Puede utilizar el siguiente procedimiento para la implementación rápida de la seguridad de Web App Firewall:
- Agregue un perfil de Web App Firewall y seleccione el tipo apropiado (html, xml, JSON) para los requisitos de seguridad de la aplicación.
- Seleccione el nivel de seguridad requerido (básico o avanzado).
- Agregue o importe los archivos necesarios, como firmas o WSDL.
- Configure el perfil para utilizar los archivos y realice los cambios necesarios en la configuración predeterminada.
- Agregar una directiva de Web App Firewall para este perfil.
- Enlazar la directiva al punto de enlace de destino y especificar la prioridad.
-
Entidades de Web App Firewall
Perfil: un perfil de Web App Firewall especifica qué buscar y qué hacer. Inspecciona tanto la solicitud como la respuesta para determinar qué posibles violaciones de seguridad deben verificarse y qué acciones deben tomarse al procesar una transacción. Un perfil puede proteger una carga HTML, XML o HTML y XML. Dependiendo de los requisitos de seguridad de la aplicación, puede crear un perfil básico o avanzado. Un perfil básico puede proteger contra ataques conocidos. Si se requiere mayor seguridad, puede implementar un perfil avanzado para permitir el acceso controlado a los recursos de la aplicación, bloqueando ataques de día cero. Sin embargo, un perfil básico se puede modificar para ofrecer protecciones avanzadas, y a la inversa. Hay disponibles varias opciones de acción (por ejemplo, bloquear, registrar, aprender y transformar). Las comprobaciones de seguridad avanzadas pueden utilizar cookies de sesión y etiquetas de formulario ocultas para controlar y supervisar las conexiones del cliente. Los perfiles de Web App Firewall pueden aprender las infracciones desencadenadas y sugerir las reglas de relajación.
Protecciones básicas: un perfil básico incluye un conjunto preconfigurado de reglas de relajación de URL de inicio y denegación de URL. Estas reglas de relajación determinan qué solicitudes deben permitirse y cuáles deben denegarse. Las solicitudes entrantes se comparan con estas listas y se aplican las acciones configuradas. Esto permite al usuario ser capaz de proteger aplicaciones con una configuración mínima para reglas de relajación. Las reglas de URL de inicio protegen contra la navegación forzada. Las vulnerabilidades conocidas del servidor web que explotan los hackers pueden detectarse y bloquearse habilitando un conjunto de reglas predeterminadas Denegar URL. Los ataques lanzados comúnmente, como desbordamiento de búfer, SQL o scripts entre sitios también se pueden detectar fácilmente.
Protecciones avanzadas: como su nombre indica, se utilizan protecciones avanzadas para aplicaciones que tienen requisitos de seguridad más altos. Las reglas de relajación se configuran para permitir el acceso solo a datos específicos y bloquear el resto. Este modelo de seguridad positiva mitiga los ataques desconocidos, que podrían no ser detectados por las comprobaciones de seguridad básicas. Además de todas las protecciones básicas, un perfil avanzado realiza un seguimiento de una sesión de usuario mediante el control de la navegación, la comprobación de cookies, la especificación de los requisitos de entrada para varios campos de formulario y la protección contra la manipulación de formularios o ataques de falsificación de solicitudes entre sitios. El aprendizaje, que observa el tráfico e implementa las relajaciones adecuadas, está habilitado de forma predeterminada para muchas comprobaciones de seguridad. Aunque son fáciles de usar, las protecciones avanzadas requieren la debida consideración, ya que ofrecen una seguridad más estricta, pero también requieren más procesamiento y no permiten el uso del almacenamiento en caché, lo que puede afectar el rendimiento.
Importar: la funcionalidad de importación resulta útil cuando los perfiles de Web App Firewall deben utilizar archivos externos, es decir, archivos alojados en un servidor web externo o interno, o que deben copiarse desde un equipo local. Importar un archivo y almacenarlo en el dispositivo es útil, especialmente en situaciones en las que tiene que controlar el acceso a sitios web externos o cuando la compilación lleva mucho tiempo, los archivos grandes se deben sincronizar entre implementaciones de alta disponibilidad o puede reutilizar un archivo copiándolo en varios dispositivos. Por ejemplo:
- Los WSDL alojados en servidores web externos se pueden importar localmente antes de bloquear el acceso a sitios web externos.
- Los archivos de firma grandes generados por una herramienta de análisis externa como Cenzic se pueden importar y precompilar, mediante el esquema del dispositivo Citrix.
- Una página de error HTML o XML personalizada se puede importar desde un servidor web externo o copiar desde un archivo local.
Firmas: las firmas son potentes porque utilizan la coincidencia de patrones para detectar ataques maliciosos y se pueden configurar para comprobar tanto la solicitud como la respuesta de una transacción. Son una opción preferida cuando se necesita una solución de seguridad personalizable. Hay varias opciones (por ejemplo, bloquear, registrar, aprender y transformar) disponibles para la acción que se debe realizar cuando se detecta una coincidencia de firma. El Web App Firewall tiene un objeto de firma predeterminado integrado que consta de más de 1.300 reglas de firma, con una opción para obtener las reglas más recientes mediante la función de actualización automática. Las reglas creadas por otras herramientas de análisis también se pueden importar. El objeto de firma se puede personalizar agregando nuevas reglas, que pueden funcionar con las demás comprobaciones de seguridad especificadas en el perfil de Web App Firewall. Una regla de firma puede tener varios patrones y puede marcar una infracción solo cuando todos los patrones coinciden, evitando así falsos positivos. La selección cuidadosa de un
fastmatchpatrón literal para una regla puede optimizar significativamente el tiempo de procesamiento.Directivas: las directivasde Web App Firewall se utilizan para filtrar y separar el tráfico en diferentes tipos. Esto proporciona la flexibilidad necesaria para implementar diferentes niveles de protección de seguridad para los datos de la aplicación. El acceso a datos altamente confidenciales puede dirigirse a inspecciones avanzadas de comprobación de seguridad, mientras que los datos menos sensibles están protegidos por inspecciones de seguridad básicas. Las directivas también se pueden configurar para omitir la inspección de comprobación de seguridad para el tráfico inofensivo. Una mayor seguridad requiere más procesamiento, por lo que el diseño cuidadoso de las directivas puede proporcionar la seguridad deseada junto con un rendimiento optimizado. La prioridad de la directiva determina el orden en que se evalúa y su punto de enlace determina el alcance de su aplicación.
Resumen
- Capacidad para proteger una amplia gama de aplicaciones protegiendo diferentes tipos de datos, implementando el nivel adecuado de seguridad para diferentes recursos y obteniendo el máximo rendimiento.
- Flexibilidad para agregar o modificar una configuración de seguridad. Puede ajustar o relajar las comprobaciones de seguridad activando o desactivando las protecciones básicas y avanzadas.
- Opción para convertir un perfil HTML a un perfil XML o Web2.0 (HTML+XML) y a la inversa, proporcionando la flexibilidad necesaria para agregar seguridad para diferentes tipos de carga útil.
- Acciones fáciles de implementar para bloquear ataques, supervisarlos en registros, recopilar estadísticas o incluso transformar algunas cadenas de ataque para hacerlos inofensivos.
- Capacidad para detectar ataques inspeccionando las solicitudes entrantes y para evitar fugas de datos confidenciales mediante la inspección de las respuestas enviadas por los servidores.
- Capacidad para aprender del patrón de tráfico para obtener recomendaciones para reglas de relajación fácilmente modificables que se pueden implementar para permitir excepciones.
- Modelo de seguridad híbrido que aplica la potencia de las firmas personalizables para bloquear los ataques que coincidan con los patrones especificados y proporciona la flexibilidad para utilizar las comprobaciones del modelo de seguridad positiva para protecciones de seguridad básicas o avanzadas.
- Disponibilidad de informes de configuración completos, incluida información sobre el cumplimiento de PCI-DSS.