Avis de sécurité
Une infrastructure sûre, sécurisée et résiliente est la bouée de sauvetage de toute organisation. Les organisations doivent suivre les nouvelles vulnérabilités et expositions courantes (CVE) et évaluer l’impact des CVE sur leur infrastructure. Ils doivent également comprendre et planifier les mesures correctives pour résoudre les vulnérabilités. La fonctionnalité d’avis de sécurité de la console NetScaler vous permet d’identifier les CVE qui mettent vos instances NetScaler en danger et recommande des mesures correctives. Points saillants de l’avis de sécurité de la console NetScaler :
-
Détection et correction des vulnérabilités et expositions courantes (CVE) - Vous permet d’identifier les CVE mettant en danger vos instances NetScaler et recommande des corrections.
-
Surveillance de l’intégrité des fichiers - Vous permet d’identifier si des modifications ou des ajouts ont été apportés à vos fichiers de construction NetScaler.
En tant qu’administrateur, vous devez vous assurer de :
-
Suivez toutes les nouvelles vulnérabilités et expositions courantes (CVE), évaluez l’impact des CVE, comprenez la correction et résolvez les vulnérabilités.
-
Examinez l’intégrité de vos fichiers de build NetScaler.
Dans NetScaler Console on-prem 25.x et les versions ultérieures, l’avis de sécurité est automatiquement activé par défaut.
Points à noter :
-
L’intégrité des fichiers est prise en charge à partir des versions 14.1-34.x et ultérieures. la surveillance de l’intégrité des fichiers est activée via le mode automatisé de télémétrie NetScaler avec toutes les conditions préalables remplies. Pour plus d’informations, voir Mode de collecte de télémétrie automatisée. Si une condition préalable n’est pas remplie, l’onglet Surveillance de l’intégrité des fichiers ne s’affiche pas dans l’avis de sécurité.
-
Les nouvelles mises à jour CVE sont synchronisées automatiquement via le canal activé automatiquement.
-
La télémétrie facultative est collectée lorsque vous activez Avis de sécurité. La recommandation est d’activer Security Advisory pour afficher les dernières mises à jour CVE. Cependant, vous pouvez également désactiver les paramètres facultatifs. Pour désactiver, vous devez d’abord désactiver l’avis de sécurité dans la page de télémétrie NetScaler, puis accéder à Paramètres > Administration > Activer ou désactiver le partage des données de la fonctionnalité de la consoleet décocher la case J’accepte de partager les données d’utilisation des fonctionnalités de la console .
-
Si vous remarquez qu’une bannière sur la page des avis de sécurité mentionnant que les nouvelles mises à jour CVE ne sont pas synchronisées, vérifiez les problèmes suivants dans la télémétrie NetScaler dans l’interface graphique de la console sur site :
- L’avis de sécurité est désactivé
- Le mode manuel de collecte de télémétrie est activé
- Les URL des points de terminaison ne sont pas accessibles
- Le téléchargement a échoué via le canal activé automatiquement
Le tableau suivant fournit des détails sur la disponibilité de la fonctionnalité d’avis de sécurité dans différentes versions sur site de NetScaler Console :
| Construire | Disponibilité de la fonctionnalité d’avis de sécurité | Action requise | Collecte de données |
|---|---|---|---|
| 14.1-25.x ou version ultérieure | L’avis de sécurité est activé par défaut | Assurez-vous que le mode de collecte de télémétrie est en mode automatisé et que l’avis de sécurité est activé, et que les URL prérequises sont accessibles. | Oui. Les paramètres obligatoires et facultatifs sont collectés via le programme de télémétrie NetScaler . |
| Entre 14.1-8.x et 14.1-21.x | Les conseils de sécurité sont activés via Cloud Connect. | Configurez Cloud Connect et activez Security Advisory. | Oui. Après avoir configuré Cloud Connect. |
| 14.1-4.x ou version antérieure | L’avis de sécurité est disponible uniquement en mode Aperçu. | Aucune action requise | Non |
Fonctionnalités de conseil de sécurité
Les fonctionnalités de conseil de sécurité suivantes vous aident à protéger votre infrastructure :
CVE :
| Caractéristiques | Description |
|---|---|
| Analyse du système | Analyse toutes les instances gérées par défaut une fois par semaine. La console NetScaler décide de la date et de l’heure des analyses du système, et vous ne pouvez pas les modifier. |
| Analyse à la demande | Vous pouvez analyser manuellement les instances si nécessaire. Si le temps écoulé depuis la dernière analyse du système est important, vous pouvez exécuter une analyse à la demande pour évaluer la posture de sécurité actuelle. Ou scanner après qu’une correction a été appliquée, pour évaluer la posture révisée. |
| Analyse d’impact de la CVE | Affiche les résultats de tous les CVE impactant votre infrastructure et toutes les instances NetScaler impactées et suggère une correction. Utilisez ces informations pour appliquer des mesures correctives afin de corriger les risques de sécurité. |
| Journal d’analyse | Stocke les copies des cinq dernières numérisations. Vous pouvez télécharger ces rapports aux formats CSV et PDF et les analyser. |
| référentiel CVE | Donne une vue détaillée de tous les CVE liés à NetScaler que Citrix a annoncés depuis décembre 2019, qui pourraient avoir un impact sur votre infrastructure NetScaler. Vous pouvez utiliser cette vue pour comprendre les CVE dans le champ d’application de l’avis de sécurité et pour en savoir plus sur le CVE. Pour plus d’informations sur les CVE qui ne sont pas pris en charge, consultez CVE non pris en charge dans l’avis de sécurité. |
Surveillance de l’intégrité des fichiers :
| Caractéristiques | Description |
|---|---|
| Analyse à la demande | Vous devez exécuter une analyse à la demande pour obtenir des résultats sur toutes les modifications de fichiers détectées dans les fichiers de build NetScaler. |
| Analyse de surveillance de l’intégrité des fichiers | Compare la valeur de hachage binaire de vos fichiers de construction NetScaler actuels avec le hachage binaire d’origine et met en évidence s’il y a des modifications ou des ajouts de fichiers. Vous pouvez afficher les résultats de l’analyse sous l’onglet Surveillance de l’intégrité des fichiers . |
Points à noter
-
L’avis de sécurité ne prend pas en charge les versions NetScaler qui ont atteint la fin de vie (EOL). Nous vous recommandons de mettre à niveau vers les builds ou versions prises en charge par NetScaler.
-
Instances prises en charge pour la détection CVE : tous les NetScaler (SDX, MPX, VPX) et Gateway.
-
Instances prises en charge pour la surveillance de l’intégrité des fichiers : instances MPX, VPX et passerelle.
-
CVE pris en charge : tous les CVE après décembre 2019.
Note:
La détection et la correction des vulnérabilités affectant le plug-in NetScaler Gateway pour Windows ne sont pas prises en charge par l’avis de sécurité de la console NetScaler. Pour plus d’informations sur les CVE qui ne sont pas pris en charge, consultez CVE non pris en charge dans l’avis de sécurité.
-
L’avis de sécurité de la console NetScaler ne tient compte d’aucun type de mauvaise configuration des fonctionnalités lors de l’identification de la vulnérabilité.
-
L’avis de sécurité de la console NetScaler prend uniquement en charge l’identification et la correction des CVE. Il ne prend pas en charge l’identification et la résolution des problèmes de sécurité mis en évidence dans l’article sur la sécurité.
-
Portée des versions de NetScaler et Gateway : la fonctionnalité est limitée aux versions principales. L’avis de sécurité n’inclut aucune version particulière dans sa portée.
- Les avis de sécurité ne sont pas pris en charge dans la partition Admin.
-
Les types d’analyse suivants sont disponibles pour les CVE :
-
Analyse de version: Cette analyse nécessite NetScaler Console pour comparer la version d’une instance NetScaler avec les versions et les builds sur lesquelles le correctif est disponible. Cette comparaison de versions aide l’avis de sécurité de la console NetScaler à identifier si NetScaler est vulnérable au CVE. Par exemple, si un CVE est corrigé sur une version de NetScaler et sur la build xx.yy, l’avis de sécurité considère toutes les instances de NetScaler sur les builds inférieures à xx.yy comme vulnérables. L’analyse des versions est aujourd’hui prise en charge dans les avis de sécurité.
-
Analyse de configuration: Cette analyse nécessite que NetScaler Console corresponde à un modèle spécifique à l’analyse CVE avec le fichier de configuration NetScaler (nsconf). Si le modèle de configuration spécifique est présent dans le fichier NetScaler ns.conf, l’instance est considérée comme vulnérable pour ce CVE. Cette analyse est généralement utilisée avec l’analyse de version. L’analyse de configuration est aujourd’hui prise en charge dans les avis de sécurité.
-
Analyse personnalisée: Cette analyse nécessite que NetScaler Console se connecte à l’instance NetScaler gérée, lui envoie un script et exécute le script. La sortie du script aide NetScaler Console à identifier si NetScaler est vulnérable au CVE. Les exemples incluent la sortie de commande shell spécifique, la sortie de commande CLI spécifique, certains journaux et l’existence ou le contenu de certains répertoires ou fichiers. Security Advisory utilise également des analyses personnalisées pour plusieurs correspondances de modèles de configuration, si l’analyse de configuration ne peut pas aider. Pour les CVE qui nécessitent des analyses personnalisées, le script s’exécute à chaque fois que votre analyse planifiée ou à la demande s’exécute. Pour en savoir plus sur les données collectées et les options d’analyses personnalisées spécifiques, consultez la documentation de l’avis de sécurité pour ce CVE.
-
-
L’analyse suivante est disponible pour la surveillance de l’intégrité des fichiers :
-
Analyse de surveillance de l’intégrité des fichiers: Cette analyse nécessite que la console NetScaler se connecte à l’instance NetScaler gérée. La console NetScaler effectue une comparaison des valeurs de hachage en exécutant un script dans NetScaler et en collectant les valeurs de hachage binaires actuelles pour les fichiers de construction NetScaler. Après la comparaison, NetScaler Console fournit le résultat avec le nombre total de fichiers existants modifiés et le nombre total de fichiers nouvellement ajoutés. En tant qu’administrateur, vous pouvez contacter le service de criminalistique numérique de votre organisation pour des investigations plus approfondies sur les résultats de l’analyse.
Les fichiers suivants sont analysés :
-
/netscaler -
/bin, /sbin, /usr/bin, /usr/sbin, /usr/local/bin, /usr/local/sbin -
/lib, /libexec, /usr/lib, /usr/libexec, /usr/local/lib, /usr/lib32, /compat -
/etc -
Le reste de
/usr -
/root, /home, /mnt
-
-
-
Les analyses n’ont pas d’impact sur le trafic de production sur NetScaler et ne modifient aucune configuration NetScaler sur NetScaler.
-
L’avis de sécurité de la console NetScaler ne prend pas en charge l’atténuation CVE. Si vous avez appliqué une atténuation (solution de contournement temporaire) à l’instance NetScaler, la console NetScaler identifiera toujours le NetScaler comme un NetScaler vulnérable jusqu’à ce que vous ayez terminé la correction.
-
Pour les instances FIPS, l’analyse CVE n’est pas prise en charge, mais l’analyse de surveillance de l’intégrité des fichiers est prise en charge.
-
Certaines modifications de fichiers peuvent survenir dans le cadre du fonctionnement normal de l’appareil, tandis que d’autres peuvent nécessiter une enquête plus approfondie. Lors de l’examen des modifications apportées aux fichiers, les éléments suivants peuvent être utiles :
-
Des modifications dans le répertoire
/netscaler(dans les fichiers .html et .js ) peuvent survenir suite à l’utilisation de scripts ou de plug-ins. -
Le répertoire
/etcinclut des fichiers de configuration qui peuvent être modifiés par une intervention inattendue après le démarrage du système. -
Il serait inhabituel qu’il y ait :
-
Rapports dans les répertoires
/bin,/sbinou/lib -
Nouveaux fichiers .php dans le répertoire
/netscaler
-
-
Comment utiliser le tableau de bord des avis de sécurité
Pour accéder au tableau de bord Avis de sécurité , à partir de l’interface graphique de la console NetScaler, accédez à Infrastructure > Avis d’instance > Avis de sécurité.
Le tableau de bord comprend trois onglets :
-
CVE actuels
-
Surveillance de l’intégrité des fichiers
-
Journal d’analyse
-
Référentiel CVE
Important:
Dans l’interface utilisateur ou le rapport Security Advisory , tous les CVE peuvent ne pas apparaître et vous ne pouvez en voir qu’un seul. Pour contourner ce problème, cliquez sur Analyser maintenant pour exécuter une analyse à la demande. Une fois l’analyse terminée, tous les CVE concernés (environ 15) apparaissent dans l’interface utilisateur ou dans le rapport.
Dans le coin supérieur droit du tableau de bord se trouve l’icône des paramètres, qui vous permet de :
-
Activer et désactiver les notifications (applicable uniquement aux CVE).
Vous pouvez recevoir les notifications suivantes concernant l’impact des CVE.
-
Notifications par e-mail, Slack, PagerDuty et ServiceNow pour les modifications des résultats d’analyse CVE et les nouveaux CVE ajoutés au référentiel CVE.
-
Notification cloud pour les modifications des résultats de l’analyse d’impact CVE.
-
-
Configurer les paramètres d’analyse personnalisés (applicable uniquement aux CVE)
Vous pouvez cliquer sur la liste Paramètres d’analyse personnalisés pour afficher la case à cocher des paramètres supplémentaires. Vous avez la possibilité de cocher la case et de vous désinscrire de ces analyses CVE personnalisées. L’impact des CVE nécessitant une analyse personnalisée ne sera pas évalué pour vos instances NetScaler dans l’avis de sécurité.
CVE actuels
Cet onglet affiche le nombre de CVE impactant vos instances ainsi que les instances impactées par les CVE. Les onglets ne sont pas séquentiels et, en tant qu’administrateur, vous pouvez basculer entre ces onglets en fonction de votre cas d’utilisation.
Le tableau indiquant le nombre de CVE impactant les instances NetScaler contient les détails suivants.
ID CVE: L’ID du CVE impactant les instances.
Date de publication: La date à laquelle le bulletin de sécurité a été publié pour ce CVE.
Score de gravité: Le type de gravité (élevée/moyenne/critique) et le score. Pour voir le score, passez la souris sur le type de gravité.
Type de vulnérabilité: Le type de vulnérabilité pour ce CVE.
Instances NetScaler affectées: le nombre d’instances impactées par l’ID CVE. Au survol, la liste des instances NetScaler apparaît.
Remédiation: Les corrections disponibles, qui consistent à mettre à niveau l’instance (généralement) ou à appliquer des packs de configuration.
La même instance peut être impactée par plusieurs CVE. Ce tableau vous aide à voir combien d’instances un CVE particulier ou plusieurs CVE sélectionnés impactent. Pour vérifier l’adresse IP de l’instance impactée, passez la souris sur Détails NetScaler sous Instances NetScaler affectées. Pour vérifier les détails de l’instance impactée, cliquez sur Afficher les instances affectées au bas du tableau. Vous pouvez également ajouter ou supprimer des colonnes dans le tableau en cliquant sur le signe plus.
Dans cet écran, le nombre de CVE impactant vos instances est de 3 CVE et les instances impactées par ces CVE sont une.
L’onglet <number of> Les instances NetScaler sont affectées par les CVE vous montre toutes les instances NetScaler de la console NetScaler affectées. Le tableau montre les détails suivants :
- Adresse IP de NetScaler
- Nom d’hôte
- Numéro de modèle NetScaler
- État du NetScaler
- Version et build du logiciel
- Liste des CVE impactant NetScaler.
Vous pouvez ajouter ou supprimer n’importe laquelle de ces colonnes selon vos besoins, en cliquant sur le signe +.
Pour résoudre le problème de vulnérabilité, sélectionnez l’instance NetScaler et appliquez la correction recommandée. La plupart des CVE nécessitent une mise à niveau en guise de correction, tandis que d’autres nécessitent une mise à niveau et une étape supplémentaire en guise de correction.
-
Pour la correction de CVE-2020-8300, voir Corriger les vulnérabilités pour CVE-2020-8300.
-
Pour CVE-2021-22927 et CVE-2021-22920, voir Corriger les vulnérabilités pour CVE-2021-22927 et CVE-2021-22920.
-
Pour CVE-2021-22956, voir Identifier et corriger les vulnérabilités pour CVE-2021-22956
-
Pour CVE-2022-27509, voir Corriger les vulnérabilités pour CVE-2022-27509
Note
Si vos instances NetScaler comportent des personnalisations, consultez Considérations de mise à niveau pour les configurations NetScaler personnalisées avant de planifier la mise à niveau de NetScaler.
Mise à niveau: Vous pouvez mettre à niveau les instances NetScaler vulnérables vers une version et une build contenant le correctif. Ce détail peut être vu dans la colonne de remédiation. Pour mettre à niveau, sélectionnez l’instance, puis cliquez sur . Procéder au flux de travail de mise à niveau. Dans le flux de travail de mise à niveau, le NetScaler vulnérable est automatiquement renseigné en tant que NetScaler cible.
Note
Les versions 12.0, 11.0, 10.5 et inférieures sont déjà en fin de vie (EOL). Si vos instances NetScaler s’exécutent sur l’une de ces versions, effectuez une mise à niveau vers une version prise en charge.
Le flux de travail de mise à niveau démarre. Pour plus d’informations sur l’utilisation de la console NetScaler pour mettre à niveau les instances NetScaler, consultez Utiliser les tâches pour mettre à niveau les instances NetScaler.
Note
La version et la build vers lesquelles vous souhaitez effectuer la mise à niveau sont à votre discrétion. Consultez les conseils sous la colonne de correction pour savoir quelle version et quelles builds contiennent le correctif de sécurité. Et sélectionnez en conséquence une version et une build prises en charge, qui n’ont pas encore atteint la fin de leur vie.
Surveillance de l’intégrité des fichiers
Cet onglet affiche le résultat de l’analyse de surveillance de l’intégrité des fichiers avec les instances NetScaler qui présentent des modifications ou des ajouts aux fichiers de build NetScaler d’origine.
L’exemple suivant montre le résultat de l’analyse pour deux instances NetScaler impactées avec des fichiers existants modifiés et de nouveaux fichiers ajoutés aux fichiers de build d’origine.
Cliquez sur les numéros sous Fichiers existants modifiés et Nouveaux fichiers ajoutés pour afficher les détails.
Journal d’analyse (applicable uniquement aux CVE)
L’onglet affiche les rapports des cinq dernières analyses CVE, qui incluent à la fois les analyses système par défaut et les analyses à la demande lancées par l’utilisateur. Vous pouvez télécharger le rapport de chaque scan aux formats CSV et PDF. Si une analyse à la demande est en cours, vous pouvez également voir l’état d’achèvement.
Référentiel CVE
Cet onglet comprend les dernières informations sur tous les CVE de décembre 2019, ainsi que les détails suivants :
- identifiants CVE
- Type de vulnérabilité
- Date de publication
- Niveau de gravité
- Assainissement
-
Liens vers les bulletins de sécurité
Scanner maintenant
Vous pouvez analyser les instances à tout moment, selon vos besoins.
Cliquez sur Analyser maintenant pour rechercher les CVE qui ont un impact sur vos instances NetScaler. Une fois l’analyse terminée, les détails de sécurité révisés apparaissent dans l’interface graphique des avis de sécurité.
La console NetScaler prend quelques minutes pour terminer l’analyse.
Notification (applicable uniquement aux CVE)
En tant qu’administrateur, vous recevez des notifications Citrix Cloud, qui indiquent combien d’instances NetScaler sont vulnérables aux CVE. Pour voir les notifications, cliquez sur l’icône en forme de cloche dans le coin supérieur droit de l’interface graphique de la console NetScaler.
Clause de non-responsabilité:
Veuillez noter que NetScaler File Integrity Monitoring (« la fonctionnalité ») n’est pas capable de détecter toutes les techniques, tactiques ou procédures (TTP) que les acteurs de la menace peuvent utiliser lorsqu’ils ciblent des environnements pertinents. Les acteurs de la menace changent fréquemment de TTP et d’infrastructure, et par conséquent, la fonctionnalité peut avoir une valeur médico-légale limitée, voire nulle, face à certaines menaces. Il est fortement conseillé de faire appel aux services d’enquêteurs judiciaires expérimentés pour évaluer votre environnement en lien avec toute menace éventuelle.
Ce document et les informations qu’il contient sont fournis tels quels. Cloud Software Group, Inc. ne donne aucune garantie ni représentation, expresse ou implicite, concernant le document ou son contenu, y compris, sans limitation, que ce document ou les informations qu’il contient sont exempts d’erreurs ou répondent à des conditions de qualité marchande ou d’adéquation à un usage particulier.