WAF Insight
Les applications Web et de services Web exposées à Internet sont devenues de plus en plus vulnérables aux attaques. Pour protéger les applications contre les attaques, vous avez besoin d’une visibilité sur la nature et l’étendue des menaces passées, présentes et imminentes, de données exploitables en temps réel sur les attaques et de recommandations en matière de contre-mesures. WAF Insight fournit une solution à volet unique pour vous aider à évaluer l’état de sécurité de vos applications et à prendre des mesures correctives pour sécuriser vos applications.
Remarque
WAF Insight est pris en charge sur la console NetScaler avec toutes les appliances NetScaler exécutées sur la version 11.0 Build 65.31 et versions ultérieures.
Comment fonctionne WAF Insight
WAF Insight est une solution d’analyse de sécurité intuitive basée sur des tableaux de bord qui vous offre une visibilité complète sur l’environnement de menaces associé à vos applications. Les informations de sécurité sont incluses dans la console NetScaler, qui génère régulièrement des rapports en fonction des configurations de sécurité de votre pare-feu applicatif et de votre système NetScaler. Les rapports contiennent les renseignements suivants pour chaque application :
-
Indice de menace. Système d’évaluation à un chiffre qui indique la criticité des attaques visant l’application, que celle-ci soit protégée par une appliance NetScaler ou non. Plus les attaques sur une application sont critiques, plus l’indice de menace pour cette application est élevé. Les valeurs varient de 1 à 7.
L’indice des menaces est basé sur les informations d’attaque. Les informations relatives à l’attaque, telles que le type de violation, la catégorie d’attaque, l’emplacement et les détails du client, vous donnent un aperçu des attaques visant l’application. Les informations relatives aux violations sont envoyées à la console NetScaler uniquement lorsqu’une violation ou une attaque se produit. De nombreuses failles et vulnérabilités conduisent à un indice de menace élevé.
-
Indice de sécurité. Un système d’évaluation à un chiffre qui indique le niveau de sécurité avec lequel vous avez configuré les instances NetScaler pour protéger les applications contre les menaces et les vulnérabilités externes. Plus les risques pour la sécurité d’une application sont faibles, plus l’indice de sécurité est élevé. Les valeurs varient de 1 à 7.
L’indice de sécurité prend en compte à la fois la configuration du pare-feu de l’application et la configuration de sécurité du système NetScaler. Pour un indice de sécurité élevé, les deux configurations doivent être solides. Par exemple, si des contrôles rigoureux du pare-feu des applications sont en place mais que les mesures de sécurité du système NetScaler, telles qu’un mot de passe sécurisé pour
nsrootl’utilisateur, n’ont pas été adoptées, les applications se voient attribuer un indice de sécurité faible. -
Informations exploitables. Informations dont vous avez besoin pour abaisser l’indice de menace et augmenter l’indice de sécurité, ce qui améliore considérablement la sécurité des applications. Par exemple, vous pouvez consulter des informations sur les violations, les configurations de sécurité existantes et manquantes pour le pare-feu d’application et d’autres fonctionnalités de sécurité, le taux d’attaque des applications.
Configurer WAF Insight
Remarque :
Vous pouvez commencer à configurer les protections via le tableau de bord de sécurité unifiée. Pour plus d’informations, voir Tableau de bord de sécurité unifiée
-
Accédez à Infrastructure > Instances > NetScaler et sélectionnez le type d’instance. Par exemple, VPX.
-
Sélectionnez l’instance et, dans la liste Sélectionner une action, sélectionnez Configurer Analytics.
-
Dans la fenêtre Configurer Analytics sur un serveur virtuel :
-
Sélectionnez les serveurs virtuels sur lesquels vous souhaitez activer Security Insight et cliquez sur Activer la sécurité et les analyses.
La fenêtre Activer la sécurité et les analyses s’affiche.
-
Sélectionnez WAF Security Violations
- Sous Options avancées, sélectionnez Logstream ou IPFIX comme mode de transport
Remarque
Pour NetScaler 12.0 ou version antérieure, IPFIX est l’option par défaut pour le mode transport. Pour NetScaler 12.0 ou version ultérieure, vous pouvez sélectionner Logstream ou IPFIX comme mode de transport.
Pour plus d’informations sur IPFIX et Logstream, consultez la section Présentation de Logstream.
-
L’expression est true par défaut
-
Cliquez sur OK.
Remarque
- Si vous n’utilisez pas la licence Flexed et que vous sélectionnez des serveurs virtuels sans licence, NetScaler Console octroie d’abord une licence à ces serveurs virtuels, puis active les analyses.
-
Une fois que vous avez cliqué sur OK , NetScaler Console procède pour activer les analyses sur les serveurs virtuels sélectionnés.
Remarque
Lorsque vous créez un groupe, vous pouvez affecter des rôles au groupe, fournir un accès au niveau de l’application au groupe et affecter des utilisateurs au groupe. Les analyses de la console NetScaler prennent désormais en charge l’autorisation basée sur les adresses IP virtuelles. Vos utilisateurs peuvent désormais voir des rapports pour tous les Insights uniquement pour les applications (serveurs virtuels) pour lesquelles ils sont autorisés. Pour plus d’informations sur les groupes et l’affectation d’utilisateurs à ces groupes, consultez la section Configuration de groupes sur la console NetScaler.
Configurer des emplacements géographiques pour les rapports d’informations sur la sécurité
Si vous configurez des localisations géographiques dans NetScaler Console, les rapports WAF Insight incluent les emplacements géographiques exacts d’où proviennent les demandes des clients. Pour activer les géolocalisations, spécifiez un bloc IP privé ou une plage d’adresses IP pour chaque emplacement géographique de votre organisation. Ajoutez ces informations dans le fichier de base de données géographiques, ainsi que le nom de la ville/de l’état/du pays et les coordonnées de latitude et de longitude de chaque emplacement. Contactez votre représentant NetScaler pour obtenir le fichier de base de données géographique, puis téléchargez-le sur l’instance NetScaler.
Pour configurer des géolocalisations :
-
Copiez le fichier de base de données géographique, Citrix_Netscaler_InBuilt_GeoIP_DB.csv, à n’importe quel emplacement de l’appliance NetScaler.
-
Ouvrez le fichier de base de données géographique dans un éditeur de texte, tel que l’éditeur vi, et ajoutez une entrée pour chaque emplacement de votre organisation.
L’entrée doit être dans le format suivant :
<start IP\>,<end IP\>,,<country\>,<state\>,,<city\>,,longitude,latitudePar exemple,
4.17.142.224,4.17.142.239,,US,New York,,Harrison,,73.7304,41.0568 -
Exécutez les commandes suivantes pour activer la journalisation géographique et la journalisation au format CEF :
- add locationFile <Complete path with DB file>
- set appfw settings -geoLocationLogging ON
- set appfw settings -CEFLogging ON
Réputation IP
Vous pouvez utiliser NetScaler Insight Center pour surveiller et gérer la réputation IP de votre trafic entrant. Vous pouvez configurer des stratégies pour ajouter d’autres adresses IP comme étant malveillantes et créer une liste de blocs personnalisée.
Pour en savoir plus sur la configuration et l’utilisation de la réputation IP, voir Réputation IP.
Surveillance de la réputation IP
La fonctionnalité Réputation IP fournit des informations relatives aux attaques sur les adresses IP malveillantes. Par exemple, il signale le score de réputation IP, la catégorie de réputation IP, le temps d’attaque de réputation IP, l’adresse IP du périphérique et des détails sur l’adresse IP du client.
Le score de réputation IP indique le risque associé à une adresse IP. Le score a les gammes suivantes :
| Score de réputation IP | Niveau de risque |
|---|---|
| 1–20 | Risque élevé |
| 21–40 | Suspect |
| 41–60 | Risque modéré |
| 61–80 | Risque faible |
| 81–100 | Fiable |
Pour surveiller la réputation d’IP :
-
Accédez à Sécurité > Violations de sécurité, puis sous WAF, sélectionnez l’application que vous souhaitez surveiller.
-
L’ indice des menaces et les scores de l’indice de sécurité sont affichés. Cliquez sur Afficher les détails.
-
Sous Configuration du pare-feu d’application, vous pouvez afficher le score de l’indice de sécurité de réputation IP.
Seuils
Vous pouvez définir et afficher des seuils relatifs à l’indice de sécurité et à l’indice de menace des applications dans WAF Insight.
Pour définir un seuil :
-
Accédez à Paramètres > Paramètres d’analyse > Seuils, puis sélectionnez Ajouter.
-
Sélectionnez le type de trafic comme Sécurité dans le champ Type de trafic et saisissez les informations requises dans les autres champs appropriés tels que le nom, la durée et l’entité.
-
Dans la section Règle, utilisez les champs Métrique, Comparateur et Valeur pour définir un seuil.
Par exemple, “Threat Index” “>” “5”
-
Cliquez sur Créer.
Cas d’utilisation de WAF Insight
Les cas d’utilisation suivants décrivent comment utiliser les informations de sécurité pour évaluer l’exposition aux menaces des applications et améliorer les mesures de sécurité.
Obtenez une vue d’ensemble de l’environnement des menaces
Dans ce cas d’utilisation, vous disposez d’un ensemble d’applications exposées aux attaques et vous avez configuré NetScaler Console pour surveiller l’environnement des menaces. Vous devez examiner l’indice de menace, l’indice de sécurité, ainsi que le type et la gravité des attaques que les applications ont pu rencontrer pour vous concentrer d’abord sur les applications critiques. Le tableau de bord des informations de sécurité fournit un résumé des menaces rencontrées par vos applications au cours de la période de votre choix et pour un appareil NetScaler sélectionné. Il affiche la liste des applications, leurs indices de menace et de sécurité, ainsi que le nombre total d’attaques pour la période choisie.
Pour obtenir un résumé de l’environnement des menaces, connectez-vous à la console NetScaler, puis accédez à Sécurité > Violation de sécurité . Sous WAF, les cinq principales applications sont affichées en fonction du nombre total de violations concernées. Pour afficher toutes les applications, vous pouvez cliquer sur Afficher tout.
Déterminer la configuration de sécurité existante et manquante pour une application
Après avoir examiné l’exposition aux menaces d’une application, vous souhaitez déterminer quelles configurations de sécurité des applications sont en place et quelles configurations sont manquantes pour cette application. Vous pouvez obtenir ces informations en effectuant une exploration vers le bas dans le résumé de l’application.
Le résumé fournit des informations sur l’efficacité des configurations de sécurité suivantes :
- Configuration du pare-feu des applications. Indique le nombre d’entités de signature et de sécurité qui ne sont pas configurées.
-
Sécurité du système de la console NetScaler. Indique combien de paramètres de sécurité système ne sont pas configurés.
Sur le nœud Configuration du pare-feu d’application, passez en revue les informations de vérification de sécurité et de violation de sécurité.
Cliquez sur le nœud NetScaler Console System Security et passez en revue les paramètres de sécurité du système et les recommandations Citrix pour améliorer l’indice de sécurité des applications.
Identifier les applications nécessitant une attention immédiate
Les applications qui nécessitent une attention immédiate sont les applications ayant un indice de menace élevé et un indice de sécurité faible.
Déterminer le nombre d’attaques dans un temps donné
Vous pouvez déterminer le nombre d’attaques survenues sur une application donnée à un moment donné ou étudier le taux d’attaque pour une période donnée.
Sous WAF, cliquez sur n’importe quelle application pour afficher le nombre total de violations WAF détectées pour la durée sélectionnée.
Cliquez sur Journaux pour afficher les détails des attaques en fonction de la gravité et de l’action entreprise. La page journaux fournit les détails suivants :
-
Temps d’attaque
-
Adresse IP du client à partir duquel l’attaque s’est produite
-
Gravité
-
Catégorie de violation
-
URL d’origine de l’attaque, et d’autres détails.