製品ドキュメント
ADC
14.1 - Current Release 13.1 13.0 12.1
PDFを表示

署名の自動更新

October 7, 2021
寄稿者: 
C

Web アプリケーションファイアウォールの Signature Auto Update 機能を使用すると、ユーザーは最新のシグニチャを取得して、新しい脆弱性から Web アプリケーションを保護できます。自動更新機能は、最新の更新プログラムを取得するための継続的な手動介入を必要とせずに、より優れた保護を提供します。

シグニチャは 1 時間ごとに自動更新され、最新の更新の可用性を定期的にチェックする必要はありません。署名自動更新を有効にすると、Citrix ADCアプライアンスは署名をホストしているサーバーに接続して、新しいバージョンが利用可能かどうかを確認します。

カスタマイズ可能な場所

最新のアプリケーションファイアウォールのシグニチャは Amazon でホストされ、最新のアップデートをチェックするためのデフォルトの署名 URL として設定されています。

ただし、ユーザは、これらのシグニチャマッピングファイルを内部サーバにダウンロードするオプションがあります。その後、ユーザーは別のシグニチャ URL パスを設定して、ローカルサーバからシグニチャマッピングファイルをダウンロードできます。自動更新機能を機能させるには、外部サイトにアクセスするように DNS サーバーを構成する必要があります。

署名の更新

appfw デフォルトシグニチャオブジェクトを使用して作成されたすべてのユーザー定義シグニチャオブジェクトのバージョンが 0 より大きい。シグニチャ自動更新を有効にすると、すべてのシグニチャが自動的に更新されます。

ユーザが Cenzic や Qualys などの外部フォーマットでシグニチャをインポートした場合、シグニチャはバージョンをゼロとしてインポートします。同様に、ユーザーが空のテンプレートを使用して署名オブジェクトを作成した場合は、ゼロバージョンの署名として作成されます。これらのシグニチャは自動的には更新されません。これは、使用されていないデフォルトシグニチャを管理するオーバーヘッドにユーザーが関心がない場合があるためです。

ただし、Web アプリケーションファイアウォールでは、これらのシグニチャを手動で選択して更新して、既存のルールにデフォルトのシグニチャルールを追加することもできます。シグニチャを手動で更新すると、バージョンが変更され、シグニチャは他のシグニチャとともに自動的に更新されます。

シグニチャ自動更新を構成する

CLI を使用してシグニチャ自動更新機能を設定するには、次の手順を実行します。

コマンドプロンプトで入力します。

set appfw settings SignatureAutoUpdate on
set appfw settings SignatureUrl https://s3.amazonaws.com/NSAppFwSignatures/SignaturesMapping.xml
<!--NeedCopy-->

GUI を使用してシグニチャ自動更新を設定するには、次の手順を実行します。

  1. [セキュリティ] ノードを展開します。
  2. [アプリケーションファイアウォール] ノードを展開します。
  3. [署名] ノードを選択します。
  4. 「 アクション 」から「 設定を自動更新」を選択します。
  5. [ シグニチャの自動更新 ] オプションを有効にします。
  6. 必要に応じて、シグニチャ更新 URL のカスタマイズされたパスを指定できます。[ リセット ] をクリックして、デフォルトのs3.amazonaws.com serverにリセットします。
  7. 「 OK」をクリックします。

署名の自動更新ファイルの場所 URL をカスタマイズする

シグニチャを手動で更新する

ゼロバージョンシグニチャまたはその他のユーザ定義シグニチャを手動で更新するには、まずデフォルトシグニチャの最新のアップデートを取得し、これを使用してターゲットユーザ定義シグニチャを更新する必要があります。

CLI から次のコマンドを実行して、シグニチャファイルを更新します。

update appfw signatures "*Default Signatures"
update appfw signatures cenzic –mergedefault
<!--NeedCopy-->

注:

Default Signatures 大文字と小文字は区別されます。前のコマンドの Cenzic は、更新されるシグニチャファイルの名前です。

インターネットにアクセスせずにデフォルトの署名をインポートする

最新のアップデートを入手するには、Amazon (AWS) サーバーを指すようにプロキシサーバーを設定することをお勧めします。ただし、NetScaler アプライアンスに外部サイトへのインターネット接続がない場合、ユーザーは更新された署名ファイルをローカルサーバーに保存できます。その後、アプライアンスはローカルサーバからシグニチャをダウンロードできます。このシナリオでは、 ユーザーは常にAmazonサイトをチェックして 、最新のアップデートを入手する必要があります。 Citrix 公開キーを使用して改ざんから保護して作成された対応するsha1ファイルに対して 、署名ファイルをダウンロードして検証できます。

Signatures ファイルをローカルサーバにコピーするには、次の手順を実行します。

  1. <MySignatures>などのローカルディレクトリを、ローカルサーバー上に作成します。
  2. AWS サイトを開きます。
  3. SignaturesMapping.xmlファイルを<MySignatures>フォルダにコピーします。

SignaturesMapping.xmlファイルを開くと、シグネチャ用のすべての xml ファイルと、サポートされているさまざまなバージョンの対応する sha1 ファイルが表示されます。次のスクリーンショットでは、そのようなペアの 1 つが強調表示されています。

  1. <MySignatures>フォルダにサブディレクトリ<sigs>を作成します。
  2. *.xml.sha1ファイルの対応する*.xml files listed in the <file>タグにリストされている<sha1> タグとSignaturesMapping.xmlファイルのすべてのペアを<sigs>フォルダにコピーします。次に、 <sigs> フォルダにコピーされるサンプルファイルをいくつか示します。

https://s3.amazonaws.com/NSAppFwSignatures/sigs/sig-r10.1b86v3s3.xml https://s3.amazonaws.com/NSAppFwSignatures/sigs/sig-r10.1b86v3s3.xml.sha1 https://s3.amazonaws.com/NSAppFwSignatures/sigs/sig-r10.1b0v3s2.xml https://s3.amazonaws.com/NSAppFwSignatures/sigs/sig-r10.1b0v3s2.xml.sha1

注:

<MySignatures> フォルダには任意の名前を付けて、任意の場所に置くことができます。ただし、サブディレクトリ<sigs>は、 マッピングファイルがコピーされる<MySignatures>フォルダ内のサブディレクトリである必要があります。また、SignaturesMapping.xml に示すように、サブディレクトリ名<sigs>は正確な名前で、大文字と小文字が区別されていることを確認してください。すべてのシグネチャファイルとそれに対応する sha1 ファイルは、この<sigs>ディレクトリの下にコピーする必要があります。

ホストされているAmazon webサーバーからローカルサーバーにコンテンツをミラーリングした後、新しいローカルウェブサーバーへのパスを変更して、自動更新用の SignatureUrl に設定します。たとえば、アプライアンスのコマンドラインインターフェイスから次のコマンドを実行します。

set appfw settings SignatureUrl https://myserver.example.net/MySignatures/SignaturesMapping.xml
<!--NeedCopy-->

更新するシグニチャの数によっては、更新処理に数分かかる場合があります。更新操作が完了するまでに十分な時間を確保してください。

エラーに直面した場合「URLにアクセス中にエラーが発生しました！」設定中に、手順に従って解決してください。

  1. コンテンツセキュリティポリシー (CSP) セキュリティが URLアクセスをブロックしないように、URLhttps://myserver.example.netを /netscaler/ns_gui/admin_ui/php/application/controllers/common/utils.phpに追加します。 これらの設定はアップグレードでは保持されないことに注意してください。ユーザーはアップグレード後に再度追加する必要があります。
$configuration_view_connect_src = "connect-src 'self' https://app.pendo.io https://s3.amazonaws.comhttps://myserver.example.net;";
<!--NeedCopy-->
  1. ユーザは、https://myserver.example.net/MySignatures/SignaturesMapping.xmlの次の CORSヘッダーに応答するように Web サーバhttps://myserver.example.netを設定する必要があります。
Access-Control-Allow-Methods: GET
Access-Control-Allow-Origin: *
Access-Control-Max-Age: 3000
<!--NeedCopy-->

シグニチャを更新するためのガイドライン

シグニチャの更新時には、次のガイドラインが使用されます。

  • シグニチャ更新の URL に同じバージョンまたは新しいバージョンの署名オブジェクトが含まれていると、シグニチャが更新されます。
  • 各シグニチャルールは、ルール ID とバージョン番号に関連付けられます。たとえば、次のようになります：<SignatureRule id="803" version="16" …>
  • 既存のものと同じ ID およびバージョン番号を持つ着信シグニチャファイルのシグニチャルールは、パターンやログ文字列が異なる場合でも無視されます。

  • 新しい ID を持つシグニチャルールが追加されます。すべてのアクションと enabled フラグが新しいファイルから使用されます。

    注:

    アプリケーションの要件に従って、これらの新しく追加されたルールを有効にし、その他のアクション設定を変更するために、更新されたシグニチャを定期的に確認する必要があります。

  • 同じ ID を持つが、新しいバージョン番号を持つルールは、既存のルールを置き換えます。既存のルールからのすべてのアクションと有効フラグが保持されます。

ヒント：

CLI からシグニチャを更新する場合は、まずデフォルトシグニチャを更新する必要があります。次に、デフォルトシグニチャに基づく各カスタムシグニチャファイルを更新するには、update コマンドを追加する必要があります。最初にデフォルトシグニチャを更新しないと、バージョンの不一致エラーによってカスタムシグニチャファイルの更新が防止されます。

署名の自動更新
October 7, 2021
寄稿者: 
C
October 7, 2021
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.