This content has been machine translated dynamically.
Dieser Inhalt ist eine maschinelle Übersetzung, die dynamisch erstellt wurde. (Haftungsausschluss)
Cet article a été traduit automatiquement de manière dynamique. (Clause de non responsabilité)
Este artículo lo ha traducido una máquina de forma dinámica. (Aviso legal)
此内容已经过机器动态翻译。 放弃
このコンテンツは動的に機械翻訳されています。免責事項
이 콘텐츠는 동적으로 기계 번역되었습니다. 책임 부인
Este texto foi traduzido automaticamente. (Aviso legal)
Questo contenuto è stato tradotto dinamicamente con traduzione automatica.(Esclusione di responsabilità))
This article has been machine translated.
Dieser Artikel wurde maschinell übersetzt. (Haftungsausschluss)
Ce article a été traduit automatiquement. (Clause de non responsabilité)
Este artículo ha sido traducido automáticamente. (Aviso legal)
この記事は機械翻訳されています.免責事項
이 기사는 기계 번역되었습니다.책임 부인
Este artigo foi traduzido automaticamente.(Aviso legal)
这篇文章已经过机器翻译.放弃
Questo articolo è stato tradotto automaticamente.(Esclusione di responsabilità))
Translation failed!
XML 外部エンティティ (XXE) 攻撃からの保護
XML 外部エンティティ (XXE) 攻撃保護は、受信したペイロードに、Web アプリケーションが存在する信頼できるドメイン外のエンティティに関する不正な XML 入力がないかを調べます。XXE 攻撃は、外部エンティティへの参照を含む入力を含む XML ペイロードを解析する脆弱な XML パーサーを使用している場合に発生します。
NetScalerアプライアンスでは、XMLパーサーが正しく構成されていない場合、この脆弱性を悪用した影響は危険です。これにより、攻撃者は Web サーバー上の機密データを読み取ることができます。サービス拒否攻撃などを実行します。したがって、XXE 攻撃からアプライアンスを保護することが重要です。Web アプリケーションファイアウォールは、コンテンツタイプが XML として識別される限り、XXE 攻撃からアプライアンスを保護できます。悪意のあるユーザーがこの保護メカニズムをバイパスするのを防ぐため、HTTP ヘッダーの「推論」コンテンツタイプが本文のコンテンツタイプと一致しない場合、WAF は受信要求をブロックします。このメカニズムにより、ホワイトリストに登録されたデフォルトまたはデフォルト以外のコンテンツタイプが使用されるときに XXE 攻撃保護バイパスが回避されます。
NetScalerアプライアンスに影響を与える可能性のあるXXE脅威には、次のようなものがあります。
- 機密データ漏えい
- サービス拒否 (DOS) 攻撃
- サーバー側の偽造要求
- ポートスキャン
XML 外部エンティティ (XXE) インジェクション保護を構成する
コマンドインターフェイスを使用して XML 外部エンティティ (XXE) チェックを構成するには: コマンドラインインターフェイスで、Application fireall profile コマンドを追加または変更して XXE 設定を構成できます。 ブロック、ログ、統計の各アクションを有効にできます。
コマンドプロンプトで入力します：
set appfw profile <name> [-inferContentTypeXmlPayloadAction <inferContentTypeXmlPayloadAction <block | log | stats | none>]
注：
デフォルトでは、XXE アクションは「none」に設定されています。
例：
set appfw profile profile1 -inferContentTypeXmlPayloadAction Block
ここで、アクションタイプは次のとおりです。
ブロック:リクエスト内のURLに例外なくリクエストがブロックされます。
ログ:HTTP リクエストヘッダーとペイロードのコンテンツタイプが一致しない場合は、違反しているリクエストに関する情報をログメッセージに含める必要があります。
統計:コンテンツタイプの不一致が検出されると、その違反タイプに対応する統計がインクリメントされます。
なし:コンテンツタイプの不一致が検出されても、アクションは実行されません。None を他のアクションタイプと組み合わせることはできません。デフォルトアクションは None に設定されています。
Citrix ADC GUI を使用して XXE インジェクションチェックを設定する
XXE インジェクションチェックを設定するには、次の手順を実行します。
- ［ セキュリティ］> Citrix Web App Firewall］>［プロファイル］に移動します。
- [ プロファイル] ページでプロファイルを選択し 、[ 編集] をクリックします。
-
Citrix Web App Firewall プロファイルページで 、「 詳細設定 」セクションに移動し、「 セキュリティチェック」をクリックします。
- 「 セキュリティチェック 」セクションで、「 コンテンツタイプの XML ペイロードを推定 」を選択し、「 アクション設定 」をクリックします。
-
「推論コンテンツタイプ XML ペイロード設定」ページで、次のパラメータを設定します。
- アクション。XXE インジェクションのセキュリティチェックで実行するアクションを 1 つ以上選択します。
- ［OK］ をクリックします。
XXE インジェクショントラフィックと違反統計の表示
Citrix Web App Firewall Statistics ] ページには、セキュリティトラフィックとセキュリティ違反の詳細が表形式またはグラフ形式で表示されます。
コマンドインターフェイスを使用してセキュリティ統計情報を表示するには。
コマンドプロンプトで入力します：
stat appfw profile profile1
Citrix ADC GUI を使用して XXE インジェクション統計情報を表示する
XXE インジェクションの統計情報を表示するには、次の手順を実行してください：
- ［ セキュリティ］> Citrix Web App Firewall］>［プロファイル］に移動します。
- 詳細ペインで Web App Firewall プロファイルを選択し、[ 統計] をクリックします。
- Citrix Web App Firewall 統計ページには 、XXEコマンドインジェクショントラフィックと違反の詳細が表示されます。
- 表形式ビューを選択するか 、 グラフィカルビューに切り替えて 、データを表形式またはグラフィカル形式で表示できます。
共有
共有
This Preview product documentation is Cloud Software Group Confidential.
You agree to hold this documentation confidential pursuant to the terms of your Cloud Software Group Beta/Tech Preview Agreement.
The development, release and timing of any features or functionality described in the Preview documentation remains at our sole discretion and are subject to change without notice or consultation.
The documentation is for informational purposes only and is not a commitment, promise or legal obligation to deliver any material, code or functionality and should not be relied upon in making Cloud Software Group product purchase decisions.
If you do not agree, select I DO NOT AGREE to exit.