ファイルアップロード保護
多くの攻撃者は、マルチフォーム送信中に悪意のあるコード、ウイルス、またはマルウェアを添付ファイルとしてアップロードしようとします。ネットワークを保護し、そのような脅威を克服することが重要です。このような悪意のあるファイルのアップロードを防ぐために、NetScaler管理者はWAFプロファイルで許容されるファイルアップロード形式のセットを構成します。これにより、ファイルのアップロードを特定の形式に制限し、悪意のあるファイルのアップロードからアプライアンスを保護します。保護は、WAFプロファイルでExcludeFileUploadFormChecksオプションを無効にした場合にのみ機能します。
ファイルアップロードの仕組み
許容されるファイルアップロード形式を設定すると、コンポーネントのインタラクションは次のようになります。
- クライアント要求には、ファイルアップロードタイプ（PDF など）のフォーム送信があります。
- セキュリティチェックの一環として、WAF はリクエストペイロードを検査し、（マジックシグネチャ番号に基づいて）ファイルタイプを検証します。
- ファイルタイプがサポートされていない形式の場合、ファイルタイプバインディングに基づく対応するアクションが適用されます。
- ファイルタイプを検証するために、アプライアンスはペイロードを検査し、既知のオフセットで既知のマジックナンバーをチェックします。各ファイルタイプには、ファイルタイプを検証するマジックナンバーのシーケンスがあります。
NetScaler CLIを使用してファイルタイプのアップロードを構成する
許容されるファイル形式を設定するために、アプライアンスはファイルアップロードパラメータにバインドされた WAF プロファイルを使用します。
- Web アプリケーションファイアウォールプロファイルの構成
コマンドプロンプトで入力します：
set appfw profile <profile_name> [-fileUploadTypesAction <fileUploadTypesAction>]<fileUploadTypesAction> = ( none | block | log | stats )
例
set appfw profile profile1 –fileUploadTypesAction block
- ファイルアップロードパラメータを使用して Web アプリケーションファイアウォールプロファイルをバインドします。このコマンドは、指定された除外（緩和）またはルールを指定されたアプリケーションファイアウォールプロファイルにバインドします。
コマンドプロンプトで入力します：
bind appfw profile <profile_name> - fileUploadType <form_field > <form_action_url> [-isNameRegex ( REGEX | NOTREGEX )] -fileType <fileType> ( pdf | msdoc | text | image | any)
注意:
フォームフィールド名は正規表現タイプです。デフォルトの値は
NOTREGEXです。
例
> bind appfw profile test -fileuploadType thefile "http://10.10.10.10/fileupload_sample/upload.php" -isNameRegex NOTREGEX -filetype image
–>
NetScaler GUIを使用してファイルアップロードのセキュリティ保護を構成する
- ナビゲーションペインで、[ セキュリティ ] > [ プロファイル] に移動します。
- 「プロファイル」ページで、「 追加」をクリックします。
- NetScaler Web App Firewall プロファイルページで 、[ 詳細設定 ] の [ セキュリティチェック] をクリックします。
- 「 セキュリティチェック 」セクションで、「 ファイルのアップロードタイプ 」を選択し、「 アクション設定」をクリックします。
- [ ファイルアップロードの種類] 設定ページで 、ファイルのアップロードアクションを設定します。
- ［OK］ をクリックします。
- ［NetScaler Web App Firewall プロファイル ］ページで、［ OK］ をクリックし、［ 完了］をクリックします。
NetScaler GUIを使用してファイルアップロード緩和ルールを構成する
ファイルアップロードのセキュリティ保護を緩和して、誤検出を回避できます。たとえば、アプライアンスがファイルのアップロードをブロックする場合がありますが、緩和ルールを追加して、特定の Web サイトからのファイルアップロードを許可できます。これにより、アプライアンスは指定されたフォームフィールドのセキュリティ検査をバイパスし、アクション URL に記載されている Web サイトからファイルをアップロードすることをユーザに許可します。
注:
ファイルアップロードタイプの再評価ルールが有効になっていない場合、ファイルアップロードの検証は失敗します 。
以下の手順を実行して緩和ルールを作成します。
- ナビゲーションペインで、［セキュリティ］>［NetScaler Web App Firewall］>［プロファイル］に移動します。
- 「プロファイル」ページで、「 追加」をクリックします。
- ［NetScaler Web App Firewall プロファイル ］ページで、［ 詳細設定 ］の［ 緩和ルール］をクリックします。
-
[ 緩和ルール ] セクションで、[ ファイルアップロードの種類 ] を選択し、[ 編集] をクリックします。
- [ ファイルアップロードタイプの再分類規則 ] ページで、[ 追加] をクリックします。
-
[ ファイルアップロードタイプの緩和規則 ] ページで、次のパラメータを設定します。
- 有効-選択すると緩和ルールが有効になります。
- Is Form Field Name Regex-選択すると、フォームフィールド名の正規表現パターンが更新されます。
- フォームフィールド名-セキュリティチェックを必要としないファイル名を入力します。
- アクションURL-セキュリティチェックから除外する必要があるフォーム送信URL。
- ファイルタイプ-アップロード可能なサポートされているファイル形式。
- コメント-ファイルのアップロードに関する簡単な説明。
-
［Create］ をクリックします。
- ［NetScaler Web App Firewall プロファイル ］ページで、［ OK］ をクリックし、［ 完了］をクリックします。