製品ドキュメント
Application Delivery Management
14.1 - Current Release 13.1 13.0 12.1
PDFを表示

セキュリティアドバイザリ

February 6, 2024
寄稿者: 
C

安全で耐障害性に優れたインフラストラクチャは、あらゆる組織のライフラインです。組織は、新たな共通脆弱性と危険性 (CVE) を追跡し、CVE が自社のインフラストラクチャに与える影響を評価する必要があります。また、脆弱性を解決するための修正方法を理解し、計画する必要があります。NetScaler ADMのセキュリティアドバイザリ機能を使用すると、NetScalerインスタンスを危険にさらしているCVEを特定し、修復方法を推奨できます。

14.1 8.x ビルド以降では、ADM On-Prem Cloud Connectorを設定してセキュリティアドバイザリを有効にすることで、セキュリティアドバイザリのフルバージョンを使用できます。

ADM On-Prem Cloud Connectorを設定していない場合は、セキュリティアドバイザリのプレビュー専用バージョンを表示できます。「 Cloud Connector を有効にする 」をクリックして設定を完了すると、セキュリティアドバイザリのフルバージョンを使用できます。詳細については、「 ADM オンプレミCloudConnector」を参照してください。

セキュリティアドバイザリ

ADM On-Prem Cloud Connector を設定し、セキュリティアドバイザリを有効にすると、更新されたセキュリティアドバイザリページを表示できます。

セキュリティアドバイザリを更新しました

管理者は、新しい一般的な脆弱性と暴露 (CVE) を追跡し、CVE の影響を評価し、修復方法を理解し、脆弱性を解決する必要があります。

セキュリティアドバイザリの機能

以下のセキュリティアドバイザリ機能は、インフラストラクチャの保護に役立ちます。

機能 説明
システムスキャン デフォルトでは、すべてのマネージドインスタンスを週に 1 回スキャンします。NetScaler ADM がシステムスキャンの日付と時刻を決定し、ユーザーが変更することはできません。
オンデマンドスキャン 必要に応じてインスタンスを手動でスキャンできます。最後のシステムスキャンからの経過時間が長い場合は、オンデマンドスキャンを実行して現在のセキュリティ状況を評価できます。または、修正を適用した後にスキャンして、修正後の状態を評価します。
CVE インパクト分析 インフラストラクチャに影響を及ぼすすべてのCVEと影響を受けたすべてのNetScalerインスタンスの結果を表示し、修正を提案します。この情報を使用して、セキュリティリスクを修正するための修正を適用します。
ログをスキャン 直近の 5 回のスキャンのコピーを保存します。これらのレポートは CSV および PDF 形式でダウンロードして分析できます。
CVE リポジトリ Citrix が2019年12月以降に発表した、NetScalerインフラストラクチャに影響を与える可能性のある、すべてのNetScaler関連のCVEを詳細に表示します。このビューを使用すると、セキュリティアドバイザリスコープの CVE を理解し、CVE について詳しく知ることができます。サポートされていない CVE については、 セキュリティアドバイザリの「サポートされていない CVE」を参照してください。

注意事項

  • セキュリティアドバイザリは、製造終了（EOL）に達したNetScalerビルドをサポートしていません。NetScalerがサポートするビルドまたはバージョンにアップグレードすることをお勧めします。

  • CVE検出がサポートされているインスタンス：すべてのNetScaler（SDX、MPX、VPX）とゲートウェイ。

  • サポートされている CVE: 2019 年 12 月以降のすべてのCVE。

    注：

    Windows用NetScaler Gateway プラグインに影響する脆弱性の検出と修復は、NetScaler ADM セキュリティアドバイザリではサポートされていません。サポートされていない CVE については、 セキュリティアドバイザリの「サポートされていない CVE」を参照してください。

  • NetScaler ADM セキュリティアドバイザリは、脆弱性を特定する際に、機能の構成ミスを一切考慮していません。

  • NetScaler ADM セキュリティアドバイザリは、CVE の識別と修復のみをサポートします。セキュリティに関する記事で取り上げられているセキュリティ上の問題の特定と修正はサポートしていません。

  • NetScaler、Gatewayリリースの範囲：この機能はメインビルドに限定されています。セキュリティアドバイザリには、その範囲に特別なビルドは含まれていません。

    • セキュリティアドバイザリは Admin パーティションではサポートされていません。

  • CVE では次の種類のスキャンが可能です。

    • バージョンスキャン:このスキャンでは、NetScaler ADMがNetScalerインスタンスのバージョンと、修正が適用されるバージョンおよびビルドを比較する必要があります。このバージョン比較は、NetScaler ADMセキュリティアドバイザリがNetScalerがCVEに対して脆弱であるかどうかを特定するのに役立ちます。たとえば、NetScalerリリースとビルドxx.yyでCVEが修正された場合、セキュリティアドバイザリでは、xx.yyより前のビルドのすべてのNetScalerインスタンスが脆弱であると見なされます。バージョンスキャンは現在、セキュリティアドバイザリでサポートされています。

    • 構成スキャン：このスキャンでは、NetScaler ADMがCVEスキャン固有のパターンをNetScaler構成ファイル（nsconf）と一致させる必要があります。NetScaler ns.confファイルに特定の構成パターンが存在する場合、そのインスタンスはそのCVEに対して脆弱であると見なされます。このスキャンは通常、バージョンスキャンと共に使用されます。 設定スキャンは現在、セキュリティアドバイザリでサポートされています。

    • カスタムスキャン：このスキャンでは、NetScaler ADMが管理対象のNetScalerインスタンスに接続し、スクリプトをプッシュしてスクリプトを実行する必要があります。スクリプト出力は、NetScaler ADMがNetScalerがCVEに対して脆弱であるかどうかを識別するのに役立ちます。例としては、特定のシェルコマンド出力、特定の CLI コマンド出力、特定のログ、特定のディレクトリまたはファイルの存在または内容が含まれます。セキュリティアドバイザリでは、設定スキャンで同じ結果が得られない場合は、複数の設定パターンに一致するカスタムスキャンも使用します。カスタムスキャンを必要とするCVEの場合、スクリプトはスケジュールスキャンまたはオンデマンドスキャンが実行されるたびに実行されます。収集されたデータと特定のカスタムスキャンのオプションの詳細については、該当の CVE のセキュリティアドバイザリドキュメントをご覧ください 。

  • スキャンによってNetScalerの本番トラフィックに影響が及ぶことはなく、NetScaler上のNetScaler構成が変更されることもありません。

  • NetScaler ADMセキュリティアドバイザリはCVE緩和をサポートしていません。NetScalerインスタンスに緩和策（一時的な回避策）を適用した場合でも、修正が完了するまで、ADMはNetScalerを脆弱なNetScalerとして識別します。

  • FIPS インスタンスでは、CVE スキャンはサポートされていません。

セキュリティアドバイザリダッシュボードの使用方法

セキュリティアドバイザリダッシュボードにアクセスするには 、NetScaler ADM GUIから［ インフラストラクチャ］>［インスタンスアドバイザリ］>［セキュリティアドバイザリ］に移動します。

ダッシュボードには、次の 3 つのタブがあります。

  • 現在の CVE

  • ログをスキャン

  • CVE リポジトリ

セキュリティアドバイザリーダッシュボード

重要：

セキュリティアドバイザリ GUI またはレポートでは、すべての CVE が表示されず、CVE が 1 つだけ表示される場合があります。回避策として、[ 今すぐスキャン ] をクリックしてオンデマンドスキャンを実行します。スキャンが完了すると、スコープ内のすべてのCVE（約 15）が UI またはレポートに表示されます。

ダッシュボードの右上隅には設定アイコンがあり、次のことができます。

  • 通知を有効または無効にする。

    CVE の影響に関する次の通知を受け取ることができます。

    • CVE スキャン結果の変更や CVE リポジトリに追加された新しい CVE に関する電子メール、Slack、PagerDuty、ServiceNow の通知。

    • CVE 影響スキャン結果の変更に関するクラウド通知。

      セキュリティアドバイザリ設定

  • カスタムスキャンの設定

    「 カスタムスキャン設定 」リストをクリックすると、追加設定のチェックボックスが表示されます。チェックボックスを選択して、これらの CVE カスタムスキャンをオプトアウトすることもできます。カスタムスキャンが必要なCVEの影響は、セキュリティアドバイザリではNetScalerインスタンスでは評価されません。

    カスタムスキャン設定

現在の CVE

このタブには、インスタンスに影響を与える CVE の数と、CVE の影響を受けるインスタンスが表示されます。タブはシーケンシャルではなく、管理者として、ユースケースに応じてこれらのタブを切り替えることができます。

NetScalerインスタンスに影響を与えるCVEの数を示す表には、以下の詳細があります。

CVE ID: インスタンスに影響する CVE の ID。

発行日:その CVE のセキュリティ情報が公開された日付。

重要度スコア:重要度タイプ (高/中/重大) とスコア。スコアを確認するには、重要度タイプにカーソルを合わせます。

脆弱性タイプ:この CVE の脆弱性のタイプ。

影響を受けるNetScalerインスタンス：CVE IDが影響しているインスタンス数。カーソルを合わせると、NetScalerインスタンスのリストが表示されます。

修復:利用可能な是正。インスタンスのアップグレード (通常は) または構成パックの適用です。

同じインスタンスは、複数の CVE によって影響を受ける可能性があります。この表では、1 つの特定の CVE または複数の選択した CVE が影響しているインスタンスの数を確認できます。 影響を受けるインスタンスのIPアドレスを確認するには、「影響を受けるNetScalerインスタンス」の「NetScaler詳細」にカーソルを合わせます。影響を受けるインスタンスの詳細を確認するには、テーブルの下部にある [ 影響を受けるインスタンスの表示 ] をクリックします。 プラス記号をクリックして、テーブルの列を追加または削除することもできます。

この画面では、インスタンスに影響を与える CVE の数は 3 つの CVE で、これらの CVE の影響を受けるインスタンスは 1 つです。

現在の CVE

<number of> NetScalerインスタンスはCVEの影響を受けます。タブには、影響を受けるすべてのNetScaler ADM NetScalerインスタンスが表示されます。表には次の詳細が表示されます。

  • NetScaler IPアドレス
  • ホスト名
  • NetScaler モデル番号
  • NetScaler 状態
  • ソフトウェアバージョンとビルド
  • NetScaler に影響を及ぼす脆弱性データの一覧です。

+ 記号をクリックすると、必要に応じてこれらの列を追加または削除できます。

CVE の影響を受けるインスタンス

脆弱性の問題を解決するには、NetScalerインスタンスを選択し、推奨される修正を適用します。ほとんどのCVEは修復としてアップグレードが必要ですが、他のCVEは修復としてアップグレードと追加の手順が必要です。

アップグレード：脆弱なNetScalerインスタンスを、修正されたリリースとビルドにアップグレードできます。この詳細は、「是正」列に表示されます。アップグレードするには、インスタンスを選択し、[ Proceed to Upgrade] ワークフローをクリックします。アップグレードワークフローでは、脆弱なNetScalerがターゲットのNetScalerとして自動的に入力されます。

注

12.0、11,0、10.5 以降のリリースは、すでにサポート終了 (EOL) です。NetScalerインスタンスがこれらのリリースのいずれかで実行されている場合は、サポートされているリリースにアップグレードしてください。

アップグレードワークフローが開始されます。NetScaler ADMを使用してNetScalerインスタンスをアップグレードする方法について詳しくは、「 ジョブを使用してNetScalerインスタンスをアップグレードする」を参照してください。

注

アップグレード先のリリースとビルドは、ユーザーの判断によります。どのリリースとビルドにセキュリティ修正が適用されているかを確認するには、修復列の下のアドバイスを参照してください。それに応じて、サポート対象のリリースとビルドを選択しますが、まだサポートが終了していません。

アドバイザリーワークフローをアップグレード

ログをスキャン

このタブには、デフォルトのシステムスキャンとオンデマンドのユーザー開始スキャンの両方を含む、過去 5 回の CVE スキャンのレポートが表示されます。各スキャンのレポートは CSV および PDF 形式でダウンロードできます。オンデマンドスキャンが進行中の場合は、完了状況も確認できます。

ログをスキャン

CVE リポジトリ

このタブには、2019年12月のすべてのCVEの最新情報と、以下の詳細が含まれています。

  • CVE ID
  • 脆弱性タイプ
  • 発行日
  • 重大度レベル
  • 修復

  • セキュリティ情報へのリンク

    CVE リポジトリ

今すぐスキャン

必要に応じて、いつでもインスタンスをスキャンできます。

「 今すぐスキャン 」をクリックして、NetScalerインスタンスに影響を与えているCVEをスキャンします。スキャンが完了すると、改訂されたセキュリティの詳細がセキュリティアドバイザリ GUI に表示されます。

今すぐスキャン

NetScaler ADM はスキャンを完了するまでに数分かかります。

通知

管理者には、CVEによって脆弱なNetScalerインスタンスがいくつあるかを示すCitrix Cloud通知が届きます。通知を確認するには、NetScaler ADM GUIの右上隅にあるベルのアイコンをクリックします。

Citrix Cloud 通知

14.1 4.x 以前のビルドのセキュリティアドバイザリ

以前のビルドを使用している場合は、セキュリティアドバイザリ機能のプレビューバージョンしか使用できません。プレビューバージョンでは、リスクのあるNetScaler CVEとADMサービスにオンボーディングされたADCインスタンスのみが強調表示されます。セキュリティアドバイザリ機能のフルバージョンを使用する場合は、ADM On-Prem Cloud Connectorを有効にする必要があります。

重要

CVEの影響に関する詳細な分析、カスタムスキャン/システムスキャンに関する決定的な情報、修復および軽減ワークフローについては、 NetScaler ADM Serviceをお試しください。

セキュリティ勧告を見る

セキュリティアドバイザリにアクセスするには、 インフラストラクチャ > インスタンスアドバイザリ > セキュリティアドバイザリに移動します。NetScaler ADM で管理しているすべてのADCインスタンスの脆弱性ステータスを確認できます。

セキュリティアドバイザリダッシュボード

NetScaler ADM オンプレミスセキュリティアドバイザリはADCバージョンスキャンのみを実行してCVEをチェックし、次の情報が表示されます。

  • CVE ID: インスタンスに影響する CVE の ID。

  • 脆弱性タイプ:この CVE の脆弱性のタイプ。

  • 影響を受けるADCインスタンス:CVE IDが影響しているインスタンス数。

NetScaler ADM オンプレミスセキュリティアドバイザリでは、ADC インスタンスのいずれかを選択して ADC インスタンスを ADM サービスにオンボーディングすることもできます。「 ADM サービスを試す 」をクリックし、ADC インスタンスを ADM サービスにオンボーディングします。ADM サービスセキュリティアドバイザリを使用すると、特定の CVE の脆弱性タイプを確認し、脆弱性を解決するための緩和策と修復に関する情報を取得できます。

ADM サービスセキュリティアドバイザリの詳細については、セキュリティアドバイザリページの GIF アニメーションをご覧ください。

セキュリティアドバイザリ
February 6, 2024
寄稿者: 
C
February 6, 2024
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.