製品ドキュメント
NetScaler コンソールサービス
PDFを表示

WAF Insight

March 10, 2024
寄稿者: 
C

インターネットに接続しているWebアプリケーションやWebサービスアプリケーションの攻撃に対する脆弱性が高まってきています。アプリケーションを攻撃から保護するには、過去、現在の脅威、近い将来起こり得る脅威の性質と程度、攻撃発生時にすぐ利用できるリアルタイムデータ、対策に関する推奨事項を把握する必要があります。WAF Insightは、アプリケーションのセキュリティステータスを評価し、アプリケーションを保護するための是正措置を取るのに役立つ単一ペインソリューションを提供します。

注

WAF Insightは、バージョン11.0ビルド65.31以降で実行されているすべてのNetScalerアプライアンスを搭載したNetScalerコンソールでサポートされています。

WAF Insightの仕組み

WAF Insightは、アプリケーションに関連する脅威環境を完全に可視化できる、直感的なダッシュボードベースのセキュリティ分析ソリューションです。Security InsightはNetScaler Consoleに含まれており、アプリケーションファイアウォールとNetScalerシステムのセキュリティ構成に基づいて定期的にレポートを生成します。このレポートには、アプリケーション別に次の情報が含まれています。

  • 脅威指数：アプリケーションがNetScalerアプライアンスによって保護されているかどうかに関係なく、アプリケーションに対する攻撃の重要度を示す1桁の評価システム。アプリケーションに対する攻撃の重大度が高いほど、そのアプリケーションの脅威指数は大きくなります。この指数の範囲は1～7です。

    脅威指数は攻撃情報に基づいています。違反の種類、攻撃のカテゴリ、場所、クライアントの詳細などの、攻撃に関連する情報により、アプリケーションに対する攻撃について正確かつ詳細に把握できます。違反情報は、違反または攻撃が発生した場合にのみNetScaler Consoleに送信されます。多くの侵害や脆弱性は、高い脅威指数の値につながります。

  • 安全性指数：外部からの脅威や脆弱性からアプリケーションを保護するために、NetScaler インスタンスをどのように安全に構成したかを示す1桁の評価システム。アプリケーションのセキュリティリスクが小さいほど、安全性指数は高くなります。この指数の範囲は1～7です。

    安全指標では、アプリケーションファイアウォール構成とNetScaler システムセキュリティ構成の両方が考慮されます。高い安全性指数値を得るためには、両方の構成を堅牢にする必要があります。たとえば、厳格なアプリケーションファイアウォールチェックが行われていて、 nsroot ユーザーの強力なパスワードなど、NetScaler ADCシステムのセキュリティ対策が採用されていない場合、アプリケーションには低い安全指数の値が割り当てられます。

  • 実用的な情報。脅威指数を下げて安全指数を増やすために必要な情報。これにより、アプリケーションのセキュリティが大幅に向上します。たとえば、違反、アプリケーションファイアウォールおよびその他のセキュリティ機能の既存および存在しないセキュリティ構成、アプリケーションの攻撃率に関する情報を確認できます。

WAF Insightの設定

注：

Unified Security ダッシュボードから保護の設定を開始できます。詳細については、「 統合セキュリティダッシュボード」を参照してください

  1. ［ インフラストラクチャ］>［インスタンス］>［NetScaler ］に移動し、インスタンスタイプを選択します。たとえば、VPX です。

  2. インスタンスを選択し、[ アクションの選択 ] リストから [ Analytics を設定] を選択します。

  3. [ 仮想サーバーでの分析の設定 ] ウィンドウで、次の操作を行います：

    1. Security Insightを有効にする仮想サーバーを選択し、「 セキュリティと分析を有効にする」をクリックします。

      [セキュリティと分析を有効にする ] ウィンドウが表示されます。

    2. WAF セキュリティ違反を選択

    3. [ 詳細オプション] で、トランスポートモードとして [ ログストリーム ] または [ IPFIX ] を選択します

      注

      NetScaler 12.0以前の場合、 IPFIXはトランスポートモードのデフォルトのオプションです 。NetScaler 12.0以降では、トランスポートモードとして［ ログストリーム ］または［ IPFIX ］を選択できます。

      IPFIX とログストリームの詳細については、「 ログストリームの概要」を参照してください。

    4. 式はデフォルトでtrueです

    5. ［OK］をクリックします

      Enable

      注

      • Flexedライセンスを使用していない状態でライセンスされていない仮想サーバーを選択した場合、NetScaler Consoleはまずそれらの仮想サーバーのライセンスを取得してから分析を有効にします。

［ OK］をクリックすると、NetScaler Consoleは選択した仮想サーバーで分析を有効にする処理を行います。

注：

グループを作成するときに、グループに役割を割り当てたり、グループへのアプリケーションレベルのアクセスを提供したり、ユーザーをグループに割り当てたりすることができます。NetScaler Consoleの分析では、仮想IPアドレスベースの認証がサポートされるようになりました。ユーザーは、権限のあるアプリケーション（仮想サーバー）のみのすべての Insightのレポートを表示できるようになりました。グループの詳細とグループへのユーザーの割り当てについては、「 NetScaler Consoleでのグループの構成」を参照してください。

Security Insightレポート用に地理的な場所を設定する

NetScaler Consoleで地理的位置を構成すると、WAF Insightレポートには、クライアントのリクエストが発生した正確な地理的位置が含まれます。位置情報を有効にするには、組織内の各位置情報について、プライベートIPブロックまたはIPアドレスの範囲を指定します。その情報を、市町村/都道府県/国名および各位置の経緯度と一緒にGeo Databaseファイルに追加します。NetScalerの担当者に連絡してジオデータベースファイルを入手し、そのファイルをNetScalerインスタンスにアップロードします。

地理的位置を設定するには:

  1. Geo DatabaseファイルCitrix_Netscaler_InBuilt_GeoIP_DB.csvを、NetScalerアプライアンス上の任意の場所にコピーします。

  2. viなどのテキストエディターを使ってGeo Databaseファイルを開き、組織内の各場所のエントリを追加します。

    エントリは、次の形式で指定する必要があります。

    <start IP\>,<end IP\>,,<country\>,<state\>,,<city\>,,longitude,latitude

    例：

    4.17.142.224,4.17.142.239,,US,New York,,Harrison,,73.7304,41.0568

  3. 次のコマンドを実行して位置情報ログおよびCEF形式でのログを有効にします。

    • add locationFile
    • set appfw settings -geoLocationLogging ON
    • set appfw settings -CEFLogging ON

IP レピュテーション

NetScaler Insight Center を使用して、着信トラフィックのIPレピュテーションを監視および管理できます。悪意のあるIPを追加するよう各種ポリシーを構成して、カスタマイズされたブロックリストを作成できます。

IP レピュテーションの設定と使用方法については、「 IP レピュテーション」を参照してください。

IP レピュテーションの監視

IPレピュテーション機能は、悪意のあるIPアドレスに関する攻撃関連情報を提供します。たとえば、IPレピュテーションスコア、IPレピュテーションカテゴリ、IPレピュテーション攻撃時間、デバイスIP、およびクライアントIPアドレスに関する詳細がレポートされます。

IP レピュテーションスコアは、IP アドレスに関連付けられたリスクを示します。スコアには、次の範囲があります。

IPレピュテーションスコア リスクの程度
1–20 高リスク
21–40 疑わしい
41–60 中程度のリスク
61–80 低リスク
81–100 信頼できる

IPレピュテーションを監視するには、次の手順に従います。

  1. [ セキュリティ] > [セキュリティ違反] に移動し、[ WAF] で監視するアプリケーションを選択します。

  2. 脅威インデックスと安全指数のスコアが表示されます 。[ 詳細の表示] をクリックします。

  3. [アプリケーションファイアウォールの構成] で、IP レピュテーションの安全性インデックスのスコアを表示できます。

しきい値

WAF Insightでは、アプリケーションの安全性指数と脅威指数のしきい値を設定および表示できます。

しきい値を設定するには:

  1. [ 設定] > [分析の設定] > [しきい値] に移動し、[ 追加] を選択します。

  2. 「トラフィックタイプ」フィールドで「 セキュリティ 」としてトラフィックタイプを選択し、名前、期間、エンティティなどの他の適切なフィールドに必要な情報を入力します。

  3. [ ルール ] セクションで、[メトリック]、[コンパレータ]、および [値] フィールドを使用してしきい値を設定します。

    入力例：”Threat Index” “>” “5”

  4. ［作成］ をクリックします。

WAF インサイトのユースケース

次のユースケースでは、Security Insightを使用して、アプリケーションの脅威環境を査定し、セキュリティ対策を向上する方法を説明します。

脅威環境の概要を把握する

このユースケースでは、攻撃にさらされる一連のアプリケーションがあり、脅威環境を監視するようにNetScaler Consoleを構成しています。脅威指数、安全指数、およびアプリケーションが経験した可能性のある攻撃の種類と重大度を確認して、まず重要なアプリケーションに焦点を当てる必要があります。Security Insightダッシュボードには、選択した期間および選択したNetScaler ADC デバイスについて、アプリケーションが経験した脅威の概要が表示されます。アプリケーションの一覧、脅威指数と安全性指数、選択した期間の攻撃回数の合計が表示されます。

脅威環境の概要を確認するには、NetScaler Consoleにログオンし、[セキュリティ] > [セキュリティ違反 ] に移動します。WAFには、影響を受けた違反の合計数に基づいて上位5つのアプリケーションが表示されます。すべてのアプリケーションを表示するには、[ すべて表示] をクリックします。

WAF アプリケーション

アプリケーションの既存および存在しないセキュリティ構成を特定する

アプリケーションの脅威への露出度を確認したら、そのアプリケーションに設定されているセキュリティ構成と欠落しているセキュリティ構成を確認します。この情報は、アプリケーションの概要にドリルダウンすることで取得できます。

概要には、次のセキュリティ構成の有効性に関する情報が表示されます。

  • アプリケーションファイアウォール構成。構成されていないシグネチャおよびセキュリティエンティティの数を表示します。

  • NetScaler コンソールシステムのセキュリティ。構成されていないシステムセキュリティ設定の数を表示します。

    セキュリティ構成

[ アプリケーションファイアウォールの構成 ] ノードで、セキュリティチェックとセキュリティ違反の情報を確認します。

アプリケーションファイアウォールの設定

NetScaler Consoleのシステムセキュリティノードをクリックし 、システムのセキュリティ設定とCitrixの推奨事項を確認して、アプリケーションの安全性指数を向上させてください。

即時の対応が必要なアプリケーションを特定

直ちに注意が必要なアプリケーションは、高い脅威指数と安全指数が低いアプリケーションです。

特定の時間内の攻撃数を決定する

特定のアプリケーションで特定の時間帯に発生した攻撃の数や、指定した期間の攻撃発生率を調べてみます。

[ WAF] で、アプリケーションをクリックして、選択した期間に検出された WAF 違反の合計を表示します。

期間を選択

[ Logs ] をクリックして、重大度と実行されたアクションに基づいて攻撃の詳細を表示します。ログページには、次の詳細が表示されます。

  • アタックタイム

  • 攻撃が発生したクライアントのIPアドレス

  • 重要度

  • 違反のカテゴリー

  • 攻撃の発信元の URL、およびその他の詳細。

WAF Insight
March 10, 2024
寄稿者: 
C
March 10, 2024
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.