統合セキュリティダッシュボード
統合セキュリティダッシュボードは、保護を設定し、分析を有効にし、アプリケーションに保護を展開できる単一ペインのダッシュボードです。このダッシュボードでは、さまざまなテンプレートオプションから選択し、単一のワークフローで構成プロセス全体を完了できます。開始するには、セキュリティ > セキュリティダッシュボードに移動し、アプリケーションの管理をクリックします。アプリケーションの管理ページでは、保護されたアプリケーションと保護されていないアプリケーションの詳細を表示できます。
注:
-
新規ユーザーの場合、またはStyleBooksを介して、あるいはNetScaler®インスタンスで直接保護を設定していない場合、セキュリティ > セキュリティダッシュボードをクリックすると、次のページが表示されます。
-
保護が必要な仮想サーバーの総数を表示できます。開始をクリックして、保護されていないアプリケーションの詳細を表示します。
-
保護を設定できる仮想サーバーの種類は、負荷分散とコンテンツスイッチングです。
保護されたアプリケーション
統合セキュリティダッシュボードを使用して保護を設定した後、詳細を表示できます。詳細については、「保護されていないアプリケーションの保護を設定する」を参照してください。
NetScalerインスタンスで直接、またはStyleBooksを介して保護をすでに設定している場合、保護されたアプリケーションタブで、プロファイルの下にその他とマークされたアプリケーションを表示できます。
保護されていないアプリケーションの保護を設定する
注:
ブロックリストでサポートされる構成エンティティ（ルール）の最大数は32です。
保護されていないアプリケーションタブで、アプリケーションを選択し、アプリケーションの保護をクリックします。
アプリケーションを保護するには、次のいずれかのオプションを選択できます。
-
WAF推奨スキャナー - このオプションを使用すると、アプリケーションでスキャンを実行できます。スキャンの特定のパラメーターに基づいて、結果はアプリケーションの保護を提案します。これらの推奨事項を適用することを検討してください。
-
保護の選択とカスタマイズ - このオプションを使用すると、さまざまなテンプレートオプションから選択したり、保護をカスタマイズして展開したりできます。
-
OWASP Top 10 - OWASPトップ10のセキュリティリスクに対する業界標準の保護を備えた事前定義されたテンプレートです。詳細については、
https://owasp.org/www-project-top-ten/を参照してください。 -
CVE保護 - 既知の脆弱性カテゴリに分類された事前設定されたシグネチャルールのリストからシグネチャセットを作成できます。シグネチャパターンが受信トラフィックと一致した場合に、ログまたはブロックアクションを設定するシグネチャを選択できます。ログメッセージには脆弱性の詳細が含まれます。
-
カスタム保護 - 要件に基づいて保護を選択し、展開します。
-
-
既存の保護を選択 - このオプションは、既存のアプリケーションに展開されている保護を複製します。これらの同じ保護を別のアプリケーションに展開したい場合は、このオプションを選択して、そのまま別のアプリケーションに展開できます。このオプションをテンプレートとして選択し、保護を変更してから展開することもできます。
WAF推奨スキャナー
注：
-
アプリケーションに対して一度に実行できるスキャンは1つだけです。同じアプリケーションまたは別のアプリケーションで新しいスキャンを開始するには、前のスキャンが完了するまで待つ必要があります。
-
履歴の表示をクリックして、過去のスキャンの履歴とステータスを表示できます。また、レポートの表示をクリックして、後で推奨事項を適用することもできます。
前提条件：
-
NetScalerインスタンスは、13.0 41.28以降（セキュリティチェック用）および13.0以降（シグネチャ用）である必要があります。
-
プレミアムライセンスが必要です。
-
ロードバランシング仮想サーバーである必要があります。
WAF推奨スキャンを開始するには、以下の情報を提供する必要があります。
-
スキャンパラメータの下：
-
ドメイン名 – アプリケーションに関連付けられている、有効でアクセス可能なIPアドレスまたは公開されているドメイン名を指定します。例：
www.example.com。 -
HTTP/HTTPSプロトコル – アプリケーションのプロトコルを選択します。
-
トラフィックタイムアウト – スキャン中の単一リクエストに対する待機時間（秒単位）。値は0より大きい必要があります。
-
スキャン開始URL – スキャンを開始するアプリケーションのホームページ。例：
https://www.example.com/home。URLは有効なIPv4アドレスである必要があります。IPアドレスがプライベートである場合、プライベートIPアドレスがNetScaler Console管理IPからアクセス可能であることを確認する必要があります。 -
ログインURL – 認証のためにログインデータが送信されるURL。HTMLでは、このURLは一般的にアクションURLとして知られています。
-
認証方法 – アプリケーションでサポートされている認証方法（フォームベースまたはヘッダーベース）を選択します。
-
フォームベース認証では、ログイン資格情報を含むフォームをログインURLに送信する必要があります。これらの資格情報は、フォームフィールドとその値の形式である必要があります。その後、アプリケーションはスキャン中にセッションを維持するために使用されるセッションクッキーを共有します。
-
ヘッダーベース認証では、ヘッダーセクションに認証ヘッダーとその値が必要です。認証ヘッダーは有効な値を持つ必要があり、スキャン中にセッションを維持するために使用されます。ヘッダーベースの場合、フォームフィールドは空のままにする必要があります。
-
-
リクエストメソッド – ログインURLにフォームデータを送信する際に使用されるHTTPメソッドを選択します。許可されるリクエストメソッドは、POST、GET、PUTです。
-
フォームフィールド – ログインURLに送信するフォームデータを指定します。フォームフィールドは、フォームベース認証を選択した場合にのみ必要です。キーと値のペアで指定する必要があります。ここで、フィールド名がキーで、フィールド値が値です。パスワードを含む、ログインに必要なすべてのフォームフィールドが正しく追加されていることを確認してください。値はデータベースに保存される前に暗号化されます。複数のフォームフィールドを追加するには、追加をクリックします。例：フィールド名 – ユーザー名、フィールド値 – admin。
-
ログアウトURL – アクセス後にセッションを終了するURLを指定します。例：
https://www.example.com/customer/logout。
-
-
「スキャン設定」の下で：
-
チェックする脆弱性 – スキャナーが検出する脆弱性を選択します。現在、これはSQLインジェクションとクロスサイトスクリプティングの違反に対して行われます。デフォルトでは、すべての違反が選択されています。脆弱性を選択すると、これらの攻撃をアプリケーション上でシミュレートし、潜在的な脆弱性を報告します。本番環境ではない環境でこの検出を有効にすることをお勧めします。他のすべての脆弱性も、アプリケーション上でこれらの攻撃をシミュレートすることなく報告されます。
-
応答サイズ制限 – 応答サイズの最大制限。指定された値を超える応答はスキャンされません。推奨される制限は10 MB (1000000バイト) です。
-
リクエスト同時実行数 – Webアプリケーションに並行して送信されるリクエストの総数。
-
-
WAFスキャン設定の構成が完了しました。スキャン開始をクリックしてスキャンプロセスを開始し、進行状況が完了するまで待ちます。スキャンが完了したら、レポートの表示をクリックします。スキャンレポート(/en-us/netscaler-console-service/media/scan-result.png)
-
スキャン結果ページで、推奨事項の確認をクリックします。推奨事項の確認(/en-us/netscaler-console-service/media/review-recommendation.png)
-
保護を確認するか、他の保護を編集/追加し、展開をクリックします。保護の展開(/en-us/netscaler-console-service/media/deploy-waf-protection.png)セキュリティチェックを正常に適用すると：
-
バージョンに応じて、StyleBooksを介してNetScalerインスタンスに構成が適用されます。
-
NetScaler 13.0の場合、
unified-appsec-protection-130StyleBookが使用されます。 -
NetScaler 13.1の場合、
unified-appsec-protection-131StyleBookが使用されます。 -
NetScaler 14.1の場合、
unified-appsec-protection-141StyleBookが使用されます。
-
-
AppfwプロファイルはNetScaler上に作成され、policylabelを使用してアプリケーションにバインドされます。 -
推奨される署名がすでに適用されている場合、署名はappfwプロファイルにバインドされます。
注
セキュリティチェックは、NetScaler 13.0 41.28以降のバージョンでサポートされています。
Applications > Configuration > Config Packsに移動して、デフォルトのStyleBookを介してWAFプロファイルと署名が適用されていることを確認できます。
保護を選択してカスタマイズする
OWASP Top 10
1 - IPアドレス、仮想サーバータイプ、ライセンスタイプ、アプリケーションが構成されているインスタンスなど、アプリケーションに関する情報を提供します。
2 - 選択したテンプレートを表示します。選択に応じて名前を変更できます。
3 - 保護を表示します。一部の保護には追加情報が必要です。
4 - 詳細ログタイプを表示します。次のオプションを選択できます。
-
パターン。違反パターンのみをログに記録します。
-
パターンペイロード。違反パターンと150バイトの追加JSONペイロードをログに記録します。
-
パターン、ペイロード、ヘッダー。違反パターン、150バイトの追加JSONペイロード、HTTPヘッダー情報をログに記録します。
5 - モニターモードを有効にできます。モニターモードを有効にすると、トラフィックはログに記録されるだけで、緩和策はアクティブになりません。
6 - 保護を追加できます。「保護の追加」をクリックし、追加する保護を確認します。
7 - 「テンプレートの変更」オプションを使用して、新しいテンプレートを選択できます。
8 - 保護を編集または削除できます。
9 - 選択した保護のアナリティクスを有効にします。このオプションはデフォルトで選択されています。設定された保護のアナリティクスは、「セキュリティ > セキュリティ違反」で表示できます。
保護を設定したら、「展開」をクリックします。
CVE保護
CVE保護を展開するには、「CVE保護の作成」をクリックします。「署名セットの作成」ページで、リストから署名を選択してログまたはブロックアクションを設定し、「保存」をクリックします。
「保存」をクリックすると、設定ページに追加された署名を表示できます。
「保護の追加」をクリックして、アプリケーションに保護を追加することもできます。すべての保護を設定したら、「展開」をクリックします。
カスタム保護
要件に基づいて保護を展開するには、「新しい保護の作成」をクリックします。「保護の追加」ページで、展開する保護を選択し、「保存」をクリックします。
カスタム保護(/en-us/netscaler-console-service/media/custom-protection.png)
保存をクリックした後、構成ページで選択した保護を確認し、展開をクリックします。
既存の保護を選択する
あるアプリケーションから別のアプリケーションへ既存の保護を展開するには、リストから既存の保護を選択します。
既存の保護(/en-us/netscaler-console-service/media/select-existing-protection.png)
保護を選択すると、既存の保護が複製され、構成ページに表示されます。要件に基づいて変更し、展開をクリックできます。