Citrix ADC

Configuración y uso de la función Aprendizaje

January 12, 2021

Contribuido por:

La función de aprendizaje es un filtro de patrones repetitivos que observa la actividad en un sitio web o aplicación protegida por el Web App Firewall, para determinar qué constituye actividad normal en ese sitio web o aplicación. A continuación, genera una lista de hasta 2.000 reglas o excepciones sugeridas (relajaciones) para cada comprobación de seguridad que incluya compatibilidad con la función de aprendizaje. Normalmente, a los usuarios les resulta más fácil configurar las relajantes mediante el uso de la función de aprendizaje que introduciendo manualmente las relajantes necesarias.

Las comprobaciones de seguridad que admiten la función de aprendizaje son:

Iniciar comprobación de URL
Comprobación de coherencia de cookies
Comprobación de coherencia de campos de formulario
Comprobación Formatos de campo
Comprobación de etiquetado de formularios CSRF
Comprobación de inyección HTML SQL
Comprobación de scripts entre sitios HTML
Verificación de denegación de servicio XML
Comprobación de datos adjuntos XML
Comprobación de interoperabilidad de servicios web

Al utilizar la función de aprendizaje, se realizan dos tipos diferentes de actividades. Primero, habilite y configure la función para usarla. Puede utilizar el aprendizaje en todo el tráfico a las aplicaciones web protegidas, o puede configurar una lista de IP (denominada lista Agregar clientes de aprendizaje de confianza ) a partir de la cual la función de aprendizaje debe generar recomendaciones. En segundo lugar, una vez habilitada la función y procesada cierta cantidad de tráfico hacia los sitios web protegidos, revisa la lista de reglas y relajaciones sugeridas (reglas aprendidas) y marca cada una con una de las siguientes designaciones:

Modificar e implementar. La regla se extrae del cuadro de diálogo Modificar para que pueda modificarla y se implementa el formulario modificado.
Implementar. La regla aprendida no modificada se coloca en la lista de reglas o relajaciones para esta comprobación de seguridad.
Ignorar. La regla aprendida se coloca en una lista de reglas o relajaciones que no se implementan. La regla aprendida se elimina cuando se omite. Sin embargo, como no se agregan a las relajaciones, es posible que se vuelvan a aprender.

El aprendizaje no se realiza solo cuando las relajaciones están en su lugar, a excepción de las reglas de formato de campo. Cuando se omiten reglas, solo se eliminan de la base de datos aprendida. Como las relajaciones no se agregan, es posible que se aprendan de nuevo. Cuando se implementan reglas, se eliminan de la base de datos aprendida y también se agregan relajación para las reglas. A medida que se agregan relajantes, no se aprenderían de nuevo. Para la protección del formato de campo, el aprendizaje se realiza independientemente de las relajaciones.

Aunque puede utilizar la interfaz de línea de comandos para la configuración básica de la función de aprendizaje, la función está diseñada principalmente para la configuración mediante el Asistente de Web App Firewall o la GUI. Solo puede realizar una configuración limitada de la entidad de aprendizaje mediante la línea de comandos.

El asistente integra la configuración de las funciones de aprendizaje con la configuración de Web App Firewall en su conjunto y, por lo tanto, es el método más fácil para configurar esta función en un nuevo dispositivo Citrix ADC o al administrar una configuración simple de Web App Firewall. El visualizador de GUI y la interfaz manual proporcionan acceso directo a todas las reglas aprendidas para todas las comprobaciones de seguridad y, por lo tanto, a menudo son preferibles cuando debe revisar reglas aprendidas para un gran número de comprobaciones de seguridad.

La base de datos de aprendizaje está limitada a 20 MB de tamaño, que se alcanza después de generar aproximadamente 2.000 reglas aprendidas o relajaciones por comprobación de seguridad para la que se habilita el aprendizaje. Si no revisa regularmente y aprueba o ignora reglas aprendidas y se alcanza este límite, se registra un error en el registro de NetScaler y no se generan más reglas aprendidas hasta que revise las reglas aprendidas y las relajaciones existentes.

Si el aprendizaje se detiene porque la base de datos ha alcanzado su límite de tamaño, puede reiniciar el aprendizaje revisando las reglas aprendidas y las relajaciones existentes o restableciendo los datos de aprendizaje. Una vez aprobadas o ignoradas las reglas aprendidas o las relajaciones, se eliminan de la base de datos. Después de restablecer los datos de aprendizaje, todos los datos de aprendizaje existentes se quitan de la base de datos y se restablecen a su tamaño mínimo. Cuando la base de datos tiene un tamaño inferior a 20 MB, el aprendizaje se reinicia automáticamente.

Para configurar los parámetros de aprendizaje mediante la interfaz de línea de comandos

Especifique el perfil de Web App Firewall que se va a configurar y, para cada comprobación de seguridad que quiera incluir en ese perfil, especifique el umbral mínimo o el umbral de porcentaje. El umbral mínimo es un entero que representa el número mínimo de sesiones de usuario que el Web App Firewall debe procesar antes de aprender una regla o relajación (predeterminado: 1). El umbral de porcentaje es un entero que representa el porcentaje de sesiones de usuario en las que el Web App Firewall debe observar un patrón determinado (URL, cookie, campo, datos adjuntos o infracción de reglas) antes de aprender una regla o relajación (predeterminado: 0). Utilice los siguientes comandos:

set appfw learningsettings <profileName> [-startURLMinThreshold <positive_integer>] [-startURLPercentThreshold <positive_integer>] [-cookieConsistencyMinThreshold <positive_integer>] [-cookieConsistencyPercentThreshold <positive_integer>] [-CSRFtagMinThreshold <positive_integer>] [-CSRFtagPercentThreshold <positive_integer>] [-fieldConsistencyMinThreshold <positive_integer>] [-fieldConsistencyPercentThreshold <positive_integer>] [-crossSiteScriptingMinThreshold <positive_integer>] [-crossSiteScriptingPercentThreshold <positive_integer>] [-SQLInjectionMinThreshold <positive_integer>] [-SQLInjectionPercentThreshold <positive_integer>] [-fieldFormatMinThreshold <positive_integer>] [-fieldFormatPercentThreshold <positive_integer>] [-XMLWSIMinThreshold <positive_integer>] [-XMLWSIPercentThreshold <positive_integer>] [-XMLAttachmentMinThreshold <positive_integer>] [-XMLAttachmentPercentThreshold <positive_integer>]
save ns config

Ejemplo

En el ejemplo siguiente se habilita y configura la configuración de aprendizaje en el perfil pr-basic para la comprobación de seguridad HTML SQL Injection. Se trata de una configuración de aprendizaje inicial adecuada, en la que tiene control total sobre el tráfico que se envía al Web App Firewall.

set appfw learningsettings pr-basic -SQLInjectionMinThreshold 10
set appfw learningsettings pr-basic -SQLInjectionPercentThreshold 70
save ns config

Para restablecer la configuración de aprendizaje a sus valores predeterminados mediante la interfaz de línea de comandos

Para quitar cualquier configuración personalizada de la configuración de aprendizaje para el perfil y la comprobación de seguridad especificados y devolver la configuración de aprendizaje a sus valores predeterminados, en el símbolo del sistema escriba los comandos siguientes:

unset appfw learningsettings <profileName> [-startURLMinThreshold ] [-startURLPercentThreshold] [-cookieConsistencyMinThreshold] [-cookieConsistencyPercentThreshold] [-CSRFtagMinThreshold ] [-CSRFtagPercentThreshold ] [-fieldConsistencyMinThreshold ] [-fieldConsistencyPercentThreshold ] [-crossSiteScriptingMinThreshold ] [-crossSiteScriptingPercentThreshold ] [-SQLInjectionMinThreshold ] [-SQLInjectionPercentThreshold ] [-fieldFormatMinThreshold] [-fieldFormatPercentThreshold ] [-XMLWSIMinThreshold ] [-XMLWSIPercentThreshold ] [-XMLAttachmentMinThreshold ] [-XMLAttachmentPercentThreshold]
save ns config