Configuration manuelle À l’aide de l’interface de ligne de commande

Vous pouvez configurer de nombreuses fonctionnalités de Web App Firewall à partir de la ligne de commande Citrix ADC. Il y a cependant d’importantes exceptions. Vous ne pouvez pas activer les signatures à partir de la ligne de commande. Il y a plus de 1 000 signatures par défaut dans sept catégories ; la tâche est tout simplement trop complexe pour l’interface de ligne de commande. Vous pouvez configurer les actions de vérification et les paramètres des vérifications de sécurité à partir de la ligne de commande, mais vous ne pouvez pas entrer des relaxations manuelles. Bien que vous puissiez configurer la fonction d’apprentissage adaptatif et activer l’apprentissage à partir de la ligne de commande, vous ne pouvez pas passer en revue les relaxations apprises ou les règles apprises et les approuver ou les ignorer. L’interface de ligne de commande est destinée aux utilisateurs avancés qui connaissent parfaitement l’appliance Citrix ADC et la fonctionnalité de Web App Firewall.

Pour configurer manuellement le Web App Firewall à l’aide de la ligne de commande Citrix ADC, utilisez un client telnet ou shell sécurisé de votre choix pour vous connecter à la ligne de commande Citrix ADC.

Pour créer un profil à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes :

  • add appfw profile <name> [-defaults ( basic | advanced )]
  • set appfw profile <name> -type ( HTML | XML | HTML XML )
  • save ns config

Exemple

L’exemple suivant montre comment ajouter un profil nommé pr-basic, avec des valeurs par défaut de base, et affecter un type de profil HTML. Il s’agit de la configuration initiale appropriée pour un profil pour protéger un site Web HTML.

add appfw profile pr-basic -defaults basic
set appfw profile pr-basic -type HTML
save ns config

Pour configurer un profil à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes :

  • set appfw profile <name> <arg1> [<arg2> ...]<arg1> représente un paramètre et <arg2> représente un autre paramètre ou la valeur à affecter au paramètre représenté par <arg1>. Pour obtenir une description des paramètres à utiliser lors de la configuration de contrôles de sécurité spécifiques, reportez-vous à la section Protections avancées et à ses sous-rubriques. Pour obtenir une description des autres paramètres, reportez-vous à la section « Paramètres pour la création d’un profil ».
  • save ns config

Exemple

L’exemple suivant montre comment configurer un profil HTML créé avec des valeurs par défaut de base pour commencer à protéger un site Web HTML simple. Cet exemple montre comment activer la journalisation et la maintenance des statistiques pour la plupart des contrôles de sécurité, mais ne permet de bloquer que les contrôles qui ont des taux de faux positifs extrêmement faibles et qui ne nécessitent aucune configuration particulière. Il active également la transformation du code HTML dangereux et du code SQL dangereux, ce qui empêche les attaques mais ne bloque pas les requêtes vers vos sites Web. Lorsque la journalisation et les statistiques sont activées, vous pouvez examiner ultérieurement les journaux pour déterminer s’il faut activer le blocage pour une vérification de sécurité spécifique.

set appfw profile -startURLAction log stats
set appfw profile -denyURLAction block log stats
set appfw profile -cookieConsistencyAction log stats
set appfw profile -crossSiteScriptingAction log stats
set appfw profile -crossSiteScriptingTransformUnsafeHTML ON
set appfw profile -fieldConsistencyAction log stats
set appfw profile -SQLInjectionAction log stats
set appfw profile -SQLInjectionTransformSpecialChars ON
set appfw profile -SQLInjectionOnlyCheckFieldsWithSQLChars ON
set appfw profile -SQLInjectionParseComments checkall
set appfw profile -fieldFormatAction log stats
set appfw profile -bufferOverflowAction block log stats
set appfw profile -CSRFtagAction log stats
save ns config

Pour créer et configurer une stratégie

À l’invite de commandes, tapez les commandes suivantes :

  • add appfw policy <name> <rule> <profile>
  • save ns config

Exemple

L’exemple suivant montre comment ajouter une stratégie nommée pl-blog, avec une règle qui intercepte tout le trafic à destination ou en provenance de l’hôte blog.example.com et associe cette stratégie au profil pr-blog. Il s’agit d’une politique appropriée pour protéger un blog hébergé sur un nom d’hôte spécifique.

add appfw policy pl-blog "HTTP.REQ.HOSTNAME.DOMAIN.EQ("blog.example.com")" pr-blog

Pour lier une stratégie de Web App Firewall

À l’invite de commandes, tapez les commandes suivantes :

  • bind appfw global <policyName> <priority>
  • save ns config

Exemple

L’exemple suivant lie la stratégie nommée pl-blog et lui attribue une priorité de 10.

bind appfw global pl-blog 10
save ns config

Pour configurer la limite de session par PE

À l’invite de commandes, tapez les commandes suivantes :

  • set appfw settings <session limit>

Exemple

L’exemple suivant configure la limite de session par PE.

> set appfw settings -sessionLimit 500000`

Done

Default value:100000   Max value:500000 per PE