Configuration manuelle À l’aide de l’interface de ligne de commande
Remarque :
Si vous devez configurer manuellement la fonctionnalité de Web App Firewall, Citrix vous recommande d’utiliser la procédure GUI Citrix ADC.
Vous pouvez configurer les fonctionnalités du Web App Firewall à partir de l’interface de commande Citrix ADC. Cependant, il existe d’importantes exceptions. Vous ne pouvez pas activer les signatures à partir de l’interface de commande. Il y a environ 1 000 signatures par défaut dans sept catégories et la tâche est trop complexe pour l’interface de commande. Vous pouvez activer ou désactiver des fonctionnalités et configurer des paramètres à partir de la ligne de commande, mais vous ne pouvez pas configurer des relaxations manuelles. Bien que vous puissiez configurer la fonction d’apprentissage adaptatif et activer l’apprentissage à partir de la ligne de commande, vous ne pouvez pas passer en revue les relaxations apprises ou les règles apprises et les approuver ou les ignorer. L’interface de ligne de commande est destinée aux utilisateurs avancés qui connaissent bien l’utilisation de l’appliance Citrix ADC et du Web App Firewall.
Pour configurer manuellement le Web App Firewall à l’aide de la ligne de commande Citrix ADC, utilisez un client telnet ou shell sécurisé de votre choix pour vous connecter à la ligne de commande Citrix ADC.
Pour créer un profil à l’aide de l’interface de ligne de commande
À l’invite de commandes, tapez les commandes suivantes :
add appfw profile <name> [-defaults ( basic | advanced )]set appfw profile <name> -type ( HTML | XML | HTML XML )save ns config
Exemple
L’exemple suivant montre comment ajouter un profil nommé pr-basic, avec des valeurs par défaut de base, et affecter un type de profil HTML. Il s’agit de la configuration initiale appropriée pour un profil afin de protéger un site Web HTML.
add appfw profile pr-basic -defaults basic
set appfw profile pr-basic -type HTML
save ns config
Pour configurer un profil à l’aide de l’interface de ligne de commande
À l’invite de commandes, tapez les commandes suivantes :
-
set appfw profile <name> <arg1> [<arg2> ...]où<arg1>représente un paramètre et<arg2>représente un autre paramètre ou la valeur à affecter au paramètre représenté par<arg1>. Pour obtenir une description des paramètres à utiliser lors de la configuration de contrôles de sécurité spécifiques, reportez-vous à la section Protections avancées et à ses sous-rubriques. Pour obtenir une description des autres paramètres, reportez-vous à la section « Paramètres pour la création d’un profil ». save ns config
Exemple
L’exemple suivant montre comment configurer un profil HTML créé avec des valeurs par défaut de base pour commencer à protéger un site Web HTML simple. Cet exemple montre comment activer la journalisation et la maintenance des statistiques pour la plupart des contrôles de sécurité, mais n’active le blocage que pour les contrôles dont les taux de faux positifs sont faibles et qui ne nécessitent aucune configuration particulière. Il active également la transformation de HTML dangereux et SQL dangereux, ce qui empêche les attaques mais ne bloque pas les requêtes vers vos sites Web. Lorsque la journalisation et les statistiques sont activées, vous pouvez examiner ultérieurement les journaux pour déterminer s’il faut activer le blocage pour une vérification de sécurité spécifique.
set appfw profile -startURLAction log stats
set appfw profile -denyURLAction block log stats
set appfw profile -cookieConsistencyAction log stats
set appfw profile -crossSiteScriptingAction log stats
set appfw profile -crossSiteScriptingTransformUnsafeHTML ON
set appfw profile -fieldConsistencyAction log stats
set appfw profile -SQLInjectionAction log stats
set appfw profile -SQLInjectionTransformSpecialChars ON
set appfw profile -SQLInjectionOnlyCheckFieldsWithSQLChars ON
set appfw profile -SQLInjectionParseComments checkall
set appfw profile -fieldFormatAction log stats
set appfw profile -bufferOverflowAction block log stats
set appfw profile -CSRFtagAction log stats
save ns config
Pour créer et configurer une stratégie
À l’invite de commandes, tapez les commandes suivantes :
add appfw policy <name> <rule> <profile>save ns config
Exemple
L’exemple suivant montre comment ajouter une stratégie nommée pl-blog, avec une règle qui intercepte tout le trafic à destination ou en provenance de l’hôte blog.example.com et associe cette stratégie au profil pr-blog.
add appfw policy pl-blog "HTTP.REQ.HOSTNAME.DOMAIN.EQ("blog.example.com")" pr-blog
Pour lier une stratégie de Web App Firewall
À l’invite de commandes, tapez les commandes suivantes :
bind appfw global <policyName> <priority>save ns config
Exemple
L’exemple suivant lie la stratégie nommée pl-blog et lui attribue une priorité de 10.
bind appfw global pl-blog 10
save ns config
Pour configurer la limite de session par PE
À l’invite de commandes, tapez les commandes suivantes :
set appfw settings <session limit>
Exemple
L’exemple suivant configure la limite de session par PE.
> set appfw settings -sessionLimit 500000`
Done
Default value:100000 Max value:500000 per PE