Citrix Application Delivery Management service

Security Insight

Les applications Web et les applications de services Web qui sont exposées à Internet sont devenues de plus en plus vulnérables aux attaques. Pour protéger les applications contre les attaques, vous avez besoin d’une visibilité sur la nature et l’étendue des menaces passées, présentes et imminentes, de données exploitables en temps réel sur les attaques et de recommandations sur les contre-mesures. Security Insight fournit une solution à volet unique pour vous aider à évaluer l’état de sécurité de votre application et à prendre des mesures correctives pour sécuriser vos applications.

Remarque

Security Insight est pris en charge par Citrix Application Delivery Management (ADM) avec toutes les appliances ADC exécutées sur la version 11.0 Build 65.31 et ultérieure.

Fonctionnement des informations de sécurité

Security Insight est une solution intuitive d’analyse de la sécurité basée sur un tableau de bord qui vous donne une visibilité totale sur l’environnement de menace associé à vos applications. Les informations de sécurité sont incluses dans Citrix ADM, et il génère périodiquement des rapports basés sur les configurations de sécurité de votre système Application Firewall et ADC. Les rapports contiennent les renseignements suivants pour chaque application :

  • Indice de menace. Système d’évaluation à un chiffre qui indique la criticité des attaques contre l’application, que l’application soit protégée ou non par une appliance ADC. Plus les attaques sur une application sont critiques, plus l’indice de menace pour cette application est élevé. Les valeurs varient de 1 à 7.

    L’indice des menaces est basé sur les informations d’attaque. Les informations relatives à l’attaque, telles que le type de violation, la catégorie d’attaque, l’emplacement et les détails du client, vous donnent un aperçu des attaques sur l’application. Les informations de violation sont envoyées à Citrix ADM uniquement lorsqu’une violation ou une attaque se produit. De nombreuses failles et vulnérabilités conduisent à un indice de menace élevé.

  • Indice de sécurité. Système de notation à un chiffre qui indique la sécurité avec laquelle vous avez configuré les instances ADC pour protéger les applications contre les menaces et vulnérabilités externes. Plus les risques de sécurité pour une application sont faibles, plus l’indice de sécurité est élevé. Les valeurs varient de 1 à 7.

    L’indice de sécurité tient compte à la fois de la configuration du pare-feu d’application et de la configuration de sécurité du système ADC. Pour un indice de sécurité élevé, les deux configurations doivent être solides. Par exemple, si des contrôles rigoureux du pare-feu des applications sont en place mais que les mesures de sécurité du système ADC, telles qu’un mot de passe fort pour l’ nsroot utilisateur, n’ont pas été adoptées, les applications se voient attribuer une valeur d’indice de sécurité faible.

  • Informations exploitables. Informations dont vous avez besoin pour abaisser l’indice de menace et augmenter l’indice de sécurité, ce qui améliore considérablement la sécurité des applications. Par exemple, vous pouvez consulter des informations sur les violations, les configurations de sécurité existantes et manquantes pour le pare-feu d’application et d’autres fonctionnalités de sécurité, le taux d’attaque des applications.

Configurer les informations de sécurité

Remarque

Security Insight est pris en charge sur les instances ADC avec licence Premium ou ADC Advanced avec licence AppFirewall uniquement.

Pour configurer les informations de sécurité sur une instance ADC, configurez d’abord un profil de pare-feu d’application et une stratégie de pare-feu d’application, puis liez la stratégie de pare-feu d’application globalement.

Ensuite, activez la fonctionnalité AppFlow, configurez un collecteur, une action et une stratégie AppFlow, puis liez la stratégie globalement. Lorsque vous configurez le collecteur, vous devez spécifier l’adresse IP de l’agent de service Citrix ADM sur lequel vous souhaitez surveiller les rapports.

Configurer les informations de sécurité sur une instance ADC

  1. Exécutez les commandes suivantes pour configurer un profil et une stratégie de pare-feu d’application et lier la stratégie de pare-feu d’application globalement ou au serveur virtuel d’équilibrage de charge.

     **add appfw profile** \<name\> \[**-defaults** ( basic or advanced )\]
    
     **set appfw profile** \<name\> \[**-startURLAction** \<startURLAction\> ...\]
    
     **add appfw policy** \<name\> \<rule\> \<profileName\>
    
     **bind appfw global** \<policyName\> \<priority\>
    
     ou,
    
     **bind lb vserver** \<lb vserver\> **-policyName** \<policy\> **-priority** \<priority\>
    

    Échantillon :

    ```
    add appfw profile pr_appfw -defaults advanced
    set  appfw profile pr_appfw -startURLaction log stats learn
    add appfw policy pr_appfw_pol "HTTP.REQ.HEADER(\"Host\").EXISTS" pr_appfw
    bind appfw global pr_appfw_pol 1
    ou,
    bind lb vserver outlook –policyName pr_appfw_pol –priority "20"
    <!--NeedCopy--> ```
    
  2. Exécutez les commandes suivantes pour activer la fonctionnalité AppFlow, configurer un collecteur, une action et une stratégie AppFlow et lier la stratégie globalement ou au serveur virtuel d’équilibrage de charge :

     **add appflow collector** \<name\> **-IPAddress** \<ipaddress\>
    
    **set appflow param** \[**-SecurityInsightRecordInterval** \<secs\>\] \[**-SecurityInsightTraffic** ( ENABLED or DISABLED )\]
    
     **add appflow action** \<name\> **-collectors** \<string\>
    
     **add appflow policy** \<name\> \<rule\> \<action\>
    
    **bind appflow global** \<policyName\> \<priority\> \[\<gotoPriorityExpression\>\] \[**-type** \<type\>\]
    
     ou,
    
     **bind lb vserver** \<vserver\> **-policyName** \<policy\> **-priority** \<priority\>
    

    Échantillon :

    ```
    add appflow collector col -IPAddress 10.102.63.85
    set appflow param  -SecurityInsightRecordInterval 600 -SecurityInsightTraffic ENABLED
    add appflow action act1 -collectors col
    add appflow action af_action_Sap_10.102.63.85 -collectors col
    add appflow policy pol1 true act1
    add appflow policy af_policy_Sap_10.102.63.85 true af_action_Sap_10.102.63.85
    bind appflow global pol1 1 END -type REQ_DEFAULT
    ou,
    bind lb vserver Sap –policyName af_action_Sap_10.102.63.85 –priority "20"
    <!--NeedCopy--> ```
    

Activer les informations sur la sécurité à partir de Citrix ADM

  1. Accédez à Réseaux > Instances > Citrix ADC et sélectionnez le type d’instance. Par exemple, VPX.

  2. Sélectionnez l’instance et dans la liste Sélectionner une action, sélectionnez Configurer Analytics.

  3. Dans la fenêtre Configurer Analytics sur un serveur virtuel :

    1. Sélectionnez les serveurs virtuels que vous souhaitez activer les informations de sécurité, puis cliquez sur Activer Analytics.

      La fenêtre Activer les analyses s’affiche.

    2. Sélectionner Security Insight

    3. Sous Options avancées, sélectionnez Logstreamou IPFIXcomme mode de transport

      Remarque

      Pour Citrix ADC 12.0 ou version antérieure, IPFIX est l’option par défaut pour le mode de transport. Pour Citrix ADC 12.0 ou version ultérieure, vous pouvez sélectionner Logstream ou IPFIX comme mode de transport.

      Pour plus d’informations sur IPFIX et Logstream, reportez-vous à la section Présentation de Logstream.

    4. L’expression est true par défaut

    5. Cliquez sur OK.

      Activer

      Remarque

          -  Si vous sélectionnez des serveurs virtuels qui ne sont pas sous licence, Citrix ADM concède d'abord ces serveurs virtuels, puis active l'analyse
      
          -  Pour les partitions d'administration, seul **Web Insight** est pris en charge
      

Après avoir cliqué sur OK, Citrix ADM traite pour activer les analyses sur les serveurs virtuels sélectionnés.

Activer l'analyse

Remarque

Lorsque vous créez un groupe, vous pouvez affecter des rôles au groupe, fournir un accès au niveau de l’application au groupe et affecter des utilisateurs au groupe. L’analyse Citrix ADM prend désormais en charge l’autorisation basée sur l’adresse IP virtuelle. Vos utilisateurs peuvent désormais voir des rapports pour tous les Insights uniquement pour les applications (serveurs virtuels) pour lesquelles ils sont autorisés. Pour plus d’informations sur les groupes et l’affectation d’utilisateurs au groupe, reportez-vous à la section Configuration de groupes sur Citrix ADM.

Configurer des emplacements géographiques pour les rapports d’informations sur la sécurité

Si vous configurez des emplacements géographiques dans Citrix ADM, les rapports Security Insight incluent les emplacements géographiques exacts à partir desquels les demandes de clients proviennent. Pour activer les emplacements géographiques, spécifiez un bloc IP privé ou une plage d’adresses IP pour chaque emplacement géographique de votre organisation. Ajoutez ces informations dans le fichier de la base de données géo, ainsi que le nom de la ville/état/pays et les coordonnées de latitude et de longitude de chaque emplacement. Contactez votre représentant Citrix pour obtenir le fichier Geo Database, puis téléchargez le fichier sur l’instance ADC.

Pour configurer des emplacements géographiques :

  1. Copiez le fichier de base de données Geo, Citrix_Netscaler_inbuilt_geoip_db.csv, sur n’importe quel emplacement de l’appliance ADC.

  2. Ouvrez le fichier Geo Database avec un éditeur de texte, tel que l’éditeur vi, et ajoutez une entrée pour chaque emplacement de votre organisation.

    L’entrée doit être dans le format suivant :

    <start IP\>,<end IP\>,,<country\>,<state\>,,<city\>,,longitude,latitude

    Par exemple,

    4.17.142.224,4.17.142.239,,US,New York,,Harrison,,73.7304,41.0568

  3. Exécutez les commandes suivantes pour activer la journalisation géographique et la journalisation au format CEF :

    • add locationFile <Complete path with DB file>
    • set appfw settings -CEFLogging ON
    • set appfw settings -CEFLogging ON

Réputation IP

Vous pouvez utiliser NetScaler Insight Center pour surveiller et gérer la réputation IP de votre trafic entrant. Vous pouvez configurer des stratégies pour ajouter d’autres adresses IP comme étant malveillantes et créer une liste de blocs personnalisée.

Pour en savoir plus sur la configuration et l’utilisation de la réputation IP, reportez-vous à la section Réputation IP.

Surveillance de la réputation IP

La fonctionnalité de réputation IP fournit des informations relatives à l’attaque sur les adresses IP malveillantes. Par exemple, il signale le score de réputation IP, la catégorie de réputation IP, le temps d’attaque de réputation IP, l’adresse IP du périphérique et des détails sur l’adresse IP du client.

Le score de réputation IP indique le risque associé à une adresse IP. Le score a les gammes suivantes :

Score de réputation IP Niveau de risque
1–20 Risque élevé
21–40 Suspicieux
41–60 Risque modéré
61–80 Faible risque
81–100 Digne de confiance

Pour surveiller la réputation d’IP :

  1. Accédez à Analytics > Sécurité > Violationsde sécurité, puis sous WAF, sélectionnez l’application à surveiller.

  2. L’ indice des menaces et les scores de l’indice de sécurité sont affichés. Cliquez sur Afficher les détails.

  3. Sous Configuration du pare-feu d’application, vous pouvez afficher le score de l’indice de sécurité de réputation IP.

Seuils

Vous pouvez définir et afficher des seuils sur l’indice de sécurité et l’indice de menace des applications dans Security Insight.

Pour définir un seuil :

  1. Accédez à Système > Paramètres d’analyse > Seuils, puis sélectionnez Ajouter .

  2. Sélectionnez le type de trafic comme Sécurité dans le champ Type de trafic et entrez les informations requises dans les autres champs appropriés tels que Nom, Durée et entité.

  3. Dans la section Règle, utilisez les champs Mesure, Comparateur et Valeur pour définir un seuil.

    Par exemple, “Threat Index” “>” “5”

  4. Cliquez sur Créer.

Pour afficher les franchissement des seuils :

  1. Accédez à Analytics > Security Insight > Devices, puis sélectionnez l’instance ADC.

  2. Dans la section Application, vous pouvez afficher le nombre de violations de seuil survenues pour chaque serveur virtuel dans la colonne Violation de seuil.

Cas d’utilisation des informations de sécurité

Les cas d’utilisation suivants décrivent comment utiliser les informations de sécurité pour évaluer l’exposition aux menaces des applications et améliorer les mesures de sécurité.

Obtenir une vue d’ensemble de l’environnement des menaces

Dans ce cas d’utilisation, vous disposez d’un ensemble d’applications exposées à des attaques et vous avez configuré Citrix ADM pour surveiller l’environnement de menace. Vous devez examiner l’indice de menace, l’indice de sécurité, ainsi que le type et la gravité des attaques que les applications ont pu rencontrer pour vous concentrer d’abord sur les applications critiques. Le tableau de bord d’Security Insight fournit un résumé des menaces rencontrées par vos applications sur une période de temps de votre choix et pour un périphérique ADC sélectionné. Il affiche la liste des applications, leurs indices de menace et de sécurité, ainsi que le nombre total d’attaques pour la période choisie.

Pour obtenir un résumé de l’environnement de menace, ouvrez une session sur Citrix ADM, puis accédez à Analytics > Sécurité > Violation de sécurité et sous WAF, les cinq principales applications sont affichées en fonction du nombre total de violations affectées. Pour afficher toutes les applications, vous pouvez cliquer sur Afficher tout.

Applications WAF

Déterminer la configuration de sécurité existante et manquante pour une application

Après avoir examiné l’exposition aux menaces d’une application, vous souhaitez déterminer quelles configurations de sécurité des applications sont en place et quelles configurations sont manquantes pour cette application. Vous pouvez obtenir ces informations en effectuant une exploration vers le bas dans le résumé de l’application.

Le résumé fournit des informations sur l’efficacité des configurations de sécurité suivantes :

  • Configuration du pare-feu d’application. Affiche le nombre d’entités de signature et de sécurité non configurées.
  • Sécurité du système Citrix ADM. Indique combien de paramètres de sécurité système ne sont pas configurés.

    Configuration de la sécurité

Sur le nœud Configuration du pare-feu d’application, passez en revue les informations de vérification de sécurité et de violation de sécurité.

Configuration du pare-feu des applications

Cliquez sur le nœud Citrix ADM System Security et consultez les paramètres de sécurité système et les recommandations Citrix pour améliorer l’index de sécurité des applications.

Identifier les applications nécessitant une attention immédiate

Les applications qui nécessitent une attention immédiate sont les applications ayant un indice de menace élevé et un indice de sécurité faible.

Déterminer le nombre d’attaques dans un temps donné

Vous pouvez déterminer le nombre d’attaques survenues sur une application donnée à un moment donné ou étudier le taux d’attaque pour une période donnée.

Sous WAF, cliquez sur n’importe quelle application pour afficher le nombre total de violations WAF détectées pour la durée sélectionnée.

Sélectionner la durée

Cliquez sur Journaux pour afficher les détails des attaques en fonction de la gravité et de l’action entreprise. La page journaux fournit les détails suivants :

  • Temps d’attaque

  • Adresse IP du client à partir duquel l’attaque s’est produite

  • Gravité

  • Catégorie de violation

  • URL d’origine de l’attaque, et d’autres détails.