Citrix NetScaler MPX / Application Firewall
FAQ

開発元を教えてください。

Citrix社(米国)です。

Citrix NetScaler MPX / Application Firewallとは何ですか。

Citrix NetScaler MPX / Application Firewallは、従来のセキュリティ対策では防ぎきれないWebサーバへの攻撃をWebアプリケーションレベル(HTTP/HTTPS)で防御するアプライアンス製品です。
また、Webサーバ外からの不正アクセスを防御するだけでなく、Webサーバ内から外へ出て行く情報を抑制することが出来ます。

IDS/IPSとの違いは何ですか。

従来の侵入検知(IDS)/防御システム(IPS)は、既知の不正アクセスに対するシグネチャをベースに検出/防御します。 Citrix NetScaler MPX / Application Firewallでは、「正常な通信のみ通過させる」と言うコンセプトで、 ホワイトリストにマッチした通信だけをWebサーバに通過させます。(Positive Security Model)。
よって、アプリケーションに対する不正アクセス、未知の不正アクセスに対応することが可能です。
(注)IDS/IPSのような最新シグネチャを適用する必要がありません。

未知の攻撃に対する防御はどのように行うのですか。

ホワイトリストにマッチした通信だけをWebサーバに通過させます。そして、リストに存在しないアクセスは、全て不正アクセスとして認識します。そのため、未知/既知を問わず、不正アクセスを防御することが可能となります。

防御できる主な不正アクセスは何ですか。

・バッファオーバーフロー
・SQLインジェクション
・クロスサイトスクリプティング(XSS)
・コマンドインジェクション
・パラメーター不正変更
・Cookie不正変更
・強制ブラウジング
・DoS攻撃
・未知の不正攻撃
など。

「クロスサイトスクリプティング」対策とはどのような機能ですか。

不正なスクリプトを掲示板などのWebサーバに登録して、そのページをブラウザでアクセスすると、 その不正スクリプトを実行してしまう恐れがあります。
掲示板などに不正なスクリプトの書き込みがあったときに、それを検出して、ブロックします。

「OSコマンドの注入」対策とはどのような機能ですか。

URL中に含まれる不正なOSコマンドをPositive Security Modelの機能により、ブロックします。
(例)Perlのopen関数を悪用した次のようなURLなど
URL：http://xxxxxxxxxx?filename=|ifconfig+-a%00
上記URLにて、ifconfig -aを実行してしまう。

「SQLコマンドの注入」対策とはどのような機能ですか。

例えば、ユーザにuseridとpasswordを入力させ、SQLを内部処理に使用しているログイン処理を行っている場合、パスワードにSQLで【真】となる条件を入力することで、任意のユーザでログインできてしまうことがございます。
SQL Injection機能を使用すると特殊文字(シングルコート、セミコロン、バックスラッシュ)が入ったリクエストを無効化したりブロックすることが可能です。

「パラメーター改竄」対策とはどのような機能ですか。

例えば、hiddenフィールドを用いて購入価格を計算しているサイトなど、そのパラメーター中の料金を改竄することにより、不当な価格で商品を入手できてしまいます。
hiddenフィールドやラジオボタン、チェックボックスやプルダウンメニューのRead-Onlyのパラメーターを、サーバ/クライアント間でやり取りされるデータを精査して、不正変更を検知/防御します。
また、サーバから返されるSafe-Cookeヘッダーをモニタし、Cookieの改竄を検出し、それを(Cookie)を削除します。

「情報漏えい」対策とはどのような機能ですか。

サーバから返されたHTMLのコンテンツの中身をチェックし、定義済データがコンテンツに含まれている場合は、ブロックしたり、全てを「X」に変換したり、削除することが可能です。特にクレジット番号については、幾つかの代表的なクレジット会社が既に登録され、簡単な設定で対策可能です。

「Webサーバの情報収集」対策とはどのような機能ですか。

レスポンス中のServerヘッダーの内容を変更し、Webサーバの製品/バージョン情報を隠蔽します。

「Buffer Overflow攻撃」対策とはどのような機能ですか。

URLのレングスチェックが可能です。
また、リストボックスやラジオボタンなどの各種パラメーター値の整合性チェックが可能で、Buffer Overflowとなる不正なデータをブロックします。
あらかじめ値の候補が決まっているパラメーターに関しては、候補以外の値を許可しません。

Deny URL List(禁止URLリスト)とはどのような機能ですか。

ウイルスの攻撃パターンなど不正アクセスと判断可能なURLに関しては、約20種類ほどのブラックリストとしてシグネチャを持っています。

ログ送信機能について教えてください。

syslogでログを送信できます。
SNMPをサポートしていますので、MIBの採取やtrap送信もできます。

Webサーバ側のログの見え方について教えてください。

X-Client-IPヘッダーにユーザIPアドレスの載せてWebサーバへ渡します。
Webサーバ側では、このヘッダー値をアクセスログに記憶することで、クライアント単位でのコンテンツアクセス状況などが把握できます。

Webサーバの生存監視について教えてください。

L4チェック、Pingチェック等死活監視が可能です。Webサーバがダウンした際は、SNMPTrapにて送信します。

冗長化について教えてください。

ホットスタンバイ冗長化(Active-Standby)が可能です。

httpsの処理について教えてください。

筐体内部に専用のSSLアクセラレーターカードが標準装備されています。 Webサーバ側には、復号化したデータを送信、もしくは、再度Citrix NetScaler MPX / Application Firewall内で暗号化したデータを送信することが可能です。

基本動作について教えてください。

保護対象のWebサーバに対するリバースプロキシとして動作します。
(注)ネットワーク的にはルータのイメージで接続します。

SNMPによる監視は可能ですか。

SNMP v2に対応しており、MIB-II及び拡張MIBも実装しています。
(注)これにより、一般的なSNMPマネージャーで監視することが可能です。

アラート通知は可能ですか。

E-mail送信、SNMP Trap送信、Syslog転送の機能を有します。
主なメッセージは、以下のタイプとなります。
・コンテンツに異常あり
・不正アクセス発生
・不要なアクセスに関する警告

設定操作はどのように行いますか。

殆どの作業をWebブラウザ経由で実施します。また、SSHログインによるコマンドでの操作も可能です。