Une action est appliquée lorsque le contrôle de l'injection SQL XML détecte une chaîne d'attaque par injection SQL dans la demande. Les actions suivantes sont disponibles pour configurer une protection optimisée contre les injections SQL XML pour votre application :

Bloquer—Si vous activez le blocage, l'action de blocage est déclenchée uniquement si l'entrée correspond à la spécification du type d'injection XML SQL. Par exemple, si SQLSplCharANDKeyword est configuré comme type d'injection SQL XML, une requête n'est pas bloquée si elle ne contient aucun mot clé, même si des caractères spéciaux SQL sont détectés dans la charge utile. Une telle demande est bloquée si le type d'injection SQL XML est défini sur SQLSplCharou SQLSplCharORKeyword.

Journal : si vous activez la fonctionnalité de journalisation, le contrôle d'injection SQL XML génère des messages de journal indiquant les actions entreprises. Si le blocage est désactivé, un message de journal distinct est généré pour chaque emplacement (ELEMENT, ATTRIBUTE) dans lequel la violation du code SQL XML a été détectée. Toutefois, un seul message est généré lorsque la demande est bloquée. Vous pouvez surveiller les journaux pour déterminer si les réponses aux demandes légitimes sont bloquées. Une forte augmentation du nombre de messages de journal peut indiquer des tentatives de lancement d'une attaque.

Stats : si elle est activée, la fonctionnalité de statistiques collecte des statistiques sur les violations et les journaux. Une augmentation inattendue du compteur de statistiques peut indiquer que votre application est attaquée. Si des demandes légitimes sont bloquées, vous devrez peut-être revoir la configuration pour voir si vous devez configurer de nouvelles règles de relaxation ou modifier celles existantes.

Outre les actions de blocage, de journalisation et de statistiques, vous pouvez configurer les paramètres suivants pour la vérification de l'injection XML SQL :

Vérifiez la présence de caractères génériques XML SQL : les caractèresgénériques peuvent être utilisés pour élargir les sélections d'une instruction en langage de requête structuré (SQL-SELECT). Ces opérateurs génériques peuvent être utilisés conjointement avec les opérateurs LIKE et NOT LIKE pour comparer une valeur à des valeurs similaires. Le pourcentage (%) et le trait de soulignement (_) sont fréquemment utilisés comme caractères génériques. Le signe de pourcentage est analogue au caractère générique astérisque (*) utilisé avec MS-DOS et correspond à zéro, un ou plusieurs caractères dans un champ. Le trait de soulignement est similaire au point d'interrogation MS-DOS ( ?) caractère générique. Il correspond à un seul nombre ou caractère dans une expression.

Par exemple, vous pouvez utiliser la requête suivante pour effectuer une recherche de chaîne afin de rechercher tous les clients dont le nom contient le caractère D.

SELECT * from customer WHERE name like "%D%"

L'exemple suivant combine les opérateurs pour rechercher toutes les valeurs salariales dont le deuxième et le troisième caractère sont 0.

SELECT * from customer WHERE salary like '_00%

Différents fournisseurs de SGBD ont étendu les caractères génériques en ajoutant des opérateurs supplémentaires. Le pare-feu NetScaler Web App peut protéger contre les attaques lancées en injectant ces caractères génériques. Les 5 caractères génériques par défaut sont le pourcentage (%), le trait de soulignement (_), le caret (\^), le crochet ouvrant (). Cette protection s'applique aux profils HTML et XML.

Les caractères génériques par défaut sont une liste de littéraux spécifiés dans *Signatures par défaut :

Les caractères génériques d'une attaque peuvent être PCRE, comme . Le Web App Firewall prend également en charge les caractères génériques PCRE, mais les caractères génériques littéraux ci-dessus sont suffisants pour bloquer la plupart des attaques.

Demande de vérification contenant le type d'injection SQL : le Web App Firewall propose 4 options pour mettre en œuvre le niveau de rigueur souhaité pour l'inspection par injection SQL, en fonction des besoins individuels de l'application. La demande est vérifiée par rapport à la spécification du type d'injection pour détecter les violations SQL. Les 4 options de type d'injection SQL sont les suivantes :

Gestion des commentaires SQL : par défaut, le Web App Firewall analyse et vérifie tous les commentaires contenus dans les données XML pour détecter les commandes SQL injectées. De nombreux serveurs SQL ignorent tout contenu dans un commentaire, même s'il est précédé d'un caractère spécial SQL. Pour accélérer le traitement, si votre serveur SQL XML ignore les commentaires, vous pouvez configurer le Web App Firewall pour ignorer les commentaires lors de l'examen des demandes de SQL injecté. Les options de gestion des commentaires XML SQL sont les suivantes :

Si votre application exige que vous contourniez l'inspection par injection SQL XML pour un ÉLÉMENT ou UN ATTRIBUT spécifique dans la charge utile XML, vous pouvez configurer une règle de relaxation. Les règles de relaxation relatives à l'inspection par injection SQL XML comportent les paramètres suivants :

Remarque : Les noms font la distinction entre majuscules et minuscules. Les doublons ne sont pas autorisés, mais vous pouvez utiliser la majuscule des noms et les différences d'emplacement pour créer des entrées similaires. Par exemple, chacune des règles de relaxation suivantes est unique :

Pour configurer les actions d'injection SQL XML et d'autres paramètres à l'aide de la ligne de commande :

Dans l'interface de ligne de commande, vous pouvez utiliser la commande set appfw profile ou la commande add appfw profile pour configurer les protections d'injection SQL XML. Vous pouvez activer les actions de blocage, de journalisation et de statistiques. Sélectionnez le type de modèle d'attaque SQL (mots clés, caractères génériques, chaînes spéciales) que vous souhaitez détecter dans les charges utiles. Utilisez la commande unset appfw profile pour rétablir les paramètres configurés à leurs valeurs par défaut. Chacune des commandes suivantes ne définit qu'un seul paramètre, mais vous pouvez inclure plusieurs paramètres dans une seule commande :

Pour configurer une règle de relaxation d'injection SQL à l'aide de la ligne de commande

Utilisez la commande bind or unbind pour ajouter ou supprimer des règles de relaxation, comme suit :

Exemple :

Dans l'interface graphique, vous pouvez configurer le contrôle de sécurité de l'injection SQL XML dans le volet du profil associé à votre application.

Pour configurer ou modifier l'injection XML SQL, vérifiez à l'aide de l'interface graphique

Le tableau de contrôle de sécurité affiche les paramètres d'action actuellement configurés pour tous les contrôles de sécurité. Deux options de configuration s'offrent à vous :

a. Si vous souhaitez simplement activer ou désactiver les actions de blocage, de journalisation et de statistiques pour l'injection SQL XML, vous pouvez activer ou désactiver les cases à cocher dans le tableau, cliquer sur OK, puis sur Enregistrer et fermer pour fermer le volet de contrôle de sécurité.

b. Si vous souhaitez configurer des options supplémentaires pour ce contrôle de sécurité, double-cliquez sur Injection SQL XML ou sélectionnez la ligne et cliquez sur Paramètres d'actionpour afficher les options suivantes :

Vérifiez la présence de caractères génériques SQL : considérez les caractères génériques SQL dans la charge utile comme des modèles d'attaque.

Check Request Containing : type d'injection SQL (SQLKeyword, SQLSplChar, SQLSplCharAndKeyword ou SQLSplCharOrKeyword) à vérifier.

Gestion des commentaires SQL : type de commentaires (cocher tous les commentaires, ANSI, imbriqué ou ANSI/imbriqué) à vérifier.

Après avoir modifié l'un des paramètres ci-dessus, cliquez sur OK pour enregistrer les modifications et revenir au tableau Contrôles de sécurité. Vous pouvez procéder à la configuration d'autres contrôles de sécurité si nécessaire. Cliquez sur OK pour enregistrer toutes les modifications que vous avez apportées dans la section Contrôles de sécurité, puis cliquez sur Enregistrer et fermer pour fermer le volet Contrôle de sécurité.

Pour configurer une règle de relaxation d'injection SQL XML à l'aide de l'interface graphique

Pour gérer les règles de relaxation de l'injection SQL XML à l'aide du visualiseur

Pour obtenir une vue consolidée de toutes les règles de relaxation, vous pouvez mettre en surbrillance la ligne Injection SQL XML dans le tableau Règles de relaxation, puis cliquer sur Visualiseur. Le visualiseur pour les relaxations déployées vous offre la possibilité d' ajouter une nouvelle règle ou de modifier une règle existante. Vous pouvez également activer ou désactiver un groupe de règles en sélectionnant un nœud et en cliquant sur les boutons correspondants dans le visualiseur de relaxation.

Pour afficher ou personnaliser les modèles d'injection SQL à l'aide de l'interface graphique :

Vous pouvez utiliser l'interface graphique pour afficher ou personnaliser les modèles SQL.

Les modèles SQL par défaut sont spécifiés dans Web App Firewall > Signatures > *Signaturespar défaut. Si vous ne liez aucun objet de signature à votre profil, les modèles SQL par défaut spécifiés dans l'objet Signatures par défaut seront utilisés par le profil pour le traitement des contrôles de sécurité par injection SQL XML. Les règles et modèles de l'objet Signatures par défaut sont en lecture seule. Vous ne pouvez pas les modifier ou les modifier. Si vous souhaitez modifier ou changer ces modèles, créez un objet de signature défini par l'utilisateur en copiant l'objet Signatures par défaut et en modifiant les modèles SQL. Utilisez l'objet signature défini par l'utilisateur dans le profil qui traite le trafic pour lequel vous souhaitez utiliser ces modèles SQL personnalisés.

Pour plus d'informations, voir Signatures.

Pour afficher les modèles SQL par défaut :

a. Accédez à Web App Firewall > Signatures, sélectionnez *Signatures par défaut, puis cliquez sur Modifier. Cliquez ensuite sur Gérer les modèles de script SQL/intersite.

Le tableau Manage SQL/Cross-Site Scripting Paths contient les quatre lignes suivantes relatives à l'injection SQL :

b. Sélectionnez une ligne et cliquez sur Gérer les éléments pour afficher les modèles SQL correspondants (mots-clés, chaînes spéciales, règles de transformation ou caractères génériques) utilisés par le contrôle d'injection SQL du Web App Firewall.

Pour personnaliser les modèles SQL : vous pouvez modifier un objet de signature défini par l'utilisateur pour personnaliser les mots clés SQL, les chaînes spéciales et les caractères génériques. Vous pouvez ajouter de nouvelles entrées ou supprimer celles qui existent déjà. Vous pouvez modifier les règles de transformation pour les chaînes spéciales SQL.

a. Accédez à Web App Firewall > Signatures, mettez en surbrillance la signature définie par l'utilisateur cible, puis cliquez sur Modifier. Cliquez sur Gérer les modèles de script SQL/intersite pour afficher le tableau Gérer les chemins de script SQL/intersite .

b. Sélectionnez la ligne SQL cible.

i. Cliquez sur Gérer les élémentspour ajouter, modifier ou supprimer l'élément SQL correspondant.

ii. Cliquez sur Supprimer pour supprimer la ligne sélectionnée.

Lorsque l'action du journal est activée, les violations de vérification de sécurité XML SQL Injection sont enregistrées dans le journal d'audit en tant que violations APPFW_XML_SQL \. Le Web App Firewall prend en charge les formats de journaux natifs et CEF. Vous pouvez également envoyer les journaux à un serveur Syslog distant.

Pour accéder aux messages du journal à l'aide de la ligne de commande :

Passez au shell et suivez le fichier ns.logs dans le dossier /var/log/ pour accéder aux messages de journal relatifs aux violations des scripts intersites XML :

Pour accéder aux messages du journal à l'aide de l'interface graphique

L'interface graphique inclut un outil utile (Syslog Viewer) pour analyser les messages du journal. Vous disposez de plusieurs options pour accéder à la visionneuse Syslog :

Le visualiseur Syslog basé sur XML fournit diverses options de filtrage pour sélectionner uniquement les messages du journal qui vous intéressent. Pour sélectionner les messages de journal pour la vérification XML SQL Injection, filtrez en sélectionnant APPFW dans les options déroulantes du module. La liste Type d'événement offre un ensemble complet d'options pour affiner votre sélection. Par exemple, si vous activez la case à cocher APPFW_XML_SQL et cliquez sur le bouton Appliquer, seuls les messages de journalisation relatifs aux violations de vérification de sécurité XML SQL Injection apparaissent dans la visionneuse Syslog.

Si vous placez le curseur sur la ligne correspondant à un message de journal spécifique, plusieurs options, telles que le module, le type d'événement, l' ID d'événementet l' adresse IP du client, apparaissent sous le message du journal. Vous pouvez sélectionner l'une de ces options pour mettre en surbrillance les informations correspondantes dans le message de journal.

Lorsque l'action statistique est activée, le compteur du contrôle d'injection SQL XML est incrémenté lorsque le Web App Firewall entreprend une action pour ce contrôle de sécurité. Les statistiques sont collectées pour le taux et le nombre total pour le trafic, les violations et les journaux. La taille d'un incrément du compteur de journaux peut varier en fonction des paramètres configurés. Par exemple, si l'action de blocage est activée, une demande concernant une page contenant trois violations d'injection SQL XML augmente le compteur de statistiques d'une unité, car la page est bloquée dès que la première violation est détectée. Toutefois, si le bloc est désactivé, le traitement de la même demande incrémente le compteur de statistiques pour les violations et les journaux de trois, car chaque violation génère un message de journal distinct.

Pour afficher les statistiques d'injection XML SQL à l'aide de la ligne de commande

À l'invite de commandes, tapez :

> sh appfw stats

Pour afficher les statistiques d'un profil spécifique, utilisez la commande suivante :

> stat appfw profile <profile name>

Pour afficher les statistiques d'injection XML SQL à l'aide de l'interface graphique