L'image montre un cloud privé virtuel (VPC) avec des paramètres par défaut qui crée un environnement NetScaler Web App Firewall dans le cloud AWS.

Dans un déploiement de production, les paramètres suivants sont configurés pour l'environnement NetScaler Web App Firewall :

Les utilisateurs sont responsables du coût des services AWS utilisés lors de l'exécution des déploiements AWS. Les modèles AWS CloudFormation qui peuvent être utilisés pour ce déploiement incluent des paramètres de configuration que les utilisateurs peuvent personnaliser selon les besoins. Certains de ces paramètres, tels que le type d'instance, ont une incidence sur le coût du déploiement. Pour les estimations de coûts, les utilisateurs doivent consulter les pages de tarification de chaque service AWS qu'ils utilisent. Les prix sont sujets à changement.

Un NetScaler Web App Firewall sur AWS nécessite une licence. Pour obtenir une licence NetScaler Web App Firewall, les utilisateurs doivent placer la clé de licence dans un compartiment S3 et spécifier son emplacement lorsqu'ils lancent le déploiement.

Les options de licence suivantes sont disponibles pour Citrix ADC Web App Firewall exécuté sur AWS. Les utilisateurs peuvent choisir une AMI (Amazon Machine Image) en fonction d'un seul facteur, tel que le débit.

Ce guide de déploiement propose deux options de déploiement :

NetScaler Application Delivery Management Service fournit une solution simple et évolutive pour gérer les déploiements NetScaler, notamment NetScaler MPX, NetScaler VPX, NetScaler Gateway, NetScaler Secure Web Gateway, NetScaler SDX, NetScaler ADC CPX et appliances NetScaler SD-WAN déployées sur site ou dans le cloud.

La documentation du service NetScaler Console inclut des informations sur la façon de démarrer avec le service, une liste des fonctionnalités prises en charge par le service et la configuration spécifique à cette solution de service.

Pour plus d'informations, consultez la section Présentation de la console NetScaler.

Lorsque les clients déplacent leurs applications vers le cloud, les composants qui font partie de leur application augmentent, sont plus distribués et doivent être gérés de manière dynamique.

Pour plus d'informations, consultez Provisioning d'instances NetScaler VPX sur AWS.

L'Open Web Application Security Project : OWASP a publié le Top 10 OWASP pour 2017 en matière de sécurité des applications Web. Cette liste répertorie les vulnérabilités les plus courantes des applications Web et constitue un excellent point de départ pour évaluer la sécurité Web. Nous expliquons ici comment configurer le NetScaler Web App Firewall (Web App Firewall) pour atténuer ces failles. Le Web App Firewall est disponible en tant que module intégré dans NetScaler (Premium Edition) ainsi que dans une gamme complète d'appliances.

Pour plus d'informations, consultez NetScaler Web App Firewall et OWASP top ten — 2021.

L'intégralité du document OWASP Top 10 est disponible à l'adresse suivante : OWASP Top Ten.

Les signatures fournissent les options de déploiement suivantes pour aider les utilisateurs à optimiser la protection des applications utilisateur :

Pour protéger les applications utilisateur à l'aide de signatures, les utilisateurs doivent configurer un ou plusieurs profils afin d'utiliser leur objet de signatures. Dans une configuration de sécurité hybride, les modèles d'injection SQL et de script intersite, ainsi que les règles de transformation SQL, dans l'objet signatures utilisateur sont utilisés non seulement par les règles de signature, mais également par les contrôles de sécurité positifs configurés dans le profil Web Application Firewall qui utilise le objet signatures.

Le Web Application Firewall examine le trafic vers les sites Web et les services Web protégés par l'utilisateur afin de détecter le trafic correspondant à une signature. Une correspondance n'est déclenchée que lorsque chaque motif de la règle correspond au trafic. Lorsqu'une correspondance se produit, les actions spécifiées pour la règle sont appelées. Les utilisateurs peuvent afficher une page d'erreur ou un objet d'erreur lorsqu'une demande est bloquée. Les messages de journal peuvent aider les utilisateurs à identifier les attaques lancées contre les applications des utilisateurs. Si les utilisateurs activent les statistiques, le Web Application Firewall conserve les données relatives aux demandes qui correspondent à une signature ou à un contrôle de sécurité du Web Application Firewall.

Si le trafic correspond à la fois à une signature et à un contrôle de sécurité positif, la plus restrictive des deux actions est appliquée. Par exemple, si une demande correspond à une règle de signature pour laquelle l'action de blocage est désactivée, mais que la demande correspond également à une vérification de sécurité positive SQL Injection pour laquelle l'action est bloquée, la demande est bloquée. Dans ce cas, la violation de signature peut être enregistrée comme , bien que la demande soit bloquée par le contrôle d'injection SQL.

Personnalisation : si nécessaire, les utilisateurs peuvent ajouter leurs propres règles à un objet de signatures. Les utilisateurs peuvent également personnaliser les modèles SQL/XSS. La possibilité d'ajouter leurs propres règles de signature, en fonction des besoins de sécurité spécifiques des applications utilisateur, permet aux utilisateurs de concevoir leurs propres solutions de sécurité personnalisées. Les utilisateurs bloquent uniquement ce qu'ils ne veulent pas et autorisent le reste. Un modèle de correspondance rapide spécifique dans un emplacement spécifié peut réduire considérablement la surcharge de traitement afin d'optimiser les performances. Les utilisateurs peuvent ajouter, modifier ou supprimer des modèles d'injection SQL et de script intersite. Les éditeurs d'expressions régulières et d'expressions intégrés aident les utilisateurs à configurer des modèles utilisateur et à vérifier leur exactitude.

Web App Firewall est une solution destinée aux entreprises qui offre des protections de pointe pour les applications modernes. NetScaler Web App Firewall atténue les menaces qui pèsent sur les actifs destinés au public, notamment les sites Web, les applications Web et les API. NetScaler Web App Firewall inclut le filtrage basé sur la réputation IP, l'atténuation des bots, la protection contre les 10 principales menaces applicatives de l'OWASP, la protection DDoS de couche 7 et bien plus encore. Sont également incluses des options pour appliquer l'authentification, des chiffrements SSL/TLS forts, TLS 1.3, la limitation du débit et des stratégies de réécriture. En utilisant à la fois des protections de base et avancées du Web App Firewall, NetScaler Web App Firewall fournit une protection complète à vos applications avec une facilité d'utilisation inégalée. Se lever et courir ne prend que quelques minutes. En outre, grâce à un modèle d'apprentissage automatisé, appelé profilage dynamique, NetScaler Web App Firewall permet aux utilisateurs de gagner un temps précieux. En apprenant automatiquement le fonctionnement d'une application protégée, le Web App Firewall s'adapte à l'application même lorsque les développeurs déploient et modifient les applications. NetScaler Web App Firewall contribue à la conformité à toutes les principales normes et organismes réglementaires, notamment les normes PCI-DSS, HIPAA, etc. Avec nos modèles CloudFormation, il n'a jamais été aussi facile d'être rapidement opérationnel. Grâce à la mise à l'échelle automatique, les utilisateurs peuvent être assurés que leurs applications restent protégées même lorsque leur trafic augmente.

La première étape du déploiement du pare-feu d'application Web consiste à évaluer quelles applications ou données spécifiques nécessitent une protection de sécurité maximale, celles qui sont moins vulnérables et celles pour lesquelles l'inspection de sécurité peut être contournée en toute sécurité. Cela aide les utilisateurs à établir une configuration optimale et à concevoir des stratégies et des points de liaison appropriés pour séparer le trafic. Par exemple, les utilisateurs peuvent vouloir configurer une stratégie pour contourner l'inspection de sécurité des demandes de contenu Web statique, tels que des images, des fichiers MP3 et des films, et configurer une autre stratégie pour appliquer des contrôles de sécurité avancés aux demandes de contenu dynamique. Les utilisateurs peuvent utiliser plusieurs stratégies et profils pour protéger différents contenus d'une même application.

L'étape suivante consiste à référencer le déploiement. Commencez par créer un serveur virtuel et testez le trafic via celui-ci pour avoir une idée du débit et de la quantité de trafic circulant dans le système utilisateur.

Déployez ensuite le Web App Firewall. Utilisez la console NetScaler et Web App Firewall StyleBook pour configurer Web App Firewall. Consultez la section StyleBook ci-dessous dans ce guide pour plus de détails.

Une fois le Web App Firewall déployé et configuré à l'aide de Web App Firewall StyleBook, une prochaine étape utile serait d'implémenter NetScaler ADC Web App Firewall et l'OWASP Top 10.

Enfin, trois des protections du Web App Firewall sont particulièrement efficaces contre les types courants d'attaques Web et sont donc plus couramment utilisées que toutes les autres. Ils doivent donc être mis en œuvre lors du déploiement initial.

Pour plus d'informations, consultez Déployer NetScaler Web App Firewall sur Azure.

La console NetScaler fournit une solution évolutive pour gérer les déploiements NetScaler ADC, notamment NetScaler ADC MPX, NetScaler ADC VPX, NetScaler Gateway, NetScaler Secure Web Gateway, NetScaler ADC SDX, NetScaler ADC SDX Appliances ADC CPX et NetScaler SD-WAN déployées sur site ou dans le cloud.

Avant de tenter de créer une instance VPX dans AWS, les utilisateurs doivent s'assurer que les prérequis sont remplis. Pour plus d'informations, consultez la section Conditions préalables :

Les limitations et les directives d'utilisation disponibles sur Limitations et instructions d'utilisation s'appliquent lors du déploiement d'une instance Citrix ADC VPX sur AWS.

Avant que les utilisateurs ne lancent le Guide de démarrage rapide pour commencer un déploiement, le compte utilisateur doit être configuré comme indiqué dans le tableau de ressources suivant. Dans le cas contraire, le déploiement peut échouer.