XML 外部エンティティ (XXE) 攻撃からの保護
XML 外部エンティティ (XXE) 攻撃保護は、受信したペイロードに、Web アプリケーションが存在する信頼できるドメイン外のエンティティに関する不正な XML 入力がないかを調べます。XXE 攻撃は、外部エンティティへの参照を含む入力を含む XML ペイロードを解析する脆弱な XML パーサーを使用している場合に発生します。
NetScalerアプライアンスでは、XMLパーサーが正しく構成されていない場合、この脆弱性を悪用した影響は危険です。これにより、攻撃者は Web サーバー上の機密データを読み取ることができます。サービス拒否攻撃などを実行します。したがって、XXE 攻撃からアプライアンスを保護することが重要です。Web アプリケーションファイアウォールは、コンテンツタイプが XML として識別される限り、XXE 攻撃からアプライアンスを保護できます。悪意のあるユーザーがこの保護メカニズムをバイパスするのを防ぐため、HTTP ヘッダーの「推論」コンテンツタイプが本文のコンテンツタイプと一致しない場合、WAF は受信要求をブロックします。このメカニズムにより、ホワイトリストに登録されたデフォルトまたはデフォルト以外のコンテンツタイプが使用されるときに XXE 攻撃保護バイパスが回避されます。
NetScalerアプライアンスに影響を与える可能性のあるXXE脅威には、次のようなものがあります。
-
機密データ漏えい
-
サービス拒否 (DOS) 攻撃
-
サーバー側の偽造要求
-
ポートスキャン
Related information
XML 外部エンティティ (XXE) インジェクション保護を構成する
コマンドインターフェイスを使用して XML 外部エンティティ (XXE) チェックを構成するには: コマンドラインインターフェイスで、Application fireall profile コマンドを追加または変更して XXE 設定を構成できます。 ブロック、ログ、統計の各アクションを有効にできます。
コマンドプロンプトで入力します：
set appfw profile <name> [-inferContentTypeXmlPayloadAction <inferContentTypeXmlPayloadAction <block | log | stats | none>]
注：
デフォルトでは、XXE アクションは「none」に設定されています。
例：
set appfw profile profile1 -inferContentTypeXmlPayloadAction Block
ここで、アクションタイプは次のとおりです。
ブロック:リクエスト内のURLに例外なくリクエストがブロックされます。
ログ:HTTP リクエストヘッダーとペイロードのコンテンツタイプが一致しない場合は、違反しているリクエストに関する情報をログメッセージに含める必要があります。
統計:コンテンツタイプの不一致が検出されると、その違反タイプに対応する統計がインクリメントされます。
なし:コンテンツタイプの不一致が検出されても、アクションは実行されません。None を他のアクションタイプと組み合わせることはできません。デフォルトアクションは None に設定されています。
NetScaler GUIを使用してXXEインジェクションチェックを構成する
XXE インジェクションチェックを設定するには、次の手順を実行します。
-
NetScaler Web App Firewallプロファイルページで 、「 詳細設定 」セクションに移動し、「 セキュリティチェック」をクリックします。
-
「 セキュリティチェック 」セクションで、「 コンテンツタイプの XML ペイロードを推定 」を選択し、「 アクション設定 」をクリックします。
-
「推論コンテンツタイプ XML ペイロード設定」ページで、次のパラメータを設定します。
-
アクション。XXE インジェクションのセキュリティチェックで実行するアクションを 1 つ以上選択します。
-
-
［OK］ をクリックします。
XXE インジェクショントラフィックと違反統計の表示
NetScaler Web App Firewall Statistics ] ページには、セキュリティトラフィックとセキュリティ違反の詳細が表形式またはグラフ形式で表示されます。
コマンドインターフェイスを使用してセキュリティ統計情報を表示するには。
コマンドプロンプトで入力します：
stat appfw profile profile1