F5 ASM 快速部署测试指南-V2

19
现在产生实际流量来完善policy的parameter部分
在对ASM的VS一顿海扁之后，我们看看ASM学习到了什么？
从上面的图标中我们可以看到，ASM学习到了9个parameter。
20
学习到的Parameters的详细内容
ASM学习到了9个parameters
Staging表示该parameter还是在learning 状态。
Regular expression:用表达式来规定所输入的 数据的值。
在Attack Signature配置部分，我们需要根据用户的需要或者实际的情况，把右边的global securiy policy settings中选择相应的attack signature并enable到该变量上。比如在这个 DEMO中，我们启用的SQL注入防护的attack signature，并处于enable状态，那么如 果用户请求中有针对该变量的SQL注入的攻击发生,那么会根据policy的状态， transparent or blocking，发出alarm 或者block该请求。
点击Apply policy后，将使用policy生效
Signature staging表 示命中攻击特征库的 攻击流量也会被 learning到，然后需 要手动来断定是否真 正的攻击
默认是Transparent模式，即流量只学习，不阻挡。而改为 blocking模式后，并点击Save及再一次apply policy后，才会生 效。
11
建立默认的policy的流程-3
在本配置步骤中，可根据后台WEB站点的情况，添加一些attack signature到默认的policy中去。(general database,various system, system independent是默认就有的，建议再加上 IIS,ASP,PHP,Apache,MySQL)
ASM 快速部署指南
LIU YONG y.liu@ 13925169853 F5 GZ office Mar 2010
2
写在前面的话
本指南适合熟悉F5 的LTM产品的兄弟，需要给用户做ASM 测试的时候的快速部署，并看到效果。 ASM本身包含的内容比较多，我们在这个指南里根据简单 和实用的原则，对很多配置进行了“傻瓜式”处理，兄弟 们只要按照这个指南的步骤来配置，基本就能完成ASM的 售前测试的配置了。 所有配置都是基于V10.1版本 无特殊注明的，请按照文档配置截图，保持默认配置。 错别字请自行纠正 如发现错误，可用前面联系方式与我联系。谢谢！
16
修改file types和URLs的policy 参数
17
修改file types和URLs的policy 参数
修改完之后记得apply policy
18
修改file types和URLs的policy 参数
修改完之后记得apply policy
http和 https都要 取消 Tightening
3
设备部署说明
• ASM一般是采用串接的部署的方式，这种方式需要调整用 户的网络结构或者IP地址，正式上线的时候推荐用这种方 式。 • ASM也可以支持透明部署的方式，方便进行售前的测试， 详细的配置方法见ASKF5上的SOL
----SOL9372: Configuring BIG-IP ASM in transparent bridge mode
14
建立默认的policy的流程-6
建立好的默认policy的界面如上。现在的策略是出于透明的模式， 我们现在的策略是处于staging阶段，下面我们将要产生实际流量， 并手动完善我们的这个policy。
15
关于policy的状态的说明
Policy添加完毕之后，会如下面界面显示：
M图标代表该policy被改动过，且没有被apply。
在接下来的配置界面中，选择manual depolyment，然后点NEXT继续。
10
建立默认的policy的流程-2
记住在applicationready security policy中 选择“NONE”， 因为我们要建立一 个空的默认策略。
在本配置步骤中，需要注意的是application language的选择，我们可以通过IE 浏 览器访问后台WEB应用，然后在浏览器的工具菜单中选择查看编码，如下图，然 后在上图红色方框部分选择相应的编码。 If you are using Internet Explorer, right click within the browser page, select Encoding and see which encoding is being used by the browser. If you are using Mozilla Firefox, right click within the browser page, and select View Page Info. The encoding information is displayed.
21
如何设置对Parameters的防护-1
通过Webscrab或TamperIE等工具进行注入 以SQL injection 攻击为例，详解如何配置ASM的防护策略。 攻击：通过webscrab将password中的值修 改为’ or ‘1’=’1，测试终端将可以在不输入该 用户名密码的情况下，登录成功。
12
建立默认的policy的流程-4
在本配置步骤中，上面3个选项我们都要选中，这样我们就会建立一个允 许任意流量通过的默认policy。（该配置的作用是创建3条wildcast的策略， 允许任意的File types, URLs和Parameters）
13
建立默认的policy的流程-5
最后有一个初始策略的summary，点击”finish”结束初始策略的配置。
一般来讲，对于学习到的parameter，我们都会对这些parameter进行accpet,因为这些parameter 肯定是存在于WEB应用中的，否则是学习不到的，如果不接受这些parameter，会导致policy 正式启用后， 访问和该parameter相关的页面，会被ASM block掉。 Occurrence表示该parameter出现的次数。Values表示这个变量有多少不同的值.通过点击value 下面的数字，可以知道该parameter的具体数值有哪些。 在本快速指南中，我们并不需要对所有的parameter都进行防护，只需要针对几个登录或者查询 的parameter进行防护就可以了。
6
在LTM里配置ASM的HTTP CLASS
Host 的配置：如果后台pool member上有 多个web应用，则此处最好制定那些应用， 如果只有一个WEB应用则可以选择ALL。
7
将http class关联到VS上
点击VS的resources选项，把我们刚才建 立的httpclass 放到enabled方框中去。
4
确认ASM的license 并provisioning ASM 模块
5
第一部分 LTM 部分的相关配置
LTM部分的配置包括以下部分： • 配置VLAN及self ip • 配置route • 配置pool 及pool member, pool member为后台实际WEB 应用 • 配置VS 备注：ASM也可以支持透明部署的方式，透明方式下需要配 置Vlan-group，详细的配置方法见ASKF5上的SOL9372: Configuring BIG-IP ASM in transparent bridge mode
22
如何设置对Parameters的防护-2
Parameter lever:定义该变量的范围，全局 还是URL级别。 Perform staging：选中表示该变量还是处于 学习完善的阶段。 Allow Empty value：选中表示允许该变量 为空。 Parameter value type:一般情况下，选择 user-input value，如果需要防护parameter tampering的话，xtraction. extraction的具体配置见下页PPT。
27
被动防护---Attack Signature的配置
在web 应用中，可能会有很多cookie，在traffic learning的阶段，这些cookie都会被ASM学 习到，如下图：
在policy-blockingsettings里面，进行被动防护的attack signature行为的配置。在这里可以配置一旦 某一些攻击的attack signature匹配之后，ASM所采取的行为，是learn，（在traffic learning中可以 看到）还是alarm（在 reporting中可以看到）,还是block的动作，该配置是基于policy的。
在Attack Signature配置部分，我们需要根据用户的需要或者实际的情况，把右边的global securiy policy settings中选择相应的attack signature并enable到该变量上。比如在这个 DEMO中，我们启用的SQL注入防护的attack signature，并处于enable状态，那么如果用 户请求中有针对该变量的SQL注入的攻击发生,那么会根据policy的状态，transparent or blocking，发出alarm 或者block该请求。那么类似的，比如说防护跨站点脚本攻击也是在 这里进行配置，只不过是attack signature的类型变成XSS的攻击库。类似的还有防 command executing攻击也是类似。
24
其他对于Parameters的防护---Value Meta Character
在value meta character配置部分，我们需要根据用户的需要或者实际的情况，把右边的 global security policy settings中选择相应的meta character并在该变量上选择allow或 是disallow。比如在这个DEMO中，我们对于该parameter所输入的数据中，不允许有 0xd和0x9，0x1b等，因为这些数值有可能通过后台的其他语言转译成相应的命令 （ 0xd对应回车，0x9对应TAB，0x1b对应空格等 ）。