IAST設定

スキャンのスケジュールを処理するように IAST を構成できます。これらの設定を使用すると、特定のAPI 、脆弱性、脆弱性のカテゴリをIAST分析から除外できます。 IAST スキャンを遅らせたり、特定の時間にスケジュールしたりすることもできます。

IASTスキャンのスケジュール設定

2 つの変数を使用して、スケジュールされた IAST スキャンを開始および停止できます。これらの変数を使用すると、IAST スキャンの特定の時間を設定したり、アプリケーションからの IAST スキャン開始時間に遅延を追加したりできます。

スケジュールされたIASTスキャンを構成する

newrelic.yml設定ファイルを開いて、 scan_scheduleを設定します。

security:
  scan_schedule:
    delay: 0                     # In minutes, default is 0 min
    duration: 0                  # In minutes, default is forever
    schedule: ""                 # Cron Expression to define start time
    always_sample_traces: false  # regardless of scan schedule

scheduleフィールドは、IAST スキャンをいつ実行するかを定義する cron 式を指定します。デフォルトでは、 scheduleは無効になっています。 cron 式は、スペースで区切られた 6 つのフィールドで構成されます。

second : 秒を指定します (0-59)
minute: 分を指定します (0-59)
hour : 時間を指定します (0-23)
day : 月の日付を指定します (1-31)
month: 年の月 (1-12 または JAN-DEC)
day_of_week : 曜日を指定します（1～7またはSUN～SAT）。1は日曜日です。
重要
durationが指定されていない場合はどうなりますか? 期間を省略すると、 IASTスキャンを決して停止してはいけないことを意味します。このシナリオでは、指定されたスケジュールは定期的な操作ではなく、開始時刻として扱われます。スキャンは中断または終了することなく無期限に継続されます。たとえば、 schedule: "0 0 0 * * ?" IAST スキャンを毎日午前 12 時に実行するようにスケジュールします。

always-sample-traces IAST がバックグラウンドでトレースデータをアクティブに収集できるようにし、セキュリティエージェントは収集されたこのデータを使用して、スケジュールされた時間に IAST スキャンを実行します。ただし、セッション管理を備えたアプリケーションの場合は、 always_sample_tracesフラグのデフォルト値をfalseに設定したままにしておくことをお勧めします。これにより、IAST のサンプリングとスキャンが指定されたウィンドウに制限されます。セッションの有効期間は通常短く、多くの場合 30 分以内に終了します。このシナリオでは、ウィンドウの前でトレースをサンプリングすると、価値のあるインサイトが提供されず、脆弱性が失われる可能性があります。デフォルトでは、 always_sample_tracesの値は false です。

例

IAST をアプリケーションの起動後 30 分後に開始し、300 分間実行するようにスケジュールするには、遅延を 30 に設定し、期間を 300 に設定する必要があります。

security:
  scan_schedule:
    delay: 30         # In minutes, default is 0 min
    duration: 300     # In minutes, default is forever

IAST を特定の時間に実行するようにスケジュールするには、希望する時間を表す cron 式にスケジュールを設定します。たとえば、IAST を毎日深夜に実行するようにスケジュールするには、スケジュールを"0 0 0 * * ?"に設定します。

security:
  scan_schedule:
    schedule: "0 0 0 * * ?"     # By default, schedule is inactive

重要

遅延とスケジュールの両方が指定されている場合は、遅延が優先されます。これは、スケジュールに関係なく、指定された遅延後に IAST が開始されることを意味します。

IAST で常にトレースをサンプリングする場合は、 always_sample_traces trueに設定します。デフォルトでは、これはfalseに設定されており、IAST はアクティブなスキャンウィンドウ内のトレースのみをサンプリングすることを意味します。

security:
  scan_schedule:
    delay: 30                   # In minutes, default is 0 min
    always_sample_traces: true  # regardless of scan schedule

IASTスキャンから除外

IASTスキャンから除外設定を使用すると、特定のAPI 、脆弱性カテゴリ、および問題をIAST分析から除外できます。これは、アプリケーションの特定のコンポーネントが安全であることがわかっている場合や、特定の API の IAST スキャンによってログインスロットリングなどのアプリケーションの誤動作が発生する可能性がある場合に役立ちます。

IASTスキャンの除外を構成するには、newrelic.yml 設定ファイルを開いて、exclude_from_iast_scan の除外を設定します。

security:
  exclude_from_iast_scan:
    api: []
    http_request_parameters:
      header: []
      query: []
      body: []
    iast_detection_category:
      insecure_settings: false
      invalid_file_access: false
      sql_injection: false
      nosql_injection: false
      ldap_injection: false
      javascript_injection: false
      command_injection: false
      xpath_injection: false
      ssrf: false
      rxss: false

APIを除外する

newrelic.yml 設定ファイルのAPIセクションに特定の API を追加することで、 IAST分析からそれらのAPI無視できます。 Perl 5 の構文に従う正規表現 (regex) パターンを使用して API を指定できます。正規表現パターンは、エンドポイントのない URL に完全一致するはずです。

API を指定するための形式は次のとおりです。

exclude_from_iast_scan:
  api:
    - .*account.* 
    - .*/\api\/v1\/.*?\/login

例えば：

.*account.* 次のようなURLを持つAPIに一致します http://localhost:80/api/v1/account/login
.*/\api\/v1\/.*?\/login 次のようなURLを持つAPIに一致します http://localhost:80/api/v1/{'{account_id}'}/login

除外 http_request_parameters

newrelic.yml 設定ファイルの http_request_parameters セクションに追加することで、 IAST分析からの特定の HTTP リクエストを無視できます。

これは HTTP ヘッダーキーのリストです。リクエストにこれらのキーを含むヘッダーが含まれている場合、対応する IAST スキャンはスキップされます。たとえば、ヘッダー付きの curl リクエストがあり、X-Forwarded-For ヘッダーのIASTスキャンをスキップしたい場合は、次の設定を渡すことができます。

bash

$curl -X POST -H "X-Forwarded-For: 123.456.789.012" \
>     -H "Content-Type: application/x-www-form-urlencoded" \
>     -d "param1=value1&param2=value2" http://example.com

次の設定を使用できます:

exclude_from_iast_scan:
  http_request_parameters:
    header: 
      - X-Forwarded-For

これは、問題キーのリストです。リクエストの最初の文字列にこれらの問題が存在すると、 IASTスキャンがスキップされます。たとえば、問題のあるカールリクエストがあり、customerID と username のIASTスキャンをスキップしたい場合は、次の設定を渡すことができます。

bash

$curl --location --request GET 'localhost:8080/sql/save?firstName=test&lastName=user&customerID=testuser&username=test123'

次の設定を使用できます:

exclude_from_iast_scan:
  http_request_parameters:
    query: 
      - username
      - customerID

これはリクエスト本文内のキーのリストです。本文コンテンツ内にこれらのキーが見つかった場合、IAST スキャンはスキップされます。リクエスト本文でサポートされているコンテンツタイプは、JSON、XML、および Form-URL-Encoded データです。

JSONコンテンツタイプの例

これは、JSON 本文を含む curl リクエストがあり、 customerIDおよびfirstNameで IAST スキャンをスキップする場合の JSON コンテンツタイプの curl の例です。

bash

$curl --location --request POST 'localhost:8080/application/json/post' \
>  --header 'Content-Type: application/json' \
>  --data '{
$    "path": "sample.txt",
$    "script":"testscript",
$    "customerID":"GREAL",
$    "name": {
$      "firstName": "john",
$      "lastName": "wick"
$    },
$    "url":"http://example.com",
$    "cmd":"ls"
$  }'

次の設定を使用できます:

exclude_from_iast_scan:
  http_request_parameters:
    body: 
      - customerID
      - name.firstName

XMLコンテンツタイプの例

これは XML 本文を含む curl リクエストであり、 customerIDとusernameでの IAST スキャンをスキップします。

bash

$curl --location 'localhost:8080/application/xml/post' \
>  --header 'Content-Type: application/xml' \
>  --data '<?xml version="1.0" encoding="UTF-8" ?>
$  <AppData>
$    <path>sample.txt</path>
$    <script>K2</script>
$    <customerID>GREAL</customerID>
$    <username>bob</username>
$    <url>http://example.com</url>
$    <cmd>ls</cmd>
$    <name>keshav</name>
$    <firstName>Aliko</firstName>
$  </AppData>'

次の設定を使用できます:

exclude_from_iast_scan:
  http_request_parameters:
    body: 
      - AppData.customerID
      - AppData.username

フォーム URL エンコードされたコンテンツタイプの例

これは、Form-URL-Encoded 本文を含む curl リクエストであり、 customerIDおよびusernameでの IAST スキャンをスキップします。

bash

$curl --location 'localhost:8080/application/urlencode/post' \
>  --header 'Content-Type: application/x-www-form-urlencoded' \
>  -d 'name=madhav&path=sample.txt&customerID=GREAL&script=K2&url=http://example.com&username=bob&firstName=Aliko&cmd=ls'

次の設定を使用できます:

http_request_parameters:
  body: 
    - customerID
    - username

ヒント

ネストされた本文の場合は、ピリオド (.) で区切って値を指定します。

除外 iast_detection_category

iast_detection_category 設定により、ユーザーはIAST分析を適用するか無視する脆弱性のカテゴリを指定できます。これらのカテゴリのいずれかがtrueに設定されている場合、IAST セキュリティエージェントはそのカテゴリのイベントを生成せず、脆弱性にフラグを立てません。

SQL インジェクションと SSRF のスキャンをスキップするには、この例を参照してください。 sql_injectionとssrf問題はtrueに設定されます。

exclude_from_iast_scan:
  iast_detection_category:
    insecure_settings: false
    invalid_file_access: false
    sql_injection: true
    nosql_injection: false
    ldap_injection: false
    javascript_injection: false
    command_injection: false
    xpath_injection: false
    ssrf: true
    rxss: false

ヒント

iast_detection_categoryは、セキュリティセクションにある検出構成よりも優先されます。

以下の組み合わせ設定を使用できます:

security:
  enabled: true
  scan_schedule:
    delay: 0                     # In minutes, default is 0 min
    duration: 0                  # In minutes, default will be forever
    #schedule: ""                # Cron Expression to define start time
    always_sample_traces: false  # continuously collect samples
  exclude_from_iast_scan:
    api: []
    http_request_parameters:
      header: []
      query: []
      body: []
    iast_detection_category:
      insecure_settings: false
      invalid_file_access: false
      sql_injection: false
      nosql_injection: false
      ldap_injection: false
      javascript_injection: false
      command_injection: false
      xpath_injection: false
      ssrf: false
      rxss: false
  agent:
    enabled: true

IASTスキャンコントローラ IASTスキャンレート制限

IAST スキャンレート制限設定は、1 分間にアプリケーションに送信できる分析プローブまたは要求の最大数を制限します。デフォルトの IAST スキャンレート制限は、1 分あたり最小 12 回の再生要求、1 分あたり最大 3,600 回の再生要求に設定されています。

この機械翻訳は、参考として提供されています。

`delay` (分単位)

`duration` (分単位)

`schedule` (Cron式)

重要

`always_sample_traces` (ブール値)

IAST をアプリケーションの起動から 30 分後に開始し、300 分間実行するようにスケジュールします。

特定の時間にIASTを実行するようにスケジュールする

重要

IAST を常にトレースをサンプリングするように設定する

ヘッダー

クエリ

体

XMLコンテンツタイプの例

フォーム URL エンコードされたコンテンツタイプの例

ヒント

ヒント

この機械翻訳は、参考として提供されています。

IAST設定

duration (分単位)

schedule (Cron式)

always_sample_traces (ブール値)

IAST をアプリケーションの起動から 30 分後に開始し、300 分間実行するようにスケジュールします。

特定の時間にIASTを実行するようにスケジュールする

IAST を常にトレースをサンプリングするように設定する

ヘッダー

クエリ

体

ヒント

`duration` (分単位)

`schedule` (Cron式)

`always_sample_traces` (ブール値)