अवलोकन #
यह लेख बताता है कि HTTP सुरक्षा हेडर डालने के लिए उपयोग किए जाने वाले सामान्य F5 BIG-IP iRule को कैसे माइग्रेट किया जाए। RELIANOID नेटिव HTTP/S फ़ार्म सुविधाओं का उपयोग करना।
निम्नलिखित iRule कई HTTP प्रतिक्रिया सुरक्षा हेडर को इंजेक्ट करता है:
जब HTTP_RESPONSE_RELEASE { यदि {!([ HTTP::हेडर "X-XSS-Protection" मौजूद है])} { HTTP::हेडर में "X-XSS-Protection" "1; मोड=ब्लॉक" डालें } यदि { !([ HTTP::हेडर "Strict-Transport-Security" मौजूद है])} { HTTP::हेडर में "Strict-Transport-Security" "max-age=63072000; includeSubDomains; प्रीलोड" डालें } यदि { !([ HTTP::हेडर "content-security-policy" मौजूद है])} { HTTP::हेडर में "content-security-policy" "frame-ancestors 'none'" डालें } यदि {!([HTTP::हेडर "X-Content-Type-Options" मौजूद है])} { HTTP::हेडर में "X-Content-Type-Options" nosniff डालें } }
In RELIANOIDइन सुरक्षा नियंत्रणों को टीसीएल स्क्रिप्टिंग की आवश्यकता के बिना सीधे वेबयूआई के माध्यम से कॉन्फ़िगर किया जा सकता है।
एचएसटीएस (सख्त परिवहन सुरक्षा) को सक्षम करना #
HSTS ब्राउज़रों को केवल HTTPS कनेक्शन का उपयोग करने के लिए बाध्य करता है। इसके लाभों में शामिल हैं:
- एसएसएल स्ट्रिपिंग हमलों को रोकना
- एन्क्रिप्टेड संचार को लागू करना
- ब्राउज़र-साइड ट्रांसपोर्ट सुरक्षा में सुधार करना
निम्नलिखित iRule अनुभाग:
HTTP::header insert "Strict-Transport-Security" "max-age=63072000; includeSubDomains; preload"
इसे सीधे वेबयूआई के माध्यम से माइग्रेट किया जा सकता है।
यहां जाएं: फार्म > HTTP/S फार्म > सेवाएं
तब:
- वांछित HTTP/S सेवा का चयन करें
- एसटीएस स्विच को सक्षम करें
यह स्वचालित रूप से इंजेक्ट करता है Strict-Transport-Security HTTPS प्रतिक्रियाओं में हेडर।
X-XSS-Protection सुरक्षा हेडर को कॉन्फ़िगर करना #
यह पुराने ब्राउज़रों में XSS फ़िल्टरिंग को सक्षम बनाता है। हालाँकि आधुनिक ब्राउज़र CSP पर अधिक निर्भर करते हैं, फिर भी यह हेडर संगतता स्थितियों के लिए उपयोगी है।
पर जाए: फ़ार्म > HTTP/S फ़ार्म > वैश्विक > उन्नत > हेडरफिर: क्लिक करें Create rule। चुनना:
प्रकार
Response: Add header
हैडर: X-XSS-Protection
मूल्य: 1; mode=block
कंटेंट-सिक्योरिटी-पॉलिसी सुरक्षा हेडर को कॉन्फ़िगर करना #
यह नियंत्रित करता है कि सामग्री को कैसे एम्बेड और लोड किया जा सकता है। लाभ:
- क्लिकजैकिंग को रोकता है
- अनधिकृत फ़्रेमिंग को प्रतिबंधित करता है
- ब्राउज़र की सुरक्षा स्थिति में सुधार करता है
पर जाए: फ़ार्म > HTTP/S फ़ार्म > वैश्विक > उन्नत > हेडरफिर: क्लिक करें Create rule। चुनना:
प्रकार
Response: Add header
हैडर: Content-Security-Policy
मूल्य: frame-ancestors 'none'
X-Content-Type-Options सुरक्षा हेडर को कॉन्फ़िगर करना #
ब्राउज़रों द्वारा MIME स्निफिंग को रोकता है। लाभ:
- दुर्भावनापूर्ण सामग्री की व्याख्या को रोकता है
- कुछ स्क्रिप्ट इंजेक्शन वैक्टर को कम करता है
पर जाए: फ़ार्म > HTTP/S फ़ार्म > वैश्विक > उन्नत > हेडरफिर: क्लिक करें Create rule। चुनना:
प्रकार
Response: Add header
हैडर: X-Content-Type-Options
मूल्य: nosniff
मान्यकरण #
कॉन्फ़िगरेशन लागू करने के बाद, निम्न का उपयोग करके प्रतिक्रिया हेडर को मान्य करें:
कर्ल -आई https://
अपेक्षित उत्पादन:
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload X-XSS-Protection: 1; mode=block Content-Security-Policy: frame-ancestors 'none' X-Content-Type-Options: nosniff
समस्या निवारण #
हेडर दिखाई नहीं दे रहे हैं #
सत्यापित करें:
- नियम सही फार्म पर लागू होते हैं
- HTTPS के लिए सक्षम है HSTS
- हेडर नियम इस प्रकार कॉन्फ़िगर किए गए हैं प्रतिक्रिया नियम
- फार्म कॉन्फ़िगरेशन लागू/पुनः लोड कर दिया गया है।
डुप्लिकेट हेडर #
यदि बैकएंड एप्लिकेशन पहले से ही हेडर इंजेक्ट करता है, तो डुप्लिकेट दिखाई दे सकते हैं। सुझाव:
- यह तय करें कि हेडर को बैकएंड एप्लिकेशन द्वारा प्रबंधित किया जाना चाहिए या नहीं। RELIANOID फार्म कॉन्फ़िगरेशन
- दोनों जगहों पर एक ही तरह के हेडर को मैनेज करने से बचें।
एचएसटीएस काम नहीं कर रहा है #
सुनिश्चित करें:
- क्लाइंट HTTPS के माध्यम से कनेक्ट होते हैं।
- वैध एसएसएल प्रमाणपत्र स्थापित हैं
- ब्राउज़र HTTP के माध्यम से परीक्षण नहीं कर रहे हैं
नॉन-टीएलएस कनेक्शन पर एचएसटीएस हेडर को अनदेखा कर दिया जाता है।
सारांश #
HTTP सुरक्षा हेडर सम्मिलन के लिए उपयोग किए जाने वाले F5 iRules को माइग्रेट किया जा सकता है RELIANOID TCL स्क्रिप्टिंग के बिना नेटिव HTTP/S फ़ार्म सुविधाओं का उपयोग करना।
यह दृष्टिकोण समान सुरक्षा कार्यक्षमता को बनाए रखते हुए प्रशासन को सरल बनाता है।
