X-FRAME-OPTIONS を使用してクリックジャッキング攻撃を保護するための F5 ルール

F5 iRule を使用した X-Frame-Options による安全なクリックジャッキング攻撃

Web アプリケーションに X-Frame-Options ヘッダーを追加するには、複数の方法があります。ただし、F5 ロード バランサーを介して実装するのがおそらく最も簡単です。

F5 iRule を使用してネットワーク エッジで実行すると、変更を即座に行うことができるという利点があります。

それは正しい;サービスを再起動する必要がないため、ダウンタイムが発生しません。

X-Frame-Options には 3 つの設定があります。

• SAMEORIGIN : この設定により、ページ自体と同じ原点のフレーム内にページを表示できるようになります。
• DENY : この設定により、ページがフレームまたは iframe 内に表示されなくなります。
• ALLOW-FROM uri : 指定されたオリジンでのみリソースをロードできるようにします。

F5ルールで実装するには

• 以下でiruleを作成します

 when HTTP_RESPONSE {
HTTP::header insert "X-FRAME-OPTIONS" "SAMEORIGIN"
} 

• このルールをそれぞれの仮想サーバーに関連付けます

検証します

ブラウザーに組み込まれている開発者ツールを使用して応答ヘッダーを検査するか、HTTP ヘッダー チェッカー ツールを使用してオンラインで検査します。

3 行でうまく機能していることがわかります。