NGINX এর জন্য Nemesida WAF বিনামূল্যের নতুন বিল্ড

গত বছর আমরা Nemesida WAF Free প্রকাশ করেছি, NGINX এর জন্য একটি গতিশীল মডিউল যা ওয়েব অ্যাপ্লিকেশনগুলিতে আক্রমণগুলিকে ব্লক করে৷ বাণিজ্যিক সংস্করণের বিপরীতে, যা মেশিন লার্নিংয়ের উপর ভিত্তি করে, বিনামূল্যে সংস্করণ শুধুমাত্র স্বাক্ষর পদ্ধতি ব্যবহার করে অনুরোধগুলি বিশ্লেষণ করে।

Nemesida WAF 4.0.129 প্রকাশের বৈশিষ্ট্য

বর্তমান রিলিজের আগে, Nemesida WAF ডাইনামিক মডিউল শুধুমাত্র Nginx Stable 1.12, 1.14 এবং 1.16 সমর্থন করত। নতুন রিলিজ Nginx মেইনলাইনের জন্য সমর্থন যোগ করে, 1.17 থেকে শুরু করে এবং Nginx Plus, 1.15.10 (R18) থেকে শুরু করে।

কেন অন্য WAF তৈরি?

NAXSI এবং mod_security সম্ভবত সবচেয়ে জনপ্রিয় বিনামূল্যের WAF মডিউল, এবং mod_security সক্রিয়ভাবে Nginx দ্বারা প্রচারিত হয়, যদিও প্রাথমিকভাবে এটি শুধুমাত্র Apache2 তে ব্যবহার করা হয়েছিল। উভয় সমাধানই বিনামূল্যে, ওপেন সোর্স এবং বিশ্বজুড়ে অনেক ব্যবহারকারী রয়েছে। mod_security-এর জন্য, বিনামূল্যে এবং বাণিজ্যিক স্বাক্ষর সেটগুলি প্রতি বছরে $500-এ উপলব্ধ, NAXSI-এর জন্য বাক্সের বাইরে স্বাক্ষরগুলির একটি বিনামূল্যে সেট রয়েছে, এবং আপনি ডক্সসির মতো অতিরিক্ত নিয়মগুলিও খুঁজে পেতে পারেন৷

এই বছর আমরা NAXSI এবং Nemesida WAF ফ্রি অপারেশন পরীক্ষা করেছি। ফলাফল সম্পর্কে সংক্ষেপে:

• NAXSI কুকিতে ডবল URL ডিকোড করে না
• NAXSI কনফিগার করতে অনেক সময় নেয় - ডিফল্টরূপে, ডিফল্ট নিয়ম সেটিংস একটি ওয়েব অ্যাপ্লিকেশনের সাথে কাজ করার সময় বেশিরভাগ অনুরোধগুলিকে ব্লক করে দেয় (অনুমোদন, একটি প্রোফাইল বা উপাদান সম্পাদনা করা, সমীক্ষায় অংশগ্রহণ করা ইত্যাদি) এবং ব্যতিক্রম তালিকা তৈরি করা প্রয়োজন। , যা নিরাপত্তার উপর খারাপ প্রভাব ফেলে। ডিফল্ট সেটিংস সহ Nemesida WAF Free সাইটের সাথে কাজ করার সময় একটিও মিথ্যা ইতিবাচক কাজ করেনি।
• NAXSI-এর জন্য মিস আক্রমণের সংখ্যা অনেক গুণ বেশি, ইত্যাদি।

ত্রুটি থাকা সত্ত্বেও, NAXSI এবং mod_security-এর অন্তত দুটি সুবিধা রয়েছে - ওপেন সোর্স এবং বিপুল সংখ্যক ব্যবহারকারী। আমরা সোর্স কোড প্রকাশ করার ধারণাটিকে সমর্থন করি, তবে বাণিজ্যিক সংস্করণের "পাইরেসি" এর সাথে সম্ভাব্য সমস্যার কারণে আমরা এখনও এটি করতে পারি না, তবে এই ত্রুটির জন্য ক্ষতিপূরণ দিতে, আমরা স্বাক্ষর সেটের বিষয়বস্তু সম্পূর্ণরূপে প্রকাশ করছি। আমরা গোপনীয়তার মূল্য দিই এবং আপনাকে একটি প্রক্সি সার্ভার ব্যবহার করে নিজেই এটি যাচাই করার পরামর্শ দিই।

Nemesida WAF বিনামূল্যের বৈশিষ্ট্য:

• ন্যূনতম সংখ্যক মিথ্যা ইতিবাচক এবং মিথ্যা নেতিবাচক সহ উচ্চ-মানের স্বাক্ষর ডাটাবেস।
• সংগ্রহস্থল থেকে ইনস্টলেশন এবং আপডেট (এটি দ্রুত এবং সুবিধাজনক);
• ঘটনা সম্পর্কে সহজ এবং বোধগম্য ঘটনা, এবং NAXSI-এর মত "জল" নয়;
• সম্পূর্ণ বিনামূল্যে, ট্রাফিকের পরিমাণ, ভার্চুয়াল হোস্ট ইত্যাদির উপর কোন সীমাবদ্ধতা নেই।

উপসংহারে, আমি WAF এর কর্মক্ষমতা মূল্যায়ন করার জন্য বেশ কয়েকটি প্রশ্ন দেব (এটি প্রতিটি জোনে এটি ব্যবহার করার পরামর্শ দেওয়া হয়: URL, ARGS, হেডার এবং বডি):

')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"] ')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"] union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"] ')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] ')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"] ')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] %5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//

যদি অনুরোধগুলি অবরুদ্ধ না করা হয়, তবে সম্ভবত WAF আসল আক্রমণটি মিস করবে। উদাহরণগুলি ব্যবহার করার আগে, নিশ্চিত করুন যে WAF বৈধ অনুরোধগুলিকে ব্লক করছে না।

উত্স: www.habr.com