Minulý rok jsme vydali Nemesida WAF Free — dynamický modul pro NGINX, který blokuje útoky na webové aplikace. Na rozdíl od komerční verze, která je založena na strojovém učení, zdarma verze analyzuje požadavky pouze signaturním způsobem.
Funkce vydání Nemesida WAF 4.0.129
Před aktuálním vydáním dynamický modul Nemesida WAF podporoval pouze Nginx Stable 1.12, 1.14 a 1.16. V nové verzi byla přidána podpora Nginx Mainline, počínaje 1.17, a Nginx Plus, počínaje 1.15.10 (R18).
Proč vytvářet další WAF?
NAXSI a mod_security jsou pravděpodobně nejpopulárnější bezplatné moduly WAF, přičemž mod_security je aktivně propagován Nginx, i když byl původně používán pouze v Apache2. Obě řešení jsou bezplatná, mají otevřený zdrojový kód a mnoho uživatelů po celém světě. Pro mod_security je k dispozici bezplatný i komerční balíček signatur za 500 USD ročně, pro NAXSI — bezplatný balíček signatur „z krabice“, také se dají najít další sady pravidel, jako doxsi.
Letos jsme provedli testování NAXSI a Nemesida WAF Free. Pokud shrneme výsledky:
- NAXSI neprovádí dvojitý URL-decode v cookie
- NAXSI se velmi dlouho nastavuje — výchozí nastavení pravidel ve výchozím stavu zablokuje většinu požadavků při práci s webovou aplikací (autorizace, úprava profilu nebo materiálu, účast v anketách atd.) a je nutné generovat seznamy výjimek, což negativně ovlivňuje bezpečnost. Nemesida WAF Free s výchozím nastavením během práce s webem nezaznamenala žádné falešné aktivace.
- počet přijetí útoků u NAXSI je několikanásobně vyšší atd.
I přes nedostatky mají NAXSI a mod_security minimálně dvě výhody — otevřený zdrojový kód a velké množství uživatelů. Podporujeme myšlenku zveřejnění zdrojového kódu, ale zatím to nemůžeme udělat kvůli možným problémům s „pirátstvím“ komerční verze, ale abychom tento nedostatek kompenzovali — plně zveřejňujeme obsah sady signatur. Vážíme si soukromí a nabízíme možnost to ověřit samostatně pomocí proxy.serveru.
Rys Nemesida WAF Free:
- kvalitní databáze signatur s minimálním počtem False Positive a False Negative.
- instalace a aktualizace z repozitáře (to je rychlé a pohodlné);
- jednoduché a srozumitelné události o incidentech, a ne „kaše“, jako je tomu u NAXSI;
- zcela zdarma, bez omezení na množství provozu, virtuálních hostitelů atd.
Na závěr uvedu několik dotazů pro hodnocení výkonu WAF (doporučuje se používat v každé oblasti: URL, ARGS, Hlavičky & Tělo):
')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"]
')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"]
union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"]
')) union+ /*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
')) /*!uion*/ /*!seect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"]
')) **union**select (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
1807182982union
select123456789%2some_text11
cat /et?/?pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//
Pokud nebudou dotazy zablokovány, je pravděpodobné, že WAF propustí i skutečný útok. Před použitím příkladů se ujistěte, že WAF nezablokuje legitimní dotazy.
Zdroj: habr.com
