Uus Nemesida WAF Free versioon NGINX-ile

Möödunud aastal lansseerisime Nemesida WAF Free - dünaamiline moodul NGINX-ile, mis blokeerib veebirakenduste rünnakud. Erinevalt kaubanduslikust versioonist, mis põhineb masinõppel, analüüsib tasuta versioon päringuid ainult allkirjastamise meetodil.

Nemesida WAF 4.0.129 versiooni omadused

Kuni praeguse versiooni väljaandmiseni toetas dünaamiline moodul Nemesida WAF ainult Nginx Stable 1.12, 1.14 ja 1.16. Uues väljaandes on lisatud tugi Nginx Mainline'i jaoks alates 1.17 ja Nginx Plus'i jaoks alates 1.15.10 (R18).

Miks teha veel üks WAF?

NAXSI ja mod_security on ilmselt kõige populaarsemad tasuta WAF moodulid, kusjuures mod_security on aktiivselt edendatud Nginxi toetusel, kuigi algselt kasutati seda ainult Apache2-s. Mõlemad lahendused on tasuta, avatud allikakoodiga ja neil on palju kasutajaid üle kogu maailma. mod_security jaoks on saadaval tasuta ja tasuline, 500 dollari aastase tasuga, allkirjakomplekt; NAXSI jaoks on saadaval tasuta 'karbist välja' allkirjakomplekt, samuti võib leida täiendavaid reeglite komplekte, nagu doxsi.

Sel aastal tegime testimise NAXSI ja Nemesida WAF Free toimimise kohta. Lühidalt tulemuste kohta:

• NAXSI ei teosta kahekordset URL-dekodeerimist küpsistes
• NAXSI seadistamine võtab väga kaua aega - vaikevõimalustega reeglid blokeerivad enamikku päringutest veebirakenduse kasutamise ajal (autentimine, profiili või materjali redigeerimine, küsitlustest osavõtt jne) ja on vajalikud erandite nimekiri loomine, mis halvendab turvalisust. Nemesida WAF Free ei teinud vaikeseadistustes veebilehe töö käigus ühtegi valehäire.
• NAXSI-l on rünnakute möödumistase mitmeid kordi kõrgem jne.

Hoolimata puudustest on NAXSI ja mod_security-l vähemalt kaks eelist - avatud allikakood ja suur kasutajaskond. Me toetame avatud lähtekoodi ideed, kuid hetkel ei saa me seda teha võimalike probleemide tõttu kaubandusliku versiooniga 'piraatimise' osas, kuid selle puuduse tasakaalustamiseks avaldame täielikult allkirjakomplekti sisu. Me hindame privaatsust ja pakume selleks faktide täielikku kontrollimist proxy-serverilt.

Nemesida WAF Free eripära:

• kõrge kvaliteediga allkirjade komplekt, minimaalse valehäirete ja vale negatiivsete tulemuste arv.
• paigaldamine ja värskendamine repostaariumist (see on kiire ja mugav);
• lihtsad ja arusaadavad sündmused intsidentide kohta, mitte 'sopp', nagu NAXSI-l;
• täielikult tasuta, ilma liiklus, virtuaalhostide jne piiranguteta.

Kokkuvõtteks toetan mõned päringud WAFi toimimise hindamiseks (soovitatav kasutada igas piirkonnas: URL, ARGS, päised & keha):

'') un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"]
'') union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"]
union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"]
'') union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"]
')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
%5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//

Kui päringud ei blokeerita, siis tõenäoliselt WAF jätab isegi reaalset rünnakut ignoreerima. Enne näidiste kasutamist veenduge, et WAF ei blokeeriks legitiimseid päringuid.

Allikas: habr.com