નેમેસિડા WAF નું નવું બિલ્ડ NGINX માટે ફ્રી

ગયા વર્ષે અમે નેમેસિડા ડબલ્યુએએફ ફ્રી, NGINX માટે ગતિશીલ મોડ્યુલ રીલીઝ કર્યું જે વેબ એપ્લિકેશનો પરના હુમલાઓને અવરોધે છે. વ્યાપારી સંસ્કરણથી વિપરીત, જે મશીન લર્નિંગ પર આધારિત છે, મફત સંસ્કરણ ફક્ત સહી પદ્ધતિનો ઉપયોગ કરીને વિનંતીઓનું વિશ્લેષણ કરે છે.

નેમેસિડા WAF 4.0.129 ના પ્રકાશનની સુવિધાઓ

વર્તમાન પ્રકાશન પહેલા, નેમેસિડા WAF ડાયનેમિક મોડ્યુલ માત્ર Nginx Stable 1.12, 1.14 અને 1.16 ને સપોર્ટ કરતું હતું. નવી રિલીઝ Nginx Mainline માટે સપોર્ટ ઉમેરે છે, 1.17 થી શરૂ થાય છે, અને Nginx Plus, 1.15.10 (R18) થી શરૂ થાય છે.

શા માટે બીજું WAF બનાવો?

NAXSI અને mod_security એ કદાચ સૌથી વધુ લોકપ્રિય ફ્રી WAF મોડ્યુલ છે, અને mod_security ને Nginx દ્વારા સક્રિય રીતે પ્રમોટ કરવામાં આવે છે, જોકે શરૂઆતમાં તેનો ઉપયોગ ફક્ત Apache2 માં થતો હતો. બંને ઉકેલો મફત, ઓપન સોર્સ છે અને વિશ્વભરમાં ઘણા વપરાશકર્તાઓ છે. mod_security માટે, મફત અને વ્યાપારી હસ્તાક્ષર સેટ પ્રતિ વર્ષ $500 માં ઉપલબ્ધ છે, NAXSI માટે બોક્સની બહાર સહીઓનો મફત સેટ છે, અને તમે નિયમોના વધારાના સેટ પણ શોધી શકો છો, જેમ કે doxsi.

આ વર્ષે અમે NAXSI અને Nemesida WAF ફ્રીના ઓપરેશનનું પરીક્ષણ કર્યું. પરિણામો વિશે સંક્ષિપ્તમાં:

• NAXSI કૂકીઝમાં ડબલ URL ડીકોડ કરતું નથી
• NAXSI રૂપરેખાંકિત કરવામાં ઘણો લાંબો સમય લે છે - મૂળભૂત રીતે, ડિફૉલ્ટ નિયમ સેટિંગ્સ વેબ એપ્લિકેશન સાથે કામ કરતી વખતે મોટાભાગની વિનંતીઓને અવરોધિત કરશે (અધિકૃતતા, પ્રોફાઇલ અથવા સામગ્રીને સંપાદિત કરવી, સર્વેક્ષણોમાં ભાગ લેવો, વગેરે.) અને અપવાદ સૂચિઓ બનાવવી જરૂરી છે. , જેની સુરક્ષા પર ખરાબ અસર પડે છે. નેમેસિડા ડબલ્યુએએફ ફ્રી ડિફૉલ્ટ સેટિંગ્સ સાથે સાઇટ સાથે કામ કરતી વખતે એક પણ ખોટા હકારાત્મક પ્રદર્શન કર્યું નથી.
• NAXSI માટે ચૂકી ગયેલ હુમલાઓની સંખ્યા ઘણી ગણી વધારે છે, વગેરે.

ખામીઓ હોવા છતાં, NAXSI અને mod_securityમાં ઓછામાં ઓછા બે ફાયદા છે - ઓપન સોર્સ અને મોટી સંખ્યામાં વપરાશકર્તાઓ. અમે સ્રોત કોડ જાહેર કરવાના વિચારને સમર્થન આપીએ છીએ, પરંતુ અમે વ્યવસાયિક સંસ્કરણની "ચાંચિયાગીરી" સાથેની સંભવિત સમસ્યાઓને કારણે હજી સુધી આ કરી શકતા નથી, પરંતુ આ ખામીને વળતર આપવા માટે, અમે સહી સમૂહની સામગ્રીને સંપૂર્ણ રીતે જાહેર કરી રહ્યા છીએ. અમે ગોપનીયતાને મહત્વ આપીએ છીએ અને સૂચન કરીએ છીએ કે તમે પ્રોક્સી સર્વરનો ઉપયોગ કરીને આ જાતે ચકાસો.

નેમેસિડા ડબલ્યુએએફ ફ્રીની વિશેષતાઓ:

• ખોટા હકારાત્મક અને ખોટા નકારાત્મકની ન્યૂનતમ સંખ્યા સાથે ઉચ્ચ ગુણવત્તાની સહી ડેટાબેઝ.
• રીપોઝીટરીમાંથી ઇન્સ્ટોલેશન અને અપડેટ (તે ઝડપી અને અનુકૂળ છે);
• ઘટનાઓ વિશે સરળ અને સમજી શકાય તેવી ઘટનાઓ, અને NAXSI જેવી "ગડબડ" નહીં;
• સંપૂર્ણપણે મફત, ટ્રાફિકની માત્રા, વર્ચ્યુઅલ હોસ્ટ વગેરે પર કોઈ પ્રતિબંધ નથી.

નિષ્કર્ષમાં, હું WAF ના પ્રદર્શનનું મૂલ્યાંકન કરવા માટે ઘણી ક્વેરીઝ આપીશ (તેનો ઉપયોગ દરેક ઝોનમાં કરવાની ભલામણ કરવામાં આવે છે: URL, ARGS, હેડર્સ અને બોડી):

')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"] ')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"] union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"] ')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] ')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"] ')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] %5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//

જો વિનંતીઓ અવરોધિત ન હોય, તો મોટા ભાગે WAF વાસ્તવિક હુમલો ચૂકી જશે. ઉદાહરણોનો ઉપયોગ કરતા પહેલા, ખાતરી કરો કે WAF કાયદેસર વિનંતીઓને અવરોધિત કરી રહ્યું નથી.

સોર્સ: www.habr.com