एनजीआईएनएक्स के लिए नेमेसिडा डब्ल्यूएएफ फ्री का नया निर्माण

पिछले साल हमने नेमेसिडा डब्ल्यूएएफ फ्री जारी किया था, जो एनजीआईएनएक्स के लिए एक गतिशील मॉड्यूल है जो वेब अनुप्रयोगों पर हमलों को रोकता है। व्यावसायिक संस्करण के विपरीत, जो मशीन लर्निंग पर आधारित है, मुफ़्त संस्करण केवल हस्ताक्षर विधि का उपयोग करके अनुरोधों का विश्लेषण करता है।

नेमेसिडा WAF 4.0.129 की रिलीज़ की विशेषताएं

वर्तमान रिलीज़ से पहले, नेमेसिडा WAF डायनेमिक मॉड्यूल केवल Nginx Stable 1.12, 1.14 और 1.16 का समर्थन करता था। नई रिलीज़ में 1.17 से शुरू होने वाले Nginx मेनलाइन और 1.15.10 (R18) से शुरू होने वाले Nginx Plus के लिए समर्थन जोड़ा गया है।

दूसरा WAF क्यों बनाएं?

NAXSI और mod_security संभवतः सबसे लोकप्रिय मुफ्त WAF मॉड्यूल हैं, और mod_security को Nginx द्वारा सक्रिय रूप से प्रचारित किया जाता है, हालाँकि शुरुआत में इसका उपयोग केवल Apache2 में किया गया था। दोनों समाधान मुफ़्त, खुले स्रोत हैं और दुनिया भर में इनके कई उपयोगकर्ता हैं। Mod_security के लिए, मुफ़्त और व्यावसायिक हस्ताक्षर सेट $500 प्रति वर्ष पर उपलब्ध हैं, NAXSI के लिए बॉक्स से बाहर हस्ताक्षरों का एक मुफ़्त सेट है, और आप नियमों के अतिरिक्त सेट भी पा सकते हैं, जैसे doxsi।

इस वर्ष हमने NAXSI और नेमेसिडा WAF फ्री के संचालन का परीक्षण किया। परिणामों के बारे में संक्षेप में:

• NAXSI कुकीज़ में डबल यूआरएल डिकोड नहीं करता है
• NAXSI को कॉन्फ़िगर करने में बहुत लंबा समय लगता है - डिफ़ॉल्ट रूप से, डिफ़ॉल्ट नियम सेटिंग्स वेब एप्लिकेशन (प्राधिकरण, प्रोफ़ाइल या सामग्री को संपादित करना, सर्वेक्षणों में भाग लेना आदि) के साथ काम करते समय अधिकांश अनुरोधों को अवरुद्ध कर देगी और अपवाद सूचियां उत्पन्न करना आवश्यक है जिससे सुरक्षा पर बुरा असर पड़ता है. डिफ़ॉल्ट सेटिंग्स के साथ नेमेसिडा WAF फ्री ने साइट के साथ काम करते समय एक भी गलत सकारात्मक प्रदर्शन नहीं किया।
• NAXSI के लिए छूटे हमलों की संख्या कई गुना अधिक है, आदि।

कमियों के बावजूद, NAXSI और mod_security के कम से कम दो फायदे हैं - खुला स्रोत और बड़ी संख्या में उपयोगकर्ता। हम स्रोत कोड का खुलासा करने के विचार का समर्थन करते हैं, लेकिन व्यावसायिक संस्करण की "चोरी" के साथ संभावित समस्याओं के कारण हम अभी तक ऐसा नहीं कर सकते हैं, लेकिन इस कमी की भरपाई के लिए, हम हस्ताक्षर सेट की सामग्री का पूरी तरह से खुलासा कर रहे हैं। हम गोपनीयता को महत्व देते हैं और सुझाव देते हैं कि आप प्रॉक्सी सर्वर का उपयोग करके इसे स्वयं सत्यापित करें।

नेमेसिडा WAF फ्री की विशेषताएं:

• न्यूनतम संख्या में गलत सकारात्मक और गलत नकारात्मक के साथ उच्च गुणवत्ता वाला हस्ताक्षर डेटाबेस।
• रिपॉजिटरी से इंस्टॉलेशन और अपडेट (यह तेज़ और सुविधाजनक है);
• घटनाओं के बारे में सरल और समझने योग्य घटनाएँ, न कि NAXSI जैसी "गड़बड़";
• पूरी तरह से मुफ़्त, ट्रैफ़िक की मात्रा, वर्चुअल होस्ट आदि पर कोई प्रतिबंध नहीं है।

अंत में, मैं WAF के प्रदर्शन का मूल्यांकन करने के लिए कई प्रश्न दूंगा (इसे प्रत्येक क्षेत्र में उपयोग करने की अनुशंसा की जाती है: URL, ARGS, हेडर और बॉडी):

')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"] ')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"] union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"] ')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] ')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"] ')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] %5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//

यदि अनुरोधों को अवरुद्ध नहीं किया जाता है, तो सबसे अधिक संभावना है कि WAF वास्तविक हमले से चूक जाएगा। उदाहरणों का उपयोग करने से पहले, सुनिश्चित करें कि WAF वैध अनुरोधों को अवरुद्ध नहीं कर रहा है।

स्रोत: www.habr.com