Tavaly kiadjuk a Nemesida WAF Free-t – dinamikus modult az NGINX-hez, amely blokkolja a webalkalmazásokra irányuló támadásokat. A kereskedelmi verzióval ellentétben, amely gépi tanuláson alapul, a ingyenes verzió csak aláírásos módszerrel elemzi a kéréseket.
A Nemesida WAF 4.0.129 kiadásának jellemzői
A jelenlegi kiadás előtt a dinamikus modul, a Nemesida WAF, csak az Nginx Stable 1.12, 1.14 és 1.16 verziókat támogatta. Az új kiadásban támogatás került hozzá az Nginx Mainline verzióhoz, kezdve a 1.17-től, és az Nginx Plushoz, kezdve az 1.15.10 (R18) verziótól.
Miért készítsünk még egy WAF-ot?
A NAXSI és a mod_security valószínűleg a legnépszerűbb ingyenes WAF modulok, ráadásul a mod_security-t aktívan népszerűsíti az Nginx, míg eredetileg csak az Apache2-ben használták. Mindkét megoldás ingyenes, nyílt forráskódú, és sok felhasználója van világszerte. A mod_security esetén ingyenes és kereskedelmi, évi 500 dollárba kerülő aláírás készletek érhetők el, a NAXSI-hoz ingyenes „dozsi” aláírás készlet tartozik, de kiegészítő szabálykészletek is találhatók.
Idén teszteltük a NAXSI és a Nemesida WAF Free működését. Röviden az eredményekről:
- A NAXSI nem hajt végre dupla URL-dekódolást a cookie-kban
- A NAXSI nagyon nehezen konfigurálható – alapértelmezés szerint a szabályok alapbeállításai a webalkalmazással való interakció során a kérések többségét blokkolják (bejelentkezés, profil vagy anyag szerkesztés, szavazás stb.), és kivételek listáit kell generálni, ami hátrányosan befolyásolja a biztonságot. A Nemesida WAF Free alapértelmezett beállításokkal a weboldal használata során egyetlen hamis pozitív riasztást sem generált.
- Az NAXSI által túlfuttatott támadások száma többszöröse és stb.
A hátrányok ellenére a NAXSI és a mod_security legalább két előnnyel rendelkezik – nyílt forráskód és nagy felhasználói bázis. Támogatjuk a forráskód nyilvánosságra hozatalának ötletét, de jelenleg nem tudjuk ezt megtenni a kereskedelmi verzió „kalózkodásával” kapcsolatos lehetséges problémák miatt. De hogy ezt a hátrányt kompenzáljuk – teljes mértékben nyilvánosságra hozzuk az aláírás készlet tartalmát. Értékeljük a magánéletet, és lehetőséget kínálunk arra, hogy erről maguk is beszéljenek proxy segítségével.a szerver.
A Nemesida WAF Free jellemzője:
- magas minőségű aláírás készlet minimális hamis pozitív és hamis negatív esettel.
- telepítés és frissítés a tárolóból (ez gyors és kényelmes);
- egyszerű és érthető események incidenst, nem pedig a NAXSI-hoz hasonló "zavart";
- teljesen ingyenes, nincs korlátozás a forgalom, virtuális hosztok stb. számában;
Összegzésként néhány kérdést mutatok be a WAF működésének értékelésére (ajánlott használni minden zónában: URL, ARGS, Fejlécek & Body):
')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"]
')) union/**/select/**/1/**/2/**/3/**/4/**/5/**/6/**/7/**/8/**/9/**/'some_text',/**/11#"]
union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"]
')) union+/*!select*/// (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
')) !uion*\/ !seect*\/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"]
')) **union**select (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
1807182982union
select123456789%2some_text11
cat /et?/?pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//
Ha a kérdéseket nem blokkolják, akkor valószínű, hogy a WAF a valódi támadást is átengedi. Példák használata előtt győződjön meg róla, hogy a WAF nem blokkolja az érvényes kéréseket.
Forrás: habr.com
