Nemesida WAF-ის ახალი კონსტრუქცია NGINX-ისთვის

გასულ წელს გამოვაქვეყნეთ Nemesida WAF Free, დინამიური მოდული NGINX-ისთვის, რომელიც ბლოკავს შეტევებს ვებ აპლიკაციებზე. კომერციული ვერსიისგან განსხვავებით, რომელიც დაფუძნებულია მანქანურ სწავლებაზე, უფასო ვერსია აანალიზებს მოთხოვნებს მხოლოდ ხელმოწერის მეთოდის გამოყენებით.

Nemesida WAF 4.0.129-ის გამოშვების მახასიათებლები

მიმდინარე გამოშვებამდე, Nemesida WAF დინამიური მოდული მხარს უჭერდა მხოლოდ Nginx Stable 1.12, 1.14 და 1.16. ახალი გამოშვება ამატებს მხარდაჭერას Nginx Mainline-ისთვის, დაწყებული 1.17-დან და Nginx Plus, დაწყებული 1.15.10-დან (R18).

რატომ უნდა გააკეთოთ სხვა WAF?

NAXSI და mod_security ალბათ ყველაზე პოპულარული უფასო WAF მოდულებია, ხოლო mod_security აქტიურად ავრცელებს Nginx-ს, თუმცა თავდაპირველად მას მხოლოდ Apache2-ში იყენებდნენ. ორივე გამოსავალი უფასოა, ღია კოდით და ჰყავს მრავალი მომხმარებელი მთელს მსოფლიოში. mod_security-სთვის უფასო და კომერციული ხელმოწერების ნაკრები ხელმისაწვდომია 500 დოლარად წელიწადში, NAXSI-სთვის არის ხელმოწერების უფასო ნაკრები, ასევე შეგიძლიათ იპოვოთ წესების დამატებითი ნაკრები, როგორიცაა doxsi.

წელს ჩვენ გამოვცადეთ NAXSI და Nemesida WAF Free-ის მუშაობა. მოკლედ შედეგების შესახებ:

• NAXSI არ აკეთებს ორმაგ URL დეკოდირებას ქუქიებში
• NAXSI-ს კონფიგურაციას ძალიან დიდი დრო სჭირდება - ნაგულისხმევად, წესების ნაგულისხმევი პარამეტრები დაბლოკავს უმეტეს მოთხოვნას ვებ აპლიკაციასთან მუშაობისას (ავტორიზაცია, პროფილის ან მასალის რედაქტირება, გამოკითხვებში მონაწილეობა და ა.შ.) და აუცილებელია გამონაკლისების სიების გენერირება. , რაც ცუდ გავლენას ახდენს უსაფრთხოებაზე. Nemesida WAF Free ნაგულისხმევი პარამეტრებით არ შეასრულა არც ერთი ცრუ დადებითი საიტთან მუშაობისას.
• NAXSI-სთვის გამოტოვებული შეტევების რაოდენობა მრავალჯერ მეტია და ა.შ.

ხარვეზების მიუხედავად, NAXSI-ს და mod_security-ს მინიმუმ ორი უპირატესობა აქვთ - ღია წყარო და მომხმარებლების დიდი რაოდენობა. ჩვენ მხარს ვუჭერთ წყაროს კოდის გამჟღავნების იდეას, მაგრამ ჯერ არ შეგვიძლია ამის გაკეთება კომერციული ვერსიის „მეკობრეობის“ შესაძლო პრობლემების გამო, მაგრამ ამ ხარვეზის კომპენსაციის მიზნით, ჩვენ სრულად ვამხელთ ხელმოწერის ნაკრების შინაარსს. ჩვენ ვაფასებთ კონფიდენციალურობას და გირჩევთ, თავად გადაამოწმოთ ეს პროქსი სერვერის გამოყენებით.

Nemesida WAF Free-ის მახასიათებლები:

• მაღალი ხარისხის ხელმოწერის მონაცემთა ბაზა ცრუ დადებითი და ცრუ უარყოფითი მინიმალური რაოდენობით.
• ინსტალაცია და განახლება საცავიდან (ეს არის სწრაფი და მოსახერხებელი);
• მარტივი და გასაგები მოვლენები ინციდენტების შესახებ და არა NAXSI-ის მსგავსი „არეულობა“;
• სრულიად უფასოა, არ აქვს შეზღუდვები ტრაფიკის რაოდენობაზე, ვირტუალურ ჰოსტებზე და ა.შ.

დასასრულს, მე მივცემ რამდენიმე შეკითხვას WAF-ის მუშაობის შესაფასებლად (რეკომენდებულია მისი გამოყენება თითოეულ ზონაში: URL, ARGS, Headers & Body):

')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"] ')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"] union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"] ')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] ')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"] ')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] %5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//

თუ მოთხოვნები არ არის დაბლოკილი, მაშინ, სავარაუდოდ, WAF გამოტოვებს რეალურ შეტევას. მაგალითების გამოყენებამდე დარწმუნდით, რომ WAF არ ბლოკავს ლეგიტიმურ მოთხოვნებს.

წყარო: www.habr.com