Новата верзија на Nemesida WAF Free за NGINX

Минатата година ја објавивме Nemesida WAF Free, динамичен модул за NGINX кој ги блокира нападите на веб-апликациите. За разлика од комерцијалната верзија, која се заснова на машинско учење, бесплатната верзија ги анализира барањата само користејќи го методот на потпис.

Карактеристики на објавувањето на Nemesida WAF 4.0.129

Пред тековното издание, динамичкиот модул Nemesida WAF поддржуваше само Nginx Stable 1.12, 1.14 и 1.16. Новото издание додава поддршка за Nginx Mainline, почнувајќи од 1.17 и Nginx Plus, почнувајќи од 1.15.10 (R18).

Зошто да се направи уште еден WAF?

NAXSI и mod_security се веројатно најпопуларните бесплатни WAF модули, а mod_security активно се промовира од Nginx, иако првично се користеше само во Apache2. Двете решенија се бесплатни, со отворен код и имаат многу корисници ширум светот. За mod_security, достапни се бесплатни и комерцијални комплети потписи за 500 долари годишно, за NAXSI има бесплатен сет на потписи надвор од кутијата, а исто така можете да најдете дополнителни групи на правила, како што е doxsi.

Оваа година ја тестиравме работата на NAXSI и Nemesida WAF Free. Накратко за резултатите:

• NAXSI не прави двојно декодирање на URL во колачиња
• На NAXSI му треба многу долго време за да се конфигурира - стандардно, стандардните поставки за правила ќе ги блокираат повеќето барања при работа со веб-апликација (овластување, уредување профил или материјал, учество во анкети итн.) и неопходно е да се генерираат списоци со исклучоци , што лошо влијае на безбедноста. Nemesida WAF Free со стандардни поставки не направи ниту една лажна позитива додека работеше со страницата.
• бројот на пропуштени напади за NAXSI е многукратно поголем, итн.

И покрај недостатоците, NAXSI и mod_security имаат најмалку две предности - отворен код и голем број корисници. Ја поддржуваме идејата за откривање на изворниот код, но тоа сè уште не можеме да го направиме поради можни проблеми со „пиратеријата“ на комерцијалната верзија, но за да го компензираме овој недостаток, целосно ја откриваме содржината на комплетот потписи. Ја цениме приватноста и ви предлагаме сами да го потврдите ова користејќи прокси-сервер.

Карактеристики на Nemesida WAF Free:

• висококвалитетна база на податоци за потписи со минимален број на лажно позитивни и лажни негативни.
• инсталација и ажурирање од складиштето (тоа е брзо и практично);
• едноставни и разбирливи настани за инциденти, а не „хаос“ како NAXSI;
• потполно бесплатен, нема ограничувања за количината на сообраќај, виртуелни хостови итн.

Како заклучок, ќе дадам неколку прашања за да се оценат перформансите на WAF (се препорачува да се користи во секоја од зоните: URL, ARGS, Headers & Body):

')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"] ')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"] union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"] ')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] ')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"] ')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] %5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//

Ако барањата не се блокирани, тогаш најверојатно WAF ќе го пропушти вистинскиот напад. Пред да ги користите примерите, проверете дали WAF не ги блокира легитимните барања.

Извор: www.habr.com