NGINX साठी Nemesida WAF ची नवीन बिल्ड मोफत

गेल्या वर्षी आम्ही Nemesida WAF Free, NGINX साठी डायनॅमिक मॉड्यूल जारी केले जे वेब ऍप्लिकेशन्सवरील हल्ले अवरोधित करते. व्यावसायिक आवृत्तीच्या विपरीत, जी मशीन लर्निंगवर आधारित आहे, विनामूल्य आवृत्ती केवळ स्वाक्षरी पद्धत वापरून विनंत्यांचे विश्लेषण करते.

Nemesida WAF 4.0.129 च्या रिलीझची वैशिष्ट्ये

सध्याच्या रिलीझपूर्वी, Nemesida WAF डायनॅमिक मॉड्यूल फक्त Nginx Stable 1.12, 1.14 आणि 1.16 ला सपोर्ट करत होते. नवीन प्रकाशन Nginx Mainline साठी समर्थन जोडते, 1.17 पासून सुरू होणारे, आणि Nginx Plus, 1.15.10 (R18) पासून सुरू होणारे.

दुसरे WAF का बनवायचे?

NAXSI आणि mod_security हे बहुधा सर्वात लोकप्रिय विनामूल्य WAF मॉड्यूल आहेत आणि mod_security चा Nginx द्वारे सक्रियपणे प्रचार केला जातो, जरी सुरुवातीला ते फक्त Apache2 मध्ये वापरले जात होते. दोन्ही उपाय विनामूल्य, मुक्त स्रोत आहेत आणि जगभरात त्यांचे बरेच वापरकर्ते आहेत. mod_security साठी, विनामूल्य आणि व्यावसायिक स्वाक्षरी संच प्रति वर्ष $500 मध्ये उपलब्ध आहेत, NAXSI साठी बॉक्सच्या बाहेर स्वाक्षरींचा एक विनामूल्य संच आहे आणि तुम्हाला doxsi सारखे अतिरिक्त नियम देखील मिळू शकतात.

या वर्षी आम्ही NAXSI आणि Nemesida WAF फ्री च्या ऑपरेशनची चाचणी केली. परिणामांबद्दल थोडक्यात:

• NAXSI कुकीजमध्ये दुहेरी URL डीकोड करत नाही
• NAXSI ला कॉन्फिगर होण्यासाठी बराच वेळ लागतो - डीफॉल्टनुसार, डीफॉल्ट नियम सेटिंग्ज वेब ऍप्लिकेशन (अधिकृतीकरण, प्रोफाइल किंवा सामग्री संपादित करणे, सर्वेक्षणांमध्ये भाग घेणे इ.) सह काम करताना बहुतेक विनंत्या अवरोधित करेल आणि अपवाद सूची तयार करणे आवश्यक आहे. , ज्याचा सुरक्षेवर वाईट परिणाम होतो. डिफॉल्ट सेटिंग्जसह Nemesida WAF Free ने साइटवर काम करताना एकही चुकीचे सकारात्मक कार्य केले नाही.
• NAXSI साठी चुकलेल्या हल्ल्यांची संख्या अनेक पटींनी जास्त आहे, इ.

कमतरता असूनही, NAXSI आणि mod_security चे किमान दोन फायदे आहेत - मुक्त स्त्रोत आणि मोठ्या संख्येने वापरकर्ते. आम्ही स्त्रोत कोड उघड करण्याच्या कल्पनेचे समर्थन करतो, परंतु व्यावसायिक आवृत्तीच्या "पायरसी" मधील संभाव्य समस्यांमुळे आम्ही अद्याप हे करू शकत नाही, परंतु या उणीवाची भरपाई करण्यासाठी, आम्ही स्वाक्षरी संचाची सामग्री पूर्णपणे उघड करत आहोत. आम्‍ही गोपनीयतेला महत्त्व देतो आणि प्रॉक्‍सी सर्व्हर वापरून तुम्ही हे स्वतः सत्यापित करा असे सुचवतो.

Nemesida WAF मोफत वैशिष्ट्ये:

• कमीत कमी फॉल्स पॉझिटिव्ह आणि फॉल्स निगेटिव्हसह उच्च-गुणवत्तेचा स्वाक्षरी डेटाबेस.
• रेपॉजिटरीमधून स्थापना आणि अद्यतन (ते जलद आणि सोयीस्कर आहे);
• घटनांबद्दल साध्या आणि समजण्याजोग्या घटना, आणि NAXSI सारखा "गोंधळ" नाही;
• पूर्णपणे विनामूल्य, रहदारीचे प्रमाण, आभासी होस्ट इत्यादींवर कोणतेही निर्बंध नाहीत.

शेवटी, मी WAF च्या कामगिरीचे मूल्यमापन करण्यासाठी अनेक प्रश्न देईन (प्रत्येक झोनमध्ये वापरण्याची शिफारस केली जाते: URL, ARGS, शीर्षलेख आणि मुख्य भाग):

')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"] ')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"] union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"] ')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] ')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"] ')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"] %5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//

जर विनंत्या अवरोधित केल्या नाहीत, तर बहुधा WAF वास्तविक हल्ला चुकवेल. उदाहरणे वापरण्यापूर्वी, WAF कायदेशीर विनंत्या अवरोधित करत नाही याची खात्री करा.

स्त्रोत: www.habr.com