Minulý rok sme vydali Nemesida WAF Free — dynamický modul pre NGINX, ktorý blokuje útoky na webové aplikácie. Na rozdiel od komerčnej verzie založenej na strojovom učení, bezplatná verzia analyzuje požiadavky len signatúrnou metódou.
Vlastnosti vydania Nemesida WAF 4.0.129
Do aktuálneho vydania dynamický modul Nemesida WAF podporoval len Nginx Stable 1.12, 1.14 a 1.16. V novom vydaní bola pridaná podpora Nginx Mainline počnúc 1.17 a Nginx Plus počnúc 1.15.10 (R18).
Prečo vytvárať ďalší WAF?
NAXSI a mod_security sú pravdepodobne najpopulárnejšie bezplatné moduly WAF, pričom mod_security je aktívne propagované Nginx, hoci pôvodne sa používalo len v Apache2. Obe riešenia sú bezplatné, majú otvorený zdrojový kód a množstvo používateľov po celom svete. Pre mod_security sú k dispozícii bezplatné a komerčné sady signatúr, za 500 dolárov ročne, pre NAXSI — bezplatná sada signatúr „z krabice“, môžete tiež nájsť ďalšie sady pravidiel, ako napríklad doxsi.
Tento rok sme testovali výkon NAXSI a Nemesida WAF Free. Skračme výsledky:
- NAXSI nevykonáva dvojitý URL-dekódovanie v cookie
- NAXSI je veľmi zložitý na nastavenie — štandardné nastavenia pravidiel predvolene zablokujú väčšinu prístupov pri práci s webovou aplikáciou (autorizácia, úprava profilu alebo obsahu, účast na prieskumoch a pod.) a je potrebné generovať zoznamy výnimiek, čo negatívne vplýva na bezpečnosť. Nemesida WAF Free pri nastaveniach predvolene nevykonala žiadne falošné upozornenie počas práce s webom.
- počet prechodov útokov u NAXSI je niekoľkonásobne vyšší a pod.
Napriek nedostatkom majú NAXSI a mod_security minimálne dve výhody — otvorený zdrojový kód a veľké množstvo používateľov. Podporujeme myšlienku odhalenia zdrojového kódu, ale zatiaľ to nemôžeme urobiť kvôli možným problémom s „pirátstvom“ komerčnej verzie, ale aby sme kompenzovali tento nedostatok — úplne odhaľujeme obsah sady signatúr. Ceníme si dôvernosť a ponúkame vám to overiť samostatne pomocou proxy-servera.
Charakteristika Nemesida WAF Free:
- kvalitná základňa signatúr s minimálnym počtom falošných pozitív a negatív.
- inštalácia a aktualizácia z repozitára (je to rýchle a pohodlné);
- jednoduché a prehľadné udalosti incidentov, nie akýsi ‚chaos‘ ako u NAXSI;
- úplne zadarmo, bez obmedzení na množstvo prenosu, virtuálnych hostiteľov atď.
Na záver uvediem niekoľko požiadaviek na hodnotenie výkonu WAF (odporúča sa použiť vo všetkých oblastiach: URL, ARGS, Hlavičky & Telá):
')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"]
')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"]
union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"]
')) union+ /*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
')) /*!uion*/ /*!seect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
')) **union**select (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
1807182982union
select123456789%2some_text11
cat /et?/?pa?swd
cat /et'c/pas's'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
cat /etc/passwd
cat$u+/etc$u/passwd$u
<svg/onload=alert()//
Ak nebudú požiadavky zablokované, potom pravdepodobne WAF prepustí aj reálny útok. Pred použitím príkladov sa uistite, že WAF nezablokuje legitímne požiadavky.
Zdroj: habr.com
