搜索

[14405] 2019-07-29_企业安全体系架构分析：开发架构之开源WAF延申

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-07-29_企业安全体系架构分析：开发架构之开源WAF延申 企 业 安 全 体 系 架 构 分 析 ： 开 发 架 构 之 开 源 W A F 延 申 原 创   煜 阳 y u y a n g   F r e e B u f   2 0 1 9 - 0 7 - 2 9 在 前 几 期 过 多 的 介 绍 体 系 化 方 面 的 事 情 ， 让 大 家 有 个 基 本 的 概 念 ， 能 将 一 些 安 全 设 备 、 安 全 理 念 相 关 联 起 来 ， 这 一 期 准 备 给 干 货 在 前 几 期 过 多 的 介 绍 体 系 化 方 面 的 事 情 ， 让 大 家 有 个 基 本 的 概 念 ， 能 将 一 些 安 全 设 备 、 安 全 理 念 相 关 联 起 来 ， 这 一 期 准 备 给 干 货 — — 开 源 开 源 W A F 的 搭 建 。 的 搭 建 。 其 实 网 上 开 源 W A F 是 有 很 多 的 ， 搭 建 方 式 比 较 简 单 ， 但 只 限 于 搭 建 ， 而 没 有 分 析 调 整 的 后 续 使 用 方 法 ， 这 一 点 其 实 是 实 际 使 用 中 大 家 最 关 心 也 是 最 迫 切 需 要 的 ， 下 面 就 分 享 一 下 我 的 开 源 W A F 构 建 与 使 用 。 一 、 选 用 一 、 选 用 其 实 在 选 用 方 面 是 需 要 进 行 多 方 面 对 比 的 ， 有 业 务 需 求 方 面 的 ， 有 安 全 本 身 的 ， 出 于 我 们 业 务 和 架 构 的 考 虑 ， 在 这 里 我 们 使 用 的 是 m o d s e c u r i t y   V 3 作 为 主 体 W A F 框 架 ， O W A S P   T O P   1 0 作 为 主 要 策 略 ， 同 时 还 覆 盖 自 定 义 策 略 ， 当 然 这 里 就 不 放 开 了 。 二 、 评 估 二 、 评 估 评 估 m o d s e c u r i t y 主 要 是 评 估 服 务 器 性 能 、 安 全 性 、 速 率 、 误 报 率 。 服 务 器 性 能 方 面 由 于 W A F 的 特 性 是 需 要 串 联 到 链 路 中 的 ， 所 以 在 这 里 是 放 在 n g i n x 代 理 服 务 器 上 ， 4 核 8 G 的 服 务 器 ， 对 于 量 不 大 的 n g i n x 来 说 已 经 是 高 配 了 。 从 安 全 性 角 度 来 说 ， 为 什 么 使 用 V 3 ， 而 不 是 V 2 . 9 ， 实 际 上 我 在 搭 建 的 时 候 V 3 是 才 推 出 的 ， 稳 定 性 来 说 是 V 2 . 9 更 胜 一 筹 ， 但 是 考 虑 到 V 2 . 9 本 身 的 漏 洞 （ I / O   D o S ） 以 及 后 期 日 志 分 析 （ 不 支 持 j s o n ） ， 最 终 是 使 用 了 V 3 。 从 速 率 的 角 度 考 虑 ， 由 于 是 挂 在 n g i n x 的 模 块 ， 所 以 速 率 方 面 不 需 要 太 担 心 。 从 误 报 率 的 角 度 来 说 ， 任 何 的 W A F 都 会 存 在 误 报 ， 但 是 m o d s e c u r i t y 的 高 自 由 调 整 策 略 是 我 特 别 习 惯 的 一 个 特 性 。 综 上 选 用 m o d s e c u r i t y   V 3 作 为 W A F 主 体 。 在 这 里 每 位 安 全 工 程 师 、 架 构 师 都 应 该 根 据 自 己 业 务 特 性 、 业 务 逻 辑 、 自 身 需 求 去 选 用 W A F ， 不 要 盲 从 。 我 写 这 篇 文 章 只 是 想 给 没 有 任 何 思 路 做 开 源 安 全 的 人 一 些 思 路 。 三 、 搭 建 三 、 搭 建 搭 建 环 节 我 就 不 再 阐 述 了 ， 请 大 家 仔 细 阅 读 G i t H u b ： h t t p s : / / g i t h u b . c o m / S p i d e r L a b s / M o d S e c u r i t y 四 、 分 析 四 、 分 析 这 块 是 我 重 点 想 说 的 ， 由 于 m o d s e c u r i t y 原 先 是 a p a c h e 的 组 件 ， 后 应 广 大 网 友 要 求 ， 增 加 了 n g i n x 版 的 m o d s e c u r i t y ， 但 是 原 先 的 w a f f l e （ 效 果 展 示 ） 却 并 没 有 适 配 n g i n x ， 我 曾 研 究 过 n g i n x 的 w a f f l e ， 虽 然 最 终 可 以 使 用 ， 但 是 体 验 并 不 是 特 别 好 ， 在 这 里 我 将 介 绍 我 的 日 志 分 析 体 系 构 建 。
1 . 了 解 了 解 m o d s e c u r i t y 日 志 记 录 机 制 日 志 记 录 机 制 M o d s e c u r i t y   V 3 的 日 志 支 持 分 布 式 日 志 记 录 和 集 中 式 日 志 记 录 ， 支 持 j s o n 格 式 的 记 录 ， 详 见 G i t H u b 。 2 . 选 用 日 志 传 输 工 具 选 用 日 志 传 输 工 具 由 于 需 要 传 输 j s o n 日 志 ， 并 考 虑 性 能 问 题 ， 这 里 使 用 f i l e b e a t 作 为 日 志 传 输 工 具 。 3 . 选 用 日 志 展 示 工 具 选 用 日 志 展 示 工 具 由 于 考 虑 到 性 能 问 题 ， 这 里 采 用 分 布 式 部 署 E L K （ e l a s t i c s e a r c h 、 l o g s t a s h 、 k i b a n a ） 作 为 展 示 工 具 4 . 落 实 落 实 首 先 调 整 M o d s e c u r i t y   V 3 记 录 分 布 式 j s o n 日 志 ， 代 码 如 下 ： #   - -   A u d i t   l o g   c o n f i g u r a t i o n   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - #   L o g   t h e   t r a n s a c t i o n s   t h a t   a r e   m a r k e d   b y   a   r u l e ,   a s   w e l l   a s   t h o s e   t h a t #   t r i g g e r   a   s e r v e r   e r r o r   ( d e t e r m i n e d   b y   a   5 x x   o r   4 x x ,   e x c l u d i n g   4 0 4 ,     #   l e v e l   r e s p o n s e   s t a t u s   c o d e s ) . # S e c A u d i t E n g i n e   O n S e c A u d i t L o g R e l e v a n t S t a t u s   " ^ [ 0 - 9 ] + " # S e c A u d i t L o g R e l e v a n t S t a t u s   " ^ ( ? : 5 | 4 ( ? ! 0 4 ) ) " #   L o g   e v e r y t h i n g   w e   k n o w   a b o u t   a   t r a n s a c t i o n . S e c A u d i t L o g P a r t s   A B C D E F G H I J K Z S e c A u d i t L o g F o r m a t   J S O N #   U s e   a   s i n g l e   f i l e   f o r   l o g g i n g .   T h i s   i s   m u c h   e a s i e r   t o   l o o k   a t ,   b u t #   a s s u m e s   t h a t   y o u   w i l l   u s e   t h e   a u d i t   l o g   o n l y   o c a s s i o n a l l y . # S e c A u d i t L o g T y p e   C o n c u r r e n t S e c A u d i t L o g   / o p t / m o d s e c u r i t y / a u d i t . l o g #   S p e c i f y   t h e   p a t h   f o r   c o n c u r r e n t   a u d i t   l o g g i n g . S e c A u d i t L o g S t o r a g e D i r   / o p t / m o d s e c u r i t y / d a t a
详 细 解 释 每 个 参 数 ： 之 后 我 们 安 装 E L K ， 详 细 安 装 方 法 与 介 绍 详 见 ： h t t p s : / / w w w . j i a n s h u . c o m / p / e 7 3 6 2 c c f e 7 e 3 ? t d s o u r c e t a g = s _ p c t i m _ a i o m s g 将 f i l e b e a t 传 输 指 向 l o g s t a s h 集 群 服 务 器 ， 通 过 l o g s t a s h 筛 选 规 则 放 入 e l a s t i c s e a r c h 中 ， 通 过 k i b a n a 查 询 展 示 W A F 日 志 ： F i l e b e a t 配 置 参 数 ： 配 置 参 数 ： S e c A u d i t E n g i n e   / / 日 志 引 擎 ， o n 为 开 启 日 志 记 录 ， o f f 为 关 闭 日 志 记 录 S e c A u d i t L o g R e l e v a n t S t a t u s   / / 日 志 状 态 记 录 ， ” ^ [ 0 - 9 ] + ” 为 记 录 所 有 响 应 码 的 日 志 ， " ^ ( ? : 5 | 4 ( ? ! 0 4 ) ) " 为 只 记 录 4 0 0 - 5 9 9 响 应 码 的 日 志 ， 不 包 括 4 0 4 日 志 S e c A u d i t L o g P a r t s   / / 日 志 体 ， 详 见 g i t h u b S e c A u d i t L o g F o r m a t   / / 日 志 格 式 ， 这 里 启 用 j s o n 格 式 ， 如 果 记 录 普 通 格 式 删 除 该 参 数 S e c A u d i t L o g T y p e   / / 日 志 存 储 类 型 ， c o n c u r r e n t 为 分 布 式 存 储 S e c A u d i t L o g S t o r a g e D i r   / / 分 布 式 日 志 存 储 路 径 S e c A u d i t L o g   / / 集 中 式 存 储 路 径 f i l e b e a t . p r o s p e c t o r s : #   E a c h   -   i s   a   p r o s p e c t o r .   M o s t   o p t i o n s   c a n   b e   s e t   a t   t h e   p r o s p e c t o r   l e v e l ,   s o #   y o u   c a n   u s e   d i f f e r e n t   p r o s p e c t o r s   f o r   v a r i o u s   c o n f i g u r a t i o n s . #   B e l o w   a r e   t h e   p r o s p e c t o r   s p e c i f i c   c o n f i g u r a t i o n s . -   i n p u t _ t y p e :   l o g       #   P a t h s   t h a t   s h o u l d   b e   c r a w l e d   a n d   f e t c h e d .   G l o b   b a s e d   p a t h s .     p a t h s :         -   / o p t / m o d s e c u r i t y / d a t a / * / * / *     j s o n . k e y s _ u n d e r _ r o o t :   t r u e     e n c o d i n g :   u t f - 8     d o c u m e n t _ t y p e :   m o d _ s e c u r i t y     c l o s e _ e o f :   t r u e     s c a n _ f r e q u e n c y :   5 s     c l e a n _ * :   t r u e 详 细 解 释 每 个 参 数 ： i n p u t _ t y p e   / / 输 入 类 型 为 l o g P a t h s   / / 传 输 的 日 志 路 径
将 日 志 传 输 到 l o g s t a s h 服 务 器 。 L o g s t a s h 配 置 ： 配 置 ： 这 里 使 用 3 个 配 置 文 件 ， i n p u t 是 定 义 输 入 ， o u t p u t 是 定 义 输 出 ， f i l t e r 是 定 义 日 志 过 滤 ， 我 们 先 从 i n p u t 看 ： I n p u t 定 义 很 简 单 ， 只 是 单 纯 监 听 本 机 5 0 4 4 端 口 作 为 l o g s t a s h 的 输 入 口 ， 与 f i l e b e a t 传 输 配 置 中 的 端 口 对 应 。 O u t p u t 中 设 置 e l a s t i c s e a r c h 服 务 器 的 信 息 与 主 键 的 定 义 ， 在 这 里 特 别 提 示 ， 主 键 名 称 要 带 l o g s t a s h - ， 因 为 k i b a n a 展 示 中 如 果 要 展 示 i p 定 位 的 话 ， 只 有 开 头 带 l o g s t a s h 的 键 才 可 以 用 这 个 功 能 。 F i l t e r 文 件 中 定 义 m e s s a g e 为 j s o n 格 式 ， 定 义 g e o i p （ 用 于 展 示 i p 定 位 ） 传 递 到 k i b a n a 展 示 效 果 如 下 ： P a t h s   / / 传 输 的 日 志 路 径 j s o n . k e y s _ u n d e r _ r o o t   / / j s o n 值 放 于 根 节 点 上 E n c o d i n g   / / 编 码 类 型 ， 这 里 U T F - 8 到 日 志 展 示 时 基 本 不 会 出 现 乱 码 ， 如 果 为 G B K 极 有 可 能 出 现 乱 码 情 况 d o c u m e n t _ t y p e   / / 文 档 类 型 ， 这 里 自 定 义 c l o s e _ e o f   / / 关 闭 文 件 处 理 程 序 s c a n _ f r e q u e n c y   / / 配 置 扫 描 文 件 频 率 c l e a n _ *   / / 清 除 缓 存
5 . 根 据 机 制 分 析 日 志 根 据 机 制 分 析 日 志 自 带 的 k i b a n a 日 志 比 较 乱 ， 这 时 候 我 们 自 己 搭 建 日 志 的 分 析 模 板 ， 选 择 上 图 左 侧 参 数 可 以 只 展 示 参 数 值 ， 全 部 建 立 好 模 板 后 如 下 ： 其 中 几 个 参 数 需 要 进 行 解 释 ： 6 . 建 立 展 示 模 板 建 立 展 示 模 板 建 立 一 个 d a s h b o a r d ， 详 细 见 K i b a n a 使 用 ： 五 、 监 控 告 警 五 、 监 控 告 警 K i b a n a 可 以 接 收 邮 件 告 警 与 z a b b i x 告 警 联 动 ， 因 为 我 的 z a b b i x 告 警 绑 定 了 企 业 微 信 与 微 信 ， z a b b i x 触 发 告 警 内 容 时 微 信 会 收 到 消 息 ， 比 邮 件 告 警 更 加 直 接 ， 所 以 采 用 的 是 k i b a n a   z a b b i x 联 动 告 警 的 方 式 ， 详 细 配 置 见 ： h t t p s : / / g i t h u b . c o m / Y e l p / e l a s t a l e r t 触 发 告 警 搜 索 规 则 ： T i m e       / / 传 输 时 间 g e o i p . c i t y _ n a m e       / / i p 定 位 城 市 名 g e o i p . c o u n t r y _ n a m e       / / I P 定 位 国 家 t r a n s a c t i o n . h o s t _ i p       / / 访 问 者 i p t r a n s a c t i o n . h o s t _ p o r t     / / 访 问 端 口 t r a n s a c t i o n . m e s s a g e s       / / 触 发 阻 断 规 则 信 息 t r a n s a c t i o n . r e q u e s t . b o d y       / / 请 求 体 （ P O S T ） t r a n s a c t i o n . r e q u e s t . h e a d e r s . H o s t       / / 访 问 域 名 或 I P t r a n s a c t i o n . r e q u e s t . m e t h o d       / / 请 求 方 式 t r a n s a c t i o n . r e q u e s t . u r i       / / 请 求 U R I t r a n s a c t i o n . r e s p o n s e . h t t p _ c o d e     / / 响 应 码 t r a n s a c t i o n . m e s s a g e s : *       / / 有 告 警 信 息 t r a n s a c t i o n . m e s s a g e s : *   &   t r a n s a c t i o n . r e s p o n s e . h t t p _ c o d e : 4 0 3     / / 有 阻 断 信 息
以 上 是 我 的 搭 建 分 析 分 享 。 后 期 带 来 关 于 自 动 化 安 全 扫 描 的 分 享 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 煜 阳 煜 阳 y u y a n g ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理