搜索

[14959] 2020-01-31_开源WAF测试评估方法

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-01-31_开源WAF测试评估方法 开 源 W A F 测 试 评 估 方 法 原 创   煜 阳 y u y a n g   F r e e B u f   2 0 2 0 - 0 1 - 3 1 在 这 里 讲 一 下 开 源 在 这 里 讲 一 下 开 源 W A F 的 测 试 评 估 方 法 ， 以 成 品 文 档 为 例 。 的 测 试 评 估 方 法 ， 以 成 品 文 档 为 例 。 一 一 .   测 试 目 的 测 试 目 的 当 W E B 应 用 越 来 越 为 丰 富 的 同 时 ， W E B   服 务 器 以 其 强 大 的 计 算 能 力 、 处 理 性 能 及 蕴 含 的 较 高 价 值 逐 渐 成 为 主 要 攻 击 目 标 。 S Q L 注 入 、 网 页 篡 改 、 网 页 挂 马 等 安 全 事 件 ， 频 繁 发 生 。 2 0 0 7 年 ， 国 家 计 算 机 网 络 应 急 技 术 处 理 协 调 中 心 （ 简 称 C N C E R T / C C ） 监 测 到 中 国 大 陆 被 篡 改 网 站 总 数 累 积 达 6 1 2 2 8 个 ， 比 2 0 0 6 年 增 加 了 1 . 5 倍 。 其 中 ， 中 国 大 陆 政 府 网 站 被 篡 改 各 月 累 计 达 4 2 3 4 个 。 企 业 等 用 户 一 般 采 用 防 火 墙 作 为 安 全 保 障 体 系 的 第 一 道 防 线 。 但 是 ， 在 现 实 中 ， 他 们 存 在 这 样 那 样 的 问 题 ， 由 此 产 生 了 W A F （ W e b 应 用 防 护 系 统 ） 。 W e b 应 用 防 护 系 统 （ W e b   A p p l i c a t i o n   F i r e w a l l ,   简 称 ： W A F ） 代 表 了 一 类 新 兴 的 信 息 安 全 技 术 ， 用 以 解 决 诸 如 防 火 墙 一 类 传 统 设 备 束 手 无 策 的 W e b 应 用 安 全 问 题 。 与 传 统 防 火 墙 不 同 ， W A F 工 作 在 应 用 层 ， 因 此 对 W e b 应 用 防 护 具 有 先 天 的 技 术 优 势 。 基 于 对 W e b 应 用 业 务 和 逻 辑 的 深 刻 理 解 ， W A F 对 来 自 W e b 应 用 程 序 客 户 端 的 各 类 请 求 进 行 内 容 检 测 和 验 证 ， 确 保 其 安 全 性 与 合 法 性 ， 对 非 法 的 请 求 予 以 实 时 阻 断 ， 从 而 对 各 类 网 站 站 点 进 行 有 效 防 护 。 由 于 公 司 曾 接 连 发 生 入 侵 事 件 ， 搭 建 W A F 阻 挡 黑 客 脚 步 势 在 必 行 。 二 二 .   测 试 范 围 测 试 范 围 本 次 测 试 包 括 以 下 几 个 方 面 ： 模 拟 黑 客 攻 击 看 是 否 阻 断 生 效 模 拟 灾 难 发 生 （ 宕 机 或 网 络 波 动 等 ） 看 是 否 切 换 备 用 W A F 正 常 工 作 模 拟 大 流 量 并 发 看 是 否 W A F 能 抗 压 正 常 工 作 模 拟 误 报 信 息 看 W A F 是 否 支 持 调 整 策 略 模 拟 紧 急 情 况 W A F 是 否 能 切 换 工 作 模 式 三 三 .   测 试 环 境 测 试 环 境 3 . 1 网 络 拓 扑 网 络 拓 扑
3 . 2 软 软 / 硬 件 环 境 硬 件 环 境
四 四 .   W A F 测 试 项 对 比 测 试 项 对 比 模 拟 黑 客 攻 击 看 是 否 阻 断 生 效 模 拟 黑 客 攻 击 看 是 否 阻 断 生 效 将 W A F 模 式 调 整 为 阻 断 模 式 ， 模 拟 S Q L 注 入 ， 及 时 阻 断 ， 返 回 码 4 0 3 测 试 通 过 模 拟 灾 难 发 生 （ 宕 机 或 网 络 波 动 等 ） 看 是 否 切 换 备 用 模 拟 灾 难 发 生 （ 宕 机 或 网 络 波 动 等 ） 看 是 否 切 换 备 用 W A F 正 常 工 作 正 常 工 作 将 主 W A F n g i n x 关 闭 ， 访 问 域 名 依 然 正 常 ， 备 用 W A F 上 有 访 问 日 志 测 试 通 过
模 拟 大 流 量 并 发 看 是 否 模 拟 大 流 量 并 发 看 是 否 W A F 能 抗 压 正 常 工 作 能 抗 压 正 常 工 作 测 试 组 发 送 压 力 包 ， W A F 工 作 正 常 ， 监 控 C P U 不 超 过 1 0 % 测 试 通 过 模 拟 误 报 信 息 看 模 拟 误 报 信 息 看 W A F 是 否 支 持 调 整 策 略 是 否 支 持 调 整 策 略 发 送 模 拟 包 触 发 W A F 规 则 ， 通 过 E L K 观 察 包 显 示 的 触 发 规 则 文 件 修 正 规 则 ， 修 正 后 重 启 n g i n x ， 修 正 生 效 ， 放 行 模 拟 包 测 试 通 过 模 拟 紧 急 情 况 模 拟 紧 急 情 况 W A F 是 否 能 切 换 工 作 模 式 是 否 能 切 换 工 作 模 式 将 m o d s e c u r i t y 模 块 关 闭 ， 访 问 域 名 依 然 正 常 ， n g i n x 有 访 问 日 志 ， m o d s e c u r i t y 没 有 访 问 日 志 测 试 通 过 五 五 .   应 急 措 施 应 急 措 施 应 急 等 级 分 为 高 中 低 三 个 等 级 低 级 ： 一 般 为 测 试 数 据 阻 断 ， 返 回 码 为 4 0 3 ， 手 动 分 析 数 据 包 中 传 递 参 数 是 否 合 理 ， 若 合 理 则 寻 找 对 应 规 则 文 件 进 行 正 则 匹 配 修 改 或 整 体 规 则 注 释 ； 若 不 合 理 则 沟 通 研 发 进 行 报 文 调 整 中 级 ： 一 般 为 大 量 长 期 数 据 阻 断 ， 返 回 码 为 4 0 3 ， 先 手 工 切 换 W A F 工 作 模 式 为 仅 检 测 （ m o d s e c u r i t y . c o n f - > S e c R u l e E n g i n e   D e t e c t i o n O n l y ） ， 观 察 数 据 包 是 否 恢 复 正 常 ， 若 恢 复 正 常 ， 后 续 按 照 低 级 应 急 方 案 处 理 ， 若 依 旧 不 正 常 ， 则 按 照 高 级 应 急 方 案 处 理 高 级 ： 一 般 为 中 级 应 急 方 案 无 效 ， 则 手 动 切 换 n g i n x 安 全 模 块 为 关 闭 状 态 （ n g i n x . c o n f - > m o d s e c u r i t y   o f f ） ， 保 证 数 据 正 常 的 情 况 下 再 进 一 步 排 查 问 题 六 六 .   测 试 结 论 测 试 结 论 W A F 部 署 简 单 方 便 ， 使 用 E L K 分 析 W A F 日 志 对 于 专 业 人 员 来 说 十 分 轻 松 ， 与 此 同 时 能 防 御 多 种 多 样 的 攻 击 ， 防 御 列 表 如 下 ： S Q L 注 入 （ 注 入 （ S Q L i ） ） P H P 代 码 注 入 代 码 注 入 跨 站 点 脚 本 （ X S S ） H T T P o x y 本 地 文 件 包 含 （ L F I ） S h e l l s h o c k
远 程 文 件 包 含 （ R F I ） 会 话 固 定 远 程 执 行 代 码 （ R C E ） 扫 描 程 序 检 测 X m l 代 码 注 入 （ X X E ） 命 令 注 入 拒 绝 服 务 攻 击 （ D o S ） j a v a 反 序 列 化 S Q L 注 入 （ 注 入 （ S Q L i ） ） P H P 代 码 注 入 代 码 注 入 使 用 此 W A F 的 优 点 ： 免 费 ， 节 省 开 支 可 控 ， 可 随 时 增 加 修 改 自 定 义 策 略 灵 活 ， 通 过 日 志 灵 活 判 断 是 否 为 攻 击 安 全 ， 可 阻 断 大 部 分 的 攻 击 范 围 ， 只 要 部 署 网 络 任 意 位 置 用 n g i n x 转 发 即 可 使 用 高 效 ， 过 滤 恶 意 流 量 增 强 了 后 端 n g i n x 处 理 效 率 性 能 ， 不 占 用 过 多 性 能 完 全 依 赖 n g i n x 处 理 数 据 使 用 此 W A F 的 缺 点 ： 误 报 ， 存 在 一 定 几 率 误 报 需 实 时 监 控 调 整 经 过 测 试 分 析 ， W A F 可 有 效 阻 断 大 部 分 黑 客 攻 击 ， 对 于 0 d a y 有 着 一 定 的 防 御 作 用 。 由 于 部 署 模 式 为 双 机 热 备 ， 极 大 程 度 保 证 了 W A F 的 运 行 安 全 以 及 业 务 的 稳 定 。 并 经 过 流 量 测 试 证 明 了 W A F 的 稳 定 性 。 同 时 撰 写 了 应 急 方 案 ， 一 旦 产 生 误 报 有 及 时 的 应 急 措 施 帮 助 业 务 恢 复 稳 定 。 必 要 时 可 关 闭 防 御 保 证 业 务 的 可 持 续 性 。 在 安 全 防 护 体 系 中 ， w a f 作 为 安 全 前 线 的 第 一 道 防 护 ， 起 到 了 缓 解 的 作 用 ， 在 实 际 场 景 中 ， 可 以 阻 断 公 司 前 段 时 间 发 生 的 安 全 问 题 像 X X E 攻 击 等 ， 同 时 有 助 于 公 司 通 过 安 全 等 级 保 护 ， 极 大 程 度 保 护 交 易 数 据 不 被 篡 改 ， 同 时 保 护 服 务 器 免 遭 黑 客 干 扰 ， 所 以 部 署 W A F 势 在 必 行 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 煜 阳 煜 阳 y u y a n g ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理