搜索

[14440] 2019-08-07_关于安全体系中WAF的探讨

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-08-07_关于安全体系中WAF的探讨 关 于 安 全 体 系 中 W A F 的 探 讨 煜 阳 y u y a n g   F r e e B u f   2 0 1 9 - 0 8 - 0 7 最 近 分 享 了 我 在 最 近 分 享 了 我 在 W A F 建 设 方 面 的 一 些 经 验 ， 建 设 方 面 的 一 些 经 验 ， 其 中 评 论 有 一 些 让 我 有 点 意 外 ， 在 这 里 引 用 一 下 ： 其 中 评 论 有 一 些 让 我 有 点 意 外 ， 在 这 里 引 用 一 下 ： 只 是 为 了 检 测 和 报 警 的 话 ， 就 镜 像 流 量 旁 路 ， 自 己 随 便 玩 ， 不 要 串 联 。 如 果 串 联 了 ， 误 报 和 误 拦 截 就 是 致 命 的 问 题 ， 业 务 方 会 砍 死 你   +   频 繁 的 调 整 w a f 策 略 会 拖 垮 你 。 除 非 是 典 型 的 挖 坑 不 埋 的 人 ，   这 类 人 见 得 太 多 了 ， 前 人 挖 坑 加 薪 跑 路 ， 后 人 填 坑 填 到 死 还 经 常 被 坑 扣 钱 ， 最 后 只 能 废 弃 换 坑 ， 折 腾 了 半 天 啥 有 价 值 的 东 西 都 没 有 。 首 先 我 要 说 首 先 我 要 说 W A F 存 在 的 意 义 到 底 是 什 么 ？ 存 在 的 意 义 到 底 是 什 么 ？ W A F 全 名 为 W e b   A p p l i c a t i o n   F i r e w a l l ， 中 文 是 ｗ ｅ ｂ 应 用 防 火 墙 ， 主 要 用 于 拦 截 ｗ ｅ ｂ 层 面 发 生 的 攻 击 ， 原 理 是 通 过 匹 配 关 键 正 则 判 断 请 求 是 否 具 有 威 胁 。 使 用 W A F 可 以 增 加 业 务 在 ｗ ｅ ｂ 层 的 安 全 性 。 众 所 周 知 ， 阻 断 的 意 思 是 当 一 个 恶 意 请 求 发 送 过 来 时 ， 通 过 一 系 列 判 断 此 请 求 有 威 胁 ， 发 出 告 警 并 拒 绝 向 后 端 转 发 的 行 为 称 之 为 阻 断 行 为 。 评 论 中 的 只 为 了 检 测 和 报 警 称 之 为 仅 检 测 行 为 ， 意 为 当 一 个 恶 意 请 求 发 送 过 来 时 ， 通 过 一 系 列 判 断 此 请 求 有 威 胁 ， 发 出 告 警 但 不 拒 绝 向 后 端 转 发 的 行 为 。
W A F 存 在 的 意 义 是 自 动 拦 截 恶 意 请 求 ， 如 果 仅 检 测 ， 那 我 为 什 么 要 使 用 W A F ？ 用 日 志 审 计 不 好 吗 ？ 甚 至 直 接 用 ｓ ｙ ｓ ｌ ｏ ｇ 不 好 吗 ？ 更 加 节 省 人 力 成 本 、 研 发 成 本 与 时 间 成 本 。 为 什 么 要 使 用 W A F ？ 不 就 是 因 为 W A F 可 以 阻 断 恶 意 请 求 吗 ？ 第 二 点 ， 串 联 的 误 报 误 拦 问 题 ， 这 点 是 所 有 的 W A F 普 遍 存 在 的 ， W A F 其 实 好 坏 的 差 别 主 要 就 在 于 策 略 ， 一 个 好 的 W A F ， 策 略 会 相 对 更 贴 合 与 实 际 业 务 ， 产 生 的 误 拦 问 题 会 比 较 少 。 但 是 ， 哪 个 厂 商 敢 说 我 的 W A F 不 用 调 试 ， 上 了 就 能 用 ， 直 接 开 阻 断 。 如 果 有 这 样 的 厂 商 麻 烦 大 家 推 荐 给 我 ， 反 正 我 的 ３ 年 工 作 经 验 中 不 论 甲 方 乙 方 都 没 有 见 到 过 如 此 厉 （ ｎ ｉ ｕ ） 害 （ B ） 的 厂 商 。 整 个 W A F 体 系 构 建 中 ， 我 说 过 使 用 E L K 作 为 日 志 分 析 工 具 ， 那 么 E L K 能 不 能 做 到 规 则 触 发 汇 总 ， 我 想 这 点 官 网 上 都 有 说 明 ， 并 且 不 难 实 现 。 至 于 关 联 配 置 文 件 自 动 化 过 滤 策 略 ， 就 需 要 自 行 写 脚 本 了 。 厂 商 的 设 备 也 是 自 动 化 调 整 策 略 而 已 ， 甚 至 有 些 也 需 要 自 己 手 动 调 整 。 我 不 明 白 这 条 评 论 背 后 的 人 是 看 不 起 W A F 还 是 真 的 打 酱 油 不 想 做 任 何 调 试 。 什 么 是 试 运 行 ？ W A F 上 生 产 的 前 １ 周 甚 至 １ 个 月 ， 运 行 的 是 仅 检 测 模 式 ， 主 要 就 是 为 了 过 滤 一 些 误 报 ， 调 整 策 略 ， 把 误 报 的 策 略 关 掉 ， 尽 量 使 生 产 不 出 现 问 题 。 而 其 中 监 控 的 主 要 作 用 也 是 为 了 一 旦 发 生 误 报 误 拦 ， 能 够 第 一 时 间 恢 复 业 务 ， 在 我 的 监 控 体 系 中 ， 基 本 能 做 到 半 分 钟 恢 复 业 务 。 其 中 告 警 响 应 大 概 用 时 ５ S ， 因 为 需 要 读 告 警 内 容 ， 判 断 是 哪 里 出 的 问 题 ， ２ ５ S 时 间 用 来 解 决 问 题 ， 当 然 大 型 复 杂 事 故 大 概 需 要 １ ０ 分 钟 左 右 恢 复 。 这 也 是 监 控 存 在 的 意 义 。 我 也 不 太 懂 ， 如 果 一 个 业 务 死 了 好 几 个 小 时 ， 你 还 没 有 发 现 解 决 ， 业 务 方 有 什 么 理 由 不 砍 死 你 ？ 送 你 一 把 大 宝 剑 ：
第 三 ， 任 何 产 品 研 发 上 线 都 需 要 交 接 文 档 与 手 册 ， 这 点 我 在 之 前 等 保 文 章 中 其 实 有 涉 及 到 ， 这 甚 至 是 需 要 写 进 管 理 制 度 中 的 ， 就 是 为 了 防 止 交 接 的 人 对 于 现 有 的 系 统 不 能 快 速 上 手 ， 甚 至 我 在 部 署 使 用 时 就 撰 写 了 一 系 列 文 档 ， 包 括 可 行 性 分 析 报 告 、 部 署 报 告 、 操 作 手 册 、 常 见 问 题 记 录 、 策 略 调 整 记 录 。 其 中 可 行 性 报 告 是 对 业 务 整 体 的 分 析 、 部 署 W A F 需 求 分 析 、 选 用 开 源 防 火 墙 的 依 据 、 现 阶 段 存 在 的 问 题 等 等 。 部 署 报 告 顾 名 思 义 就 是 部 署 的 整 体 环 境 与 拓 扑 图 。 操 作 手 册 记 录 了 关 键 步 骤 的 操 作 ， 比 如 策 略 怎 么 调 整 ， 日 志 分 析 怎 么 做 ， 怎 么 切 换 运 行 模 式 ， 甚 至 运 行 模 式 我 都 有 做 解 释 什 么 时 候 用 什 么 模 式 。 常 见 问 题 记 录 是 在 部 署 和 升 级 过 程 中 的 一 些 坑 。 策 略 调 整 记 录 顾 名 思 义 。 我 不 认 为 我 给 之 后 的 人 挖 了 个 坑 ， 甚 至 我 是 跟 他 们 趟 了 不 少 的 坑 。 讲 这 段 其 实 不 是 为 了 抱 怨 什 么 ， 而 是 想 告 诉 大 家 说 ， 平 时 记 录 的 重 要 性 。 第 四 ， 我 严 重 怀 疑 这 兄 弟 是 在 安 全 部 中 打 酱 油 的 角 色 。 这 点 其 实 没 有 什 么 多 说 的 ， 我 只 想 说 如 果 要 提 高 企 业 的 安 全 性 ， 首 先 就 不 能 否 定 了 自 己 ， 如 果 因 为 怕 麻 烦 或 者 怕 影 响 业 务 ， 那 干 脆 什 么 都 不 做 就 好 了 ！
以 上 基 本 属 于 个 人 的 唠 叨 ， 下 面 进 入 正 题 ， 如 何 收 紧 策 略 ？ 以 上 基 本 属 于 个 人 的 唠 叨 ， 下 面 进 入 正 题 ， 如 何 收 紧 策 略 ？ W A F 在 使 用 中 最 大 的 问 题 也 是 最 怕 的 问 题 就 是 误 报 与 漏 报 ， 下 面 将 我   的 经 验 分 享 给 大 家 。 为 什 么 会 误 报 ？ 针 对 这 个 问 题 ， 不 得 不 说 一 下 W A F 的 研 发 原 理 ， W A F 其 实 就 是 正 则 匹 配 ， 一 般 恶 意 请 求 会 有 正 则 特 征 ， 第 一 批 安 全 专 家 就 根 据 攻 击 者 的 特 征 做 了 一 个 正 则 特 征 库 ， 原 意 为 匹 配 特 征 的 行 为 基 本 可 以 确 定 为 攻 击 。 而 现 实 并 不 是 那 么 美 好 ， 因 为 我 们 在 运 行 业 务 中 偶 尔 进 行 的 一 些 行 为 也 会 被 当 作 恶 意 攻 击 。 这 里 举 个 例 子 ： 图 片 上 传 ， 我 上 传 一 个 带 木 马 的 图 片 ， 与 一 个 正 常 的 图 片 图 一 木 马 图 片 ： 图 二 正 常 图 片 ： 正 常 图 片 按 理 说 会 通 过 W A F 的 正 则 检 测 ， 但 是 包 在 转 递 的 时 候 会 将 图 片 转 码 ， 会 触 发 W A F 的 L F I 规 则 图 三 正 常 图 片 ： 这 时 候 也 同 样 会 造 成 误 报 。 针 对 这 个 问 题 ， 我 特 意 请 教 了 m o d s e c 的 研 发 者 ， 他 的 解 决 方 案 是 不 抓 图 片 的 包 ， 但 是 实 际 上 不 容 易 实 现 ， 而 且 一 旦 发 生 攻 击 ， 会 造 成 很 大 影 响 。 于 是 我 自 行 做 了 解 决 方 案 ： 规 则 不 变 ， 将 图 片 上 传 的 U R L 做 仅 检 测 处 理 ， 监 控 中 重 点 监 控 。 E L K 关 联 到 z a b b i x ， 通 过 z a b b i x 进 行 微 信 告 警 。 一 旦 有 图 片 触 发 告 警 策 略 ， 第 一 时 间 查 看 是 否 合 规 。 图 片 上 传 被 触 发 的 几 率 大 概 是 1 % ， 所 以 不 用 担 心 频 繁 告 警 。
很 多 规 则 其 实 都 是 需 要 适 应 业 务 的 ， 比 如 我 们 的 业 务 是 j a v a 语 言 写 的 ， 那 么 p h p 的 语 言 规 则 很 多 都 是 没 有 必 要 的 ， 要 适 当 删 减 掉 。 于 此 同 时 在 E L K 中 做 日 志 分 析 ， 取 t r a n s a c t i o n . m e s s a g e s : * 的 值 ， 因 为 m o d s e c 日 志 输 出 时 如 果 使 用 的 是 j s o n 格 式 ， 告 警 n a m e 就 是 t r a n s a c t i o n . m e s s a g e s ， 取 他 所 有 的 值 用 作 分 析 ， 如 果 做 触 发 数 量 统 计 便 可 以 取 值 中 的 m e s s a g e 字 段 。 在 m a t c h 字 段 中 是 匹 配 到 的 正 则 表 达 式 ， 在 这 里 可 以 判 断 触 发 是 否 合 理 ， f i l e 字 段 是 正 则 表 达 式 所 在 的 文 件 ， 可 以 对 规 则 进 行 修 改 ， r u l e I d 是 规 则 标 号 ， 可 以 直 接 过 滤 掉 此 条 规 则 ， 之 后 将 不 在 对 此 I D 的 规 则 进 行 检 测 。
正 常 业 务 大 概 需 要 试 运 行 1 个 月 ， 谨 记 ， 监 控 一 定 要 做 到 位 ， 确 保 出 问 题 能 够 马 上 响 应 后 再 切 换 模 式 。 我 是 一 个 爱 折 腾 的 懒 人 ， 不 甘 心 打 酱 油 过 日 子 ， 谋 定 后 动 ， 稳 中 求 胜 ， 但 不 意 味 着 随 波 逐 流 ， 什 么 都 不 做 。 也 希 望 大 家 能 找 到 自 己 存 在 的 意 义 ， 找 到 自 己 最 喜 欢 的 工 作 方 式 。 * 本 文 作 者 ： 本 文 作 者 ： 煜 阳 煜 阳 y u y a n g ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理