Что такое WAF и как с ним работать. Показываем на примере уязвимого веб-приложения15.05.2024 11:16

Информационная безопасность веб-приложений за последние несколько лет стала, наверное, одним из ключевых вопросов в IT. Для компаний стабильность работы систем — это репутация и отсутствие лишних издержек. Ежегодная статистика больших ИБ-компаний говорит о росте количества и качества атак.

Ранее в статье я рассказывал о защите веб-приложений с помощью систем класса IDPS. Сегодня — хочу поделиться информацией о том, как работать с WAF. В статье постараюсь оттолкнуться от теории и перейти к вопросу настройки. Будем запускать два сервера, где один будет атаковать, а второй — защищаться с помощью WAF. Надеюсь, текст станет доступным входом для инженеров, которые ранее не задумывались о работе с WAF из-за непонятности этого типа систем. Интересно? Тогда добро пожаловать под кат!

Если у вас уже есть опыт настройки WAF, поделитесь им в комментариях! Расскажите о сильных и слабых сторонах этой системы.

Используйте навигацию, если не хотите читать текст полностью:

→ Откуда ноги растут: уязвимости веб-сервисов
→ Знакомство с open-appsec
→ Тестирование open-appsec
→ Выводы

Откуда ноги растут: уязвимости веб-сервисов

Для начала определимся, с чем придется работать. Как известно, к инцидентам ИБ приводит такая цепочка: Система → Нарушитель → Угроза → Уязвимость → Эксплуатация уязвимости.

Система — наше потенциальное веб-приложение.
Нарушитель — злоумышленник.
Угроза — потенциальная возможность нанести ущерб нашей системе.
Уязвимость — недостаток системы, с помощью которого можно реализовать угрозу.
Эксплуатация уязвимости — применение эксплоита для реализации угрозы.

Появление уязвимости веб-приложения — это, как правило, не внезапная проблема, а «изюминка», которая ожидает, что ее обнаружат. Есть несколько причин, из-за которых она появляется.

Причина 1. Плохая архитектура приложения

Если приложение монолитное или состоит из микросервисов, не разделенных на DMZ/не проводящих валидацию передаваемых данных, то воздействие на одни компоненты повлияет на работу других.

Причина 2. Архитектура просто не учитывает вопросы ИБ

Самый банальный случай — отсутствие валидации отправляемых данных. Эта проблема может привести к самому широкому списку инъекций. По сути, к любому результату, который можно представить.

Причина 3. Умышленное внедрение уязвимостей

Неблагонадежные сотрудники/партнеры также могут стать причиной появления уязвимостей в компонентах сервиса. Бывают истории из разряда «Блокбастер», когда особо продвинутые хактивисты, руководствующиеся принципом «Держи друзей близко, а врагов еще ближе», вступают в организацию и целенаправленно наносят вред.

Причина 4. Недостаточные компетенции в стеке технологий

Создание приложений без отраслевых best-practice, учета предыдущего опыта или рекомендаций вендоров может существенно снизить уровень ИБ будущего приложения. Желательно, чтобы эксперт был всегда под рукой — или на аутсорсе.

Причина 5. Некачественные и недостаточные тесты

Добавление инструментов статического и динамического анализа кода в пайплайн точно не будет лишним. Более того — поможет до публикации сервиса выявить потенциальные проблемы безопасности.

Причина 6. Уязвимости сторонних служб

Можно написать довольно безопасное приложение, но неправильно настроить окружение или не пропатчить вовремя службы. Все это приведет к эксплуатации уязвимостей. Записи на https://www.exploit-db.com/ тому подтверждение.

Причина 7. Уязвимости сторонних сервисов

Атаки вроде SSRF могут легко настигнуть ваше приложение, если вы обрабатываете запросы сторонних ресурсов без должной валидации. На вашей стороны эксплоиты могут казаться вполне легитимными запросами и не блокироваться никакими компонентами.

Если вам интересно, как классифицировать веб-уязвимости, обратитесь к актуальной редакции OWASP Top10.

Как можно понять, приведенные причины появления уязвимостей порождают все способы взлома, которые только можно встретить в рейтинге OWASP. Конечно, контролировать все — невозможно. На каком-то из этапов рано или поздно появится уязвимость и будет ждать своего — в лучше случае — «багхантера». Что делать? Спойлер: использовать WAF!

WAF как защитник от эксплуатации уязвимостей

WAF (Web Application Firewall) — это класс решений, которые обеспечивают безопасность на уровне L7 модели OSI. Если очень коротко, WAF «смотрит» в протоколы прикладного уровня, например HTTP, и — в зависимости от содержимого метода, URI, заголовков, тела запроса — принимает решение, пропустить запрос или «отбросить».

Эволюцию WAF обычно описывают тремя поколениями:

1. WAF на основе регулярных выражений,

2. WAF со специальными выражениями (токенами) для каждого типа атаки,

3. WAF на основе методов машинного обучения.

Знакомство с open-appsec

В интернете много материалов о популярных open source-системах WAF. Решений довольно много, среди них — ModSecurity, Coraza, IronBee, WebKnight, Shadow Daemon, OctopusWAF и другие. По части из них репозитории давно не обновлялись, но их все равно активно используют для защиты большого числа веб-приложений.

Про ModSecurity написано больше всего, поэтому в рамках этой статьи рассмотрим одну из интересных альтернатив — open-appsec от компании CheckPoint. Между прочим, это технология третьего поколения WAF: внутри — ML-движок, который позволяет при минимальном пороге входа получить довольно эффективную защиту. Так что присаживайтесь поудобнее.

Основная функциональность open-appsec — community-версия на базе трех агентов WAG — доступна бесплатно, хорошо подходит для защиты небольших веб-сервисов. Решение поставляется для разворачивания в одном из трех сценариев: Kubernetes Ingress, Nginx Add-On, Kong API Gateway Add-On — и управляется с помощью конфигурационного файла или через веб-портал.

Если вы используете конфигурационный файл, то обеспечиваете полную автономность, если портал — удобную панель управления и дашборды из коробки. Кстати, для авторизации на портале достаточно учетной записи Google или GitHub. В community-версии доступны такие компоненты безопасности:

Web Application Attack Mitigation (ML-based WAF),
Web API Attack Mitigation (ML-based WAF),
IPS Engine with Snort 3.0 Support,
Rate Limiting,
Custom Source Identifiers (IP and XFF only).

Также доступны следующие опции управления:

Declarative code based deployment and configuration (DevOps style),
Web-based Management of Protected Assets & Policy (SaaS),
Web-based Event Management & Dashboards (SaaS),
Log Storage in the Cloud.

Поддержка в таком случае ограничена форумом, но вы можете бесплатно изучать инструкции по развертыванию WAF в различных сценариях и конфигурациях. Подробные инструкции доступны в официальной документации.

Тестирование open-appsec

Подготовка целевой схемы

В рамках этой статьи мы посмотрим, как с помощью open-appsec повысить безопасность веб-приложения. Уязвимую систему развернем в Docker-контейнере, используя репозиторий, а WAF — на отдельной виртуальной машине с установленным nginx. Злоумышленник будет хоститься на отдельном сервере.

В качестве уязвимого веб-приложения будем использовать OWASP JuiceShop. Оно представляет собой отличный «дуршлаг» для тестов, т. к. в нем уже заложены уязвимости из категорий XSS, CSRF, SSRF, SSTI, XXE, SQL Injections и других.

Создание виртуальной машины

1. Заходим в панель управления my.selectel.ru. Переходим из Облачной платформы в Серверы и нажимаем Создать сервер. Настраиваем конфигурацию — завершаем создание сервера.

2. Копируем IP-адрес и пароль от сервера, подключаемся по SSH. Ставим Docker и устанавливаем Docker-образ:

apt install docker.io -y

docker pull bkimminich/juice-shop

3. Запустим контейнер, указав порт доступа к приложению 8080, и проверяем доступность веб-приложения:

docker run --rm -p 8080:3000 bkimminich/juice-shop

curl http://localhost:8080

Создание хоста злоумышленника

1. Заходим в панель управления my.selectel.ru. Переходим из Облачной платформы в Образы и нажимаем Создать образ. В качестве образа выбираем Kali Linux, установленный с официального сайта, — в нем есть все необходимые инструменты для работы.

2. Переходим из Облачной платформы в Серверы и нажимаем Создать сервер. В качестве операционной системы указываем погруженный образ:

Настройка облачного файрвола

Сейчас опубликовано уязвимое приложение. Чтобы его никто кроме нас не поломал, ограничим к нему доступ из интернета с помощью облачного межсетевого экрана. Решение бесплатно для всех пользователей облачной платформы.

1. Заходим в панель управления my.selectel.ru. Переходим из Облачной платформы в Файрволы и нажимаем Создать файрвол.

2. Добавляем правила Входящего трафика, ограничивая доступ к тестовому стенду. Разрешаем подключения только с доверенных белых IP-адресов, остальные запросы — отбрасываем.

Правила входящего трафика.

3. Наружу разрешаем выход в интернет только для NAT-сети, в которой расположены хосты стенда.

Правила исходящего трафика.

Отлично — стенд готов, WAF поставим позже.

Разбор техник взлома приложений

Теперь покажу эксплуатацию уязвимостей веб-приложения, которые входят в OWASP Top10. В JuiceShop есть раздел со списком уязвимостей — его можно найти по пути /score-board.

Раздел со списком уязвимостей.

Возьму три задачи с разным типом уязвимостей и применю к приложению.

1. DOM XSS. В поле поиска добавляем тег iframe с вызовом алерта:


</code></pre>

<p><br /></p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/a95/440/c1f/a95440c1fd219ce779de4fba8b94f1e7.png" alt="a95440c1fd219ce779de4fba8b94f1e7.png" /></div>

<p><br />Видим, что&nbsp;XSS действительно есть и&nbsp;готова к&nbsp;эксплуатации.</p>

<p>2. <b>Login Admin.</b> В&nbsp;форме авторизации пропишем простую SQL-инъекцию для&nbsp;обхода авторизации и&nbsp;зайдем под&nbsp;админом. Как&nbsp;видим, особого труда это не&nbsp;составило: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/6f7/76e/c30/6f776ec30832493748afb0f9e88d4bad.png" alt="6f776ec30832493748afb0f9e88d4bad.png" /></div>

<p><br /></p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/992/703/0ca/9927030ca6c7144eda82300b37f02442.png" alt="9927030ca6c7144eda82300b37f02442.png" /></div>

<p><br />3. <b>Password Strength.</b> Далее попробуем авторизоваться под&nbsp;админом без&nbsp;использования инъекций&nbsp;— очевидно, понадобится сбрутить пароль. В&nbsp;burpsuite перехватываю попытку авторизации и&nbsp;отправляю в&nbsp;Intruder: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/91d/a80/5b4/91da805b40c0f26b05630d0c71f77357.png" alt="91da805b40c0f26b05630d0c71f77357.png" /></div>

<p><br />Параметру email задаю значение admin@juice-sh.op, а&nbsp;password буду брутить списком паролей. Подошло значение admin123, с&nbsp;которым можно авторизоваться как&nbsp;админ, при&nbsp;этом без&nbsp;инъекций: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/721/7f3/b56/7217f3b56e230b96f87d9bfcc9826dc1.png" alt="7217f3b56e230b96f87d9bfcc9826dc1.png" /></div>

<p><br />Как&nbsp;видим, приложение ломается. Теперь необходимо предпринять меры для&nbsp;закрытия этих уязвимостей с&nbsp;помощью WAF.</p>

<h3>Настройка WAF для&nbsp;защиты</h3>

<p><br />Техники взлома понятны. Представим, что&nbsp;разработчики приложения по&nbsp;объективным причинам не&nbsp;закрыли уязвимости, а&nbsp;оставлять приложение в&nbsp;таком виде нельзя. В&nbsp;данном случае нам поможет open-asspec.</p>

<p>1. По&nbsp;аналогии с&nbsp;хостом приложения. Заходим в&nbsp;панель управления <b>my.selectel.ru</b>. Переходим из&nbsp;<b>Облачной платформы</b> в&nbsp;<b>Серверы</b> и&nbsp;нажимаем <b>Создать сервер</b>. Настраиваем конфигурацию&nbsp;— завершаем создание сервера.</p>

<p>2. Копируем IP-адрес и&nbsp;пароль от&nbsp;сервера, подключаемся по&nbsp;SSH. Устанавливаем nginx: </p>

<pre><code class="plaintext">apt install nginx -y
</code></pre>

<p><br />3. Публикуем приложение через&nbsp;nginx. Для&nbsp;этого создаем файл juiceshop.conf и&nbsp;добавляем в&nbsp;него конфигурацию: </p>

<pre><code class="plaintext">nano /etc/nginx/sites-available/juiceshop.conf
</code></pre>

<pre><code class="plaintext">server {
    listen 80;
    server_name juiceshop.test;
    location / {
        proxy_set_header X-Real-IP  $remote_addr;
        proxy_set_header X-Forwarded-For $remote_addr;
        proxy_set_header Host $host;
        proxy_pass http://192.168.0.3:8080;
    }
    location ~ /\. {
        deny all;
    }
}
</code></pre>

<p><br />4. Создаем ссылку на&nbsp;конфигурацию и&nbsp;устанавливаем агент open-appsec: </p>

<pre><code class="plaintext">ln -s /etc/nginx/sites-available/juiceshop.conf /etc/nginx/sites-enabled/juiceshop.conf
</code></pre>

<pre><code class="plaintext">wget https://downloads.openappsec.io/open-appsec-install && chmod +x open-appsec-install
</code></pre>

<pre><code class="plaintext">open-appsec for NGINX, Kong and APISIX Installer v1.2245.1
For release notes and known limitations check:
https://docs.openappsec.io/release-notes
Searching local NGINX…
nginx version found: 1.18.0-0ubuntu1.4
Downloading open-appsec NGINX attachment... stored in '/tmp/open-appsec'
Downloading open-appsec agent... stored in '/tmp/open-appsec'
Add your email to receive important security updates and so you can approach us with technical questions (enter IGNORE to ignore):
IGNORE
Installing open-appsec for NGINX...
Updating NGINX server configuration...
Starting open-appsec installation...
Successfully installed open-appsec...
For release notes and known limitations check: https://docs.openappsec.io/release-notes
For troubleshooting and support: https://openappsec.io/support
</code></pre>

<p><br />Теперь по&nbsp;расположению /etc/cp/ доступны каталоги и&nbsp;файлы агента open-appsec.</p>

<p>5. Далее нужно подключить open-appsec к&nbsp;порталу. Для&nbsp;этого проходим авторизацию на&nbsp;портале <b>https://www.openappsec.io</b> и&nbsp;создаем агента. Переходим в&nbsp;<b>Getting Started</b>, в&nbsp;разделе <b>Central Management</b> выбираем »<b>Managed → Linux Embedded Agent Profile</b>». В&nbsp;качестве имени пишем «Test Agent», в&nbsp;поле <b>Agent Upgrade</b> выставляем в&nbsp;«Manual», а&nbsp;в&nbsp;<b>Deployment</b> выбираем «NGINX application security»: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/381/2d1/95d/3812d195d310a9e03557426ad808d36a.png" alt="3812d195d310a9e03557426ad808d36a.png" /></div>

<p><br />6. В&nbsp;разделе Management выбираем способ задания политик и&nbsp;определения агентов, «This management». И&nbsp;на&nbsp;виртуальной машине с&nbsp;nginx выполняем две команды для&nbsp;подключения агента к&nbsp;порталу: </p>

<pre><code class="plaintext">Uploading local policy configuration to cloud...
...
Registering open-appsec Nano Agent to Fog..
open-appsec Nano Agent is registered to https://inext-agents.cloud.ngen.checkpoint.com
Orchestration mode changed successfully
</code></pre>

<p><br />Если все прошло успешно, то&nbsp;вы получите такое уведомление, а&nbsp;в&nbsp;разделе Agents будет информация об&nbsp;инстансе: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/61e/76b/5d1/61e76b5d1869b3ea7070f65841ad7938.png" alt="61e76b5d1869b3ea7070f65841ad7938.png" /></div>

<p><br /><i>Уведомление.</i></p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/321/352/553/321352553d190c5aa6fb4c44898c0f2d.png" alt="321352553d190c5aa6fb4c44898c0f2d.png" /></div>

<p><br /><i>Информация об&nbsp;инстансе.</i></p>

<p>6. Далее включаем отправку логов на&nbsp;портал. В&nbsp;разделе <b>Assets</b> после подключения агента появился новый ресурс. Переходим в&nbsp;его свойства. В&nbsp;<b>General → Basic</b> видно прилинкованный профиль: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/f16/ba9/a97/f16ba9a97362836ff666d8ed797684c4.png" alt="f16ba9a97362836ff666d8ed797684c4.png" /></div>

<p><br />В&nbsp;<b>General → Web Application</b> указано, что&nbsp;агент будет пропускать трафик ко&nbsp;всем опубликованным по&nbsp;HTTP-ресурсам: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/eac/08d/250/eac08d250088d0fe759603f6660e92b4.png" alt="eac08d250088d0fe759603f6660e92b4.png" /></div>

<p><br />В&nbsp;<b>General → Source Identity</b> и&nbsp;<b>Trusted Sources</b> можно поменять способы определения источников подключения к&nbsp;защищаемым ресурсам, а&nbsp;также указать доверенные источники: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/921/b4e/e76/921b4ee7685d5704aa9e2ba1d77c9d1a.png" alt="921b4ee7685d5704aa9e2ba1d77c9d1a.png" /></div>

<p><br />В&nbsp;разделе <b>Threat Prevention</b> можно управлять компонентами защиты приложений, указыв режим обучения/обнаружения или&nbsp;предотвращения. Для&nbsp;начала оставим все в&nbsp;режиме обучения, а&nbsp;далее изменим на&nbsp;предотвращение.</p>

<p>В&nbsp;разделе <b>Learn</b> пока есть информация о&nbsp;том, что&nbsp;трафика еще не&nbsp;было. В&nbsp;<b>Rate Limit</b> можно выставлять ограничения пропускной способности для&nbsp;доступа к&nbsp;защищаемому приложению, а&nbsp;в&nbsp;<b>Triggers</b> после подключения агента была создана политика.</p>

<p>Обучение WAF идет с&nbsp;помощью ML-модели, которая доступна в&nbsp;разделе <b>Account → Download advanced ML model</b>. Если нужно добавить свои правила, это можно сделать в&nbsp;разделе <b>Assets → Custom rules and exceptions</b>. Важно: защищать можно и&nbsp;API, если создать отдельные ресурсы в&nbsp;разделе <b>Assets</b>.</p>

<p>7. Применить политику для&nbsp;агента.</p>

<p>В&nbsp;разделе <b>Behaviors</b> можно настраивать кастомные страницы ответа при&nbsp;запрете доступа к&nbsp;защищаемому ресурсу силами агента open-appsec. В&nbsp;этой политике включаем отправку логов на&nbsp;портал, а&nbsp;также расширенное логирование URL path, URL query, HTTP headers и&nbsp;Request body.</p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/07b/127/039/07b127039fb63894d623e007ac6e4954.png" alt="07b127039fb63894d623e007ac6e4954.png" /></div>

<p><br />8. Просканируем приложение с&nbsp;помощью сканеров в&nbsp;Kali Linux.</p>

<p>Теперь с&nbsp;виртуальной машины Kali можно обращаться к&nbsp;уязвимому приложению двумя способами: непосредственно по&nbsp;адресу http://192.168.0.3:8080 или&nbsp;через&nbsp;nginx с&nbsp;open-appsec (http://juiceshop.test).</p>

<p>Для&nbsp;обучения WAF необходимо сгенерировать разный вид трафика. Для&nbsp;этого на&nbsp;виртуальной машине Kali в&nbsp;/etc/hosts добавим запись: </p>

<pre><code class="plaintext">192.168.0.100        juiceshop.test
</code></pre>

<p><br />Запустим сканирование с&nbsp;помощью nikto, о&nbsp;примере работы с&nbsp;которым я&nbsp;писал ранее в&nbsp;статье: </p>

<pre><code class="plaintext">nikto -h http://juiceshop.test –output report.html
</code></pre>

<p><br />В&nbsp;веб-панели должно появиться сообщение о&nbsp;начале обучения ресурса: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/494/84e/636/49484e6368399242f6e519f151a88430.png" alt="49484e6368399242f6e519f151a88430.png" /></div>

<p><br />Следить за&nbsp;прогрессом можно в&nbsp;разделе <b>Assets → Learn</b>. Сам процесс обучения ML-движка подробно описан <b>на&nbsp;сайте open-appsec</b>.</p>

<p>Дополнительно сгенерируем трафик с&nbsp;помощью nmap и&nbsp;skipfish: </p>

<pre><code class="plaintext">nmap -sV --script=http-enum juiceshop.test
</code></pre>

<pre><code class="plaintext">skipfish -o res http://juiceshop.test
</code></pre>

<p><br />Тем временем во&nbsp;время сканирования JuiceShop сообщает об&nbsp;успешном прохождении заданий: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/123/452/f8d/123452f8d1e9f2ff3a817f5920d3cb1b.png" alt="123452f8d1e9f2ff3a817f5920d3cb1b.png" /></div>

<p><br />Далее запущу сканирование с&nbsp;помощью замечательного инструмента commix: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/a79/49f/ecd/a7949fecd63056519a314398dff4f227.png" alt="a7949fecd63056519a314398dff4f227.png" /></div>

<p><br />То&nbsp;же самое можно сделать из&nbsp;консоли: </p>

<pre><code class="plaintext">commix -u http://juiceshop.test --level 3
</code></pre>

<p><br />В&nbsp;итоге у&nbsp;WAF есть определенная статистика, которую можно наращивать дальше: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/9b9/005/512/9b9005512b6679c87454ea100f50fdeb.png" alt="9b9005512b6679c87454ea100f50fdeb.png" /></div>

<p><br /></p>

<h3>Повторные тесты эксплуатации уязвимостей</h3>

<p><br />Пришло время на&nbsp;обученном WAF повторить те же атаки. Для&nbsp;начала в&nbsp;разделе <b>Assets → Threat </b><b>Prevention</b> переключим режим из&nbsp;<b>Learn/Detect</b> в&nbsp;<b>Prevent</b> для&nbsp;параметров <b>Web Attacks</b> и&nbsp;<b>Intrusion Prevention</b>. А&nbsp;далее применим политику и&nbsp;повторно выполним атаку на&nbsp;тестовое приложение через&nbsp;<b>http://juiceshop.test</b> и&nbsp;посмотрим на&nbsp;результат.</p>

<p>1. <b>DOM XSS.</b> WAF детектирует XSS в&nbsp;POST-запросе: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/13d/bc8/965/13dbc89655a20b5e4d7477bc3d3ce037.png" alt="13dbc89655a20b5e4d7477bc3d3ce037.png" /></div>

<p><br />2. <b>Login Admin.</b> Повторные попытки обхода авторизации не&nbsp;дают результата, а&nbsp;в&nbsp;разделе <b>Monitoring</b> появились такие события: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/922/661/467/9226614673fd0e0075d0ebbbea1f5896.png" alt="9226614673fd0e0075d0ebbbea1f5896.png" /></div>

<p><br />В&nbsp;карточке инцидента есть много полезной информации, в&nbsp;т. ч. об&nbsp;источнике, используемой нагрузке и&nbsp;сработанном индикаторе атаки: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/667/057/138/667057138320dd33894717d0a92bfb7c.png" alt="667057138320dd33894717d0a92bfb7c.png" /></div>

<p><br />Попытки обойти WAF с&nbsp;помощью альтернативных запросов также блокируются: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/53b/64f/d09/53b64fd09cfbf86a91988de7cd5cac5e.png" alt="53b64fd09cfbf86a91988de7cd5cac5e.png" /></div>

<p><br /></p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/e60/9a7/529/e609a752969ae2c8785e5176455faebc.png" alt="e609a752969ae2c8785e5176455faebc.png" /></div>

<p><br /></p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/f68/348/65a/f6834865ad4244a72783d7e087f65889.png" alt="f6834865ad4244a72783d7e087f65889.png" /></div>

<p><br />Попытка передать нагрузку в&nbsp;BASE-64 также блокируется. WAF декодирует нагрузку и&nbsp;также обнаруживает атаку: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/c79/f57/5de/c79f575deb53834e6351319e76790898.png" alt="c79f575deb53834e6351319e76790898.png" /></div>

<p><br />Open-appsec периодически запрашивает уточнение по&nbsp;отнесению запросов источников к&nbsp;легитимной или&nbsp;вредоносной активности: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/a29/5b9/102/a295b9102cb629e5347a671acae144ec.png" alt="a295b9102cb629e5347a671acae144ec.png" /></div>

<p><br />Это позволяет сделать обучение более эффективным с&nbsp;меньшим количеством false positive-событий.</p>

<p>3. <b>Password Strength.</b> Для&nbsp;предотвращения атак типа брутфорса можно, например, создать правило в&nbsp;разделе Rate Limit: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/726/b20/31b/726b2031b311ce5399562fd37524aa59.png" alt="726b2031b311ce5399562fd37524aa59.png" /></div>

<p><br /></p>

<h3>Сбор статистики отраженных атак</h3>

<p><br />Для&nbsp;наглядности запущу повторное сканирование с&nbsp;помощью commix, когда WAF работает в&nbsp;режиме Prevent. Если запустить сниффинг входящего трафика на&nbsp;интерфейсах сервера с&nbsp;WAF и&nbsp;сервера с&nbsp;приложением в&nbsp;контейнере, можно понять, что&nbsp;до&nbsp;второго хоста arp-запросы не&nbsp;доходят.</p>

<p>На&nbsp;портале можно посмотреть статистику отраженных атак в&nbsp;разделе <b>Monitoring</b>: </p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/d83/ea2/8c2/d83ea28c217b325332012db51fecead4.png" alt="d83ea28c217b325332012db51fecead4.png" /></div>

<p><br />Как&nbsp;и&nbsp;указывал выше, по&nbsp;каждому событию можно найти подробную информацию об&nbsp;источнике, типе атаки и&nbsp;используемой нагрузке. Также можно локально управлять агентом. Приведу несколько команд.</p>

<p>Просмотр политики: </p>

<pre><code class="plaintext">open-appsec-ctl -vp
</code></pre>

<p><br />Просмотр логов: </p>

<pre><code class="plaintext">open-appsec-ctl -vl
</code></pre>

<p><br /></p>

<h3>Тестирование обхода WAF</h3>

<p><br />Отлично&nbsp;— WAF из&nbsp;коробки после небольшого обучения (без&nbsp;качественных сигнатур) детектирует и&nbsp;отражает атаки. Но&nbsp;давайте попробует его обойти с&nbsp;помощью waf-bypass.</p>

<p>1. Клонируем репозиторий и&nbsp;запускаем решение локально на&nbsp;Kali Linux: </p>

<pre><code class="plaintext"># git clone https://github.com/nemesida-waf/waf_bypass.git /opt/waf-bypass/
# python3 -m pip install -r /opt/waf-bypass/requirements.txt
# python3 /opt/waf-bypass/main.py --host='example.com'
</code></pre>

<p><br />2. Запускаем waf-bypass: </p>

<pre><code class="plaintext">python3 /opt/waf-bypass/main.py –host=’juiceshop.test’
</code></pre>

<p><br />3. Проведем тестирование в&nbsp;два этапа: режиме Learn/Detect и&nbsp;Prevent.</p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/20a/b0e/87e/20ab0e87ef659f72641391ad7d1f07cb.png" alt="20ab0e87ef659f72641391ad7d1f07cb.png" /></div>

<p><br /><i>Тест Learn/Detect.</i></p>

<div><img src="https://habrastorage.org/r/w1560/getpro/habr/post_images/07e/682/514/07e6825143fcb9fe47d17f06f0ecea2e.png" alt="07e6825143fcb9fe47d17f06f0ecea2e.png" /></div>

<p><br /><i>Тест Prevent.</i></p>

<p>Как&nbsp;видно, результат есть, но&nbsp;не&nbsp;100%. Чтобы это исправить, можно перейти на&nbsp;расширенную AI-модель, продолжить обучать модель или&nbsp;добавить кастомные правила.</p>

<h2>Выводы</h2>

<p><br />Как&nbsp;видим, WAF open-appsec из&nbsp;коробки не&nbsp;гарантирует 100% результат, но&nbsp;ощутимо повышает уровень защищенности приложения. В&nbsp;большинстве случаев решение закроет недостатки в&nbsp;безопасности веб-приложения, но&nbsp;расслабляться и&nbsp;пренебрегать архитектурой нельзя.</p>

<p>Open-appsec поможет с&nbsp;минимальными усилиями добавить довольно крепкий эшелон безопасности. Однако для&nbsp;более эффективной защиты необходима тонкая настройка с&nbsp;учетом набора допустимых запросов в&nbsp;вашем сервисе.</p>
    
        <p class="copyrights">
        <span class="source">
            <a target="_blank" rel="nofollow" href="https://habr.com/ru/companies/selectel/articles/814183/?utm_source=habrahabr&amp;amp;utm_medium=rss&amp;amp;utm_campaign=814183">Habrahabr.ru</a>
        </span>
        <span class="readBy">прочитано <span class="top20-number">3266</span> раз </span>
    </p>
                </div>
                                                    
            <br>
            <!--<div align="left">
                <script type="text/topadvert">
                load_event: page_load
                feed_id: 12105
                pattern_id: 8187
                tech_model:
                </script><script type="text/javascript" charset="utf-8" defer="defer" async="async" src="//loader.topadvert.ru/load.js"></script>
            </div>
            <br>-->

            <div style="padding-left: 20px;">
                <script async src="https://pagead2.googlesyndication.com/pagead/js/adsbygoogle.js?client=ca-pub-2514821055276660"
                        crossorigin="anonymous"></script>
                <!-- PCNews 336x280 -->
                <ins class="adsbygoogle"
                     style="display:block"
                     data-ad-client="ca-pub-2514821055276660"
                     data-ad-slot="1200562049"
                     data-ad-format="auto"></ins>
                <script>
                    (adsbygoogle = window.adsbygoogle || []).push({});
                </script>
            </div>
            <!-- comments -->
                            <noindex>
                    <div style="margin: 25px;" id="disqus_thread"></div>
                    <script type="text/javascript">
                        var disqus_shortname = 'pcnewsru';
                        var disqus_identifier = '1445125';
                        var disqus_title = 'Что такое WAF и как с ним работать. Показываем на примере уязвимого веб-приложения';
                        var disqus_url = 'http://pcnews.ru/top/blogs/day/cto_takoe_waf_i_kak_s_nim_rabotat_pokazyvaem_na_primere_uazvimogo_veb_prilozenia-1445125.html';

                        (function() {
                            var dsq = document.createElement('script'); dsq.type = 'text/javascript'; dsq.async = true;
                            dsq.src = '//' + disqus_shortname + '.disqus.com/embed.js';
                            (document.getElementsByTagName('head')[0] || document.getElementsByTagName('body')[0]).appendChild(dsq);
                        })();
                    </script>
                    <!--<noscript>Please enable JavaScript to view the <a rel="nofollow" href="http://disqus.com/?ref_noscript">comments powered by Disqus.</a></noscript>-->
                    <!--<a href="http://disqus.com" rel="nofollow" class="dsq-brlink">comments powered by <span class="logo-disqus">Disqus</span></a>-->
                </noindex>
            
        </div>

        <br class="clearer"/>
    </div>
    <br class="clearer"/>

    

        <div id="footer-2nd"></div>

        <div id="footer">
            <br/><br/>
            <ul class="horz-menu">
                <li class="about"><a href="/info/about.html" title="О проекте">О
                        проекте</a></li>
                <li class="additional-menu"><a href="/archive.html" title="Архив материалов">Архив</a>
                </li>
                <li class="additional-menu"><a href="/info/reklama.html"
                                               title="Реклама" class="menu-item"><strong>Реклама</strong></a>
                    <a href="/info/partners.html" title="Партнёры"
                       class="menu-item">Партнёры</a>
                    <a href="/info/legal.html" title="Правовая информация"
                       class="menu-item">Правовая информация</a>
                    <a href="/info/contacts.html" title="Контакты"
                       class="menu-item">Контакты</a>
                    <a href="/feedback.html" title="Обратная связь" class="menu-item">Обратная
                        связь</a></li>
                <li class="email"><a href="mailto:pcnews@pcnews.ru" title="Пишите нам на pcnews@pcnews.ru"><img
                                src="/media/i/email.gif" alt="e-mail"/></a></li>
                <li style="visibility: hidden">
                    <noindex>
                        <!-- Rating@Mail.ru counter -->
                        <script type="text/javascript">
                            var _tmr = window._tmr || (window._tmr = []);
                            _tmr.push({id: "93125", type: "pageView", start: (new Date()).getTime()});
                            (function (d, w, id) {
                                if (d.getElementById(id)) return;
                                var ts = d.createElement("script");
                                ts.type = "text/javascript";
                                ts.async = true;
                                ts.id = id;
                                ts.src = (d.location.protocol == "https:" ? "https:" : "http:") + "//top-fwz1.mail.ru/js/code.js";
                                var f = function () {
                                    var s = d.getElementsByTagName("script")[0];
                                    s.parentNode.insertBefore(ts, s);
                                };
                                if (w.opera == "[object Opera]") {
                                    d.addEventListener("DOMContentLoaded", f, false);
                                } else {
                                    f();
                                }
                            })(document, window, "topmailru-code");
                        </script>
                        <noscript>
                            <div style="position:absolute;left:-10000px;">
                                <img src="//top-fwz1.mail.ru/counter?id=93125;js=na" style="border:0;" height="1"
                                     width="1" alt="Рейтинг@Mail.ru"/>
                            </div>
                        </noscript>
                        <!-- //Rating@Mail.ru counter -->

                    </noindex>
                </li>
            </ul>
        </div>

        <!--[if lte IE 7]>
        <iframe id="popup-iframe" frameborder="0" scrolling="no">