NGINX के लिए संरक्षण - NAXSI

NAXSI क्या है?

NAXSI = N GINX A NTI X SS & S QL इंजेक्शन
सीधे शब्दों में कहें, यह NGINX के लिए एक वेब एप्लिकेशन फ़ायरवॉल (WAF) है जो XSS, SQL इंजेक्शन, CSRF, स्थानीय और दूरस्थ फ़ाइल समावेशन के विरुद्ध सुरक्षा में मदद करता है।
इसकी विशिष्ट विशेषताएं गति और सेटअप में आसानी हैं। यह इसे एक अच्छा विकल्प बनाता है, जैसे mod_security और Apache।

NAXSI की आवश्यकता क्यों है?

जाहिर है, उपरोक्त हमलों से सही ढंग से लिखे गए कोड के साथ बचाव करना सबसे अच्छा है। लेकिन ऐसे हालात हैं जब WAF (और विशेष रूप से नक्ससी) मदद करेगा:

• साइट कोड की खराब गुणवत्ता, सब कुछ फेंकने और सामान्य रूप से फिर से लिखने की क्षमता / संसाधनों के अभाव में।
• "बंद" कोड जिसमें त्रुटियों को ठीक करना असंभव है।
• एक व्यावसायिक महत्वपूर्ण क्षेत्र में अज्ञात कोड गुणवत्ता।

स्थापना

उबंटू, डेबियन, Netbsd, Freebsd : एक पैकेज के रूप में उपलब्ध है।
उदाहरण के लिए, सर्वर ubunt 12.04 में यह करने के लिए पर्याप्त है

apt-get install nginx-naxsi 

अन्य लिनक्स सिस्टम:
यदि पैकेज अभी तक प्रकट नहीं हुए हैं, तो हम स्रोतों से nginx + naxsi एकत्र करते हैं:

 wget http://nginx.org/download/nginx-xxxx.tar.gz wget http://naxsi.googlecode.com/files/naxsi-x.xx.tar.gz tar xvzf nginx-xxxx.tar.gz tar xvzf naxsi-x.xx.tar.gz cd nginx-xxxx/ 

(xxxx के बजाय - वर्तमान संस्करण डालें)

हम जाँच करते हैं कि libpcre निर्भरताएँ हैं (वैकल्पिक, https के लिए libssl), और संकलन:

 ./configure --add-module=../naxsi-x.xx/naxsi_src/ [    nginx] make make install 

कैसे NAXSI काम करता है

NAXSI GET अनुरोध, HTTP हेडर (उदाहरण के लिए, कुकीज़) और नियम सेट के खिलाफ POST अनुरोध के मुख्य भाग की जाँच कर सकता है।
निषेध नियमों का मूल सेट काफी सरल है और विभिन्न "खतरनाक" वर्णों और sql कीवर्ड को प्रतिबंधित करता है।
नियमों का यह सेट काफी कठिन है, और कुछ मामलों में साइट के सही संचालन में हस्तक्षेप कर सकता है, इसलिए NAXSI के पास सफेद सूचियां हैं जो आपको आवश्यक संदर्भ में निषिद्ध वर्णों (नियमों) के उपयोग की अनुमति देती हैं।

अनुरोध की जांच करते समय, यह सभी निषेधात्मक नियमों के अनुसार चलाया जाता है, इसके संदर्भ के लिए श्वेतसूची वाले अपवादों के साथ, और "दंड" अंक की गणना छह श्रेणियों में की जाती है: $ SQL, $ XSS, $ RFI, $ TRAVERSAL, $ EVADE, $ UPLOAD।

यदि "दंड" अंक की संख्या दहलीज के स्तर से ऊपर है, तो अनुरोध को खतरनाक माना जाता है और कॉन्फ़िगरेशन में निर्दिष्ट डेनिडयूल पर पुनर्निर्देशित एक आंतरिक (nginx के लिए) किया जाता है। अवरुद्ध करने के कारण के बारे में विस्तृत जानकारी प्राप्त करने वाले मापदंडों के रूप में, आक्रामक यूआरएल का मूल यूआरएल और आईपी निर्दिष्ट यूआरएल को प्रेषित किया जाता है। निर्दिष्ट पते पर, आप 403 कर सकते हैं या बस वापस कर सकते हैं; या आपके NIDS सिस्टम में एक हमले के बारे में जानकारी जमा करता है।
NAXSI "सीखने" और "मुकाबला" मोड में काम कर सकता है।

लर्निंग मोड में, NAXSI स्वयं उपयोगकर्ता गतिविधि के आधार पर आपके लिए सफेद सूचियों का एक सेट तैयार कर सकता है। सीधे शब्दों में कहें, यदि उपयोगकर्ता अक्सर एक ही URL पर एक नियम का उल्लंघन करते हैं, तो नियम को श्वेत किया जाता है और अवरुद्ध नहीं किया जाता है। ये सूचियाँ स्नातक होने के बाद समीक्षा और समायोजन के लायक हैं।

युद्ध मोड में, उल्लंघन केवल DeniedUrl की ओर जाता है।

NAXSI को कॉन्फ़िगर करना

बुनियादी प्रतिबंधात्मक नियमों को शामिल करने के लिए नेगनेक्स कॉन्फ़िगरेशन को रद्द करें

 include /etc/nginx/naxsi_core.rules; 

अब वर्चुअल होस्ट कॉन्फ़िगरेशन में वांछित सेटिंग्स जोड़ें (मैं उन्हें एक अलग फ़ाइल में डालने और शामिल करने के माध्यम से जोड़ने की सलाह देता हूं):

 LearningMode; SecRulesEnabled; DeniedUrl "/RequestDenied"; #include "/etc/nginx/mynaxsi.rules"; ## check rules CheckRule "$SQL >= 8" BLOCK; CheckRule "$RFI >= 8" BLOCK; CheckRule "$TRAVERSAL >= 4" BLOCK; CheckRule "$EVADE >= 4" BLOCK; CheckRule "$XSS >= 8" BLOCK; 

आइए अधिक विवरणों में जांच करें कि इन आदेशों का क्या अर्थ है:

• LearningMode - लर्निंग मोड चालू है। अनुरोध अवरोधित नहीं हैं, एक श्वेतसूची उत्पन्न होती है।
• SecRulesEnabled - NAXSI इस स्थान के लिए सक्षम है। यदि हम इसे किसी अन्य स्थान (उदाहरण के लिए, एक संरक्षित आंतरिक क्षेत्र) के लिए बंद करना चाहते हैं, तो हम इसमें SecRulesDisabled बनाते हैं।
• मना किया गया - निषिद्ध अनुरोधों के लिए पुनर्निर्देशित URL।
• CheckRule - श्रेणी के अनुसार एक अनुरोध के "जुर्माना अंक" की जाँच करें।
• /etc/nginx/mynaxsi.rules - उत्पन्न नियम (अभी तक उत्पन्न नहीं - टिप्पणी की गई)।

श्वेत सूचियों को प्रशिक्षण मोड के आधार पर, या लॉग फ़ाइलों के विश्लेषण के माध्यम से बनाया जा सकता है।

नियमों और सूचियों के साथ काम कैसे करें, साथ ही साथ आंकड़े और बेंचमार्क भी देखें, मैं अगले लेख में बताऊंगा।

यदि आप NAXSI में रुचि रखते हैं, तो आप प्रोजेक्ट विकी पर अच्छा प्रलेखन पढ़ सकते हैं।