एनजीआईएनएक्स के लिए न्यू नेमेसीडा डब्ल्यूएएफ फ्री बिल्ड

पिछले साल, हमने एनजीआईएनएक्स के लिए एक डायनामिक मॉड्यूल नेमेसीडा डब्ल्यूएएफ फ्री जारी किया, जो वेब अनुप्रयोगों पर हमलों को रोकता है। मशीन लर्निंग पर आधारित वाणिज्यिक संस्करण के विपरीत, मुफ्त संस्करण केवल हस्ताक्षर विधि का उपयोग करके अनुरोधों का विश्लेषण करता है।

निमेसिडा WAF 4.0.129 की रिलीज़ की विशेषताएं

वर्तमान रिलीज़ से पहले, नेमेसिडा WAF डायनामिक मॉड्यूल ने केवल Nginx Stable 1.12, 1.14 और 1.16 का समर्थन किया था। 1.17.10 (R18) से शुरू होने वाली नई रिलीज ने 1.17 से शुरू होने वाले नेग्नेक्स मेनलाइन और नेजिनक्स प्लस के लिए समर्थन जोड़ा है।

क्यों एक और WAF?

NAXSI और mod_security शायद सबसे लोकप्रिय मुक्त WAF मॉड्यूल हैं, और mod_security को Nginx द्वारा सक्रिय रूप से बढ़ावा दिया जाता है, हालांकि यह मूल रूप से केवल Apache2 में उपयोग किया गया था। दोनों समाधान दुनिया भर में स्वतंत्र, खुले स्रोत और कई उपयोगकर्ता हैं। Mod_security, free और Commercial, $ 500 प्रति वर्ष के लिए, NAXSI के लिए, सिग्नेचर सेट उपलब्ध हैं - साइन आउट का एक निशुल्क सेट, आप अतिरिक्त नियम सेट जैसे doxsi भी पा सकते हैं।

इस साल हमने NAXSI और नेमेसीडा WAF फ्री के प्रदर्शन की तुलना की । संक्षेप में परिणामों के बारे में:

• NAXSI कुकी में डबल URL डिकोड निष्पादित नहीं करता है
• NAXSI को कॉन्फ़िगर करने में बहुत लंबा समय लगता है - डिफ़ॉल्ट रूप से, एक वेब एप्लिकेशन (प्राधिकरण, किसी प्रोफ़ाइल या सामग्री का संपादन, चुनाव में भाग लेना, आदि) के साथ काम करते समय डिफ़ॉल्ट नियम सेटिंग्स अधिकांश कॉल को ब्लॉक कर देंगी और अपवाद सूचियों को उत्पन्न करना आवश्यक है, जो सुरक्षा को प्रभावित करता है। साइट के साथ काम करते समय डिफ़ॉल्ट सेटिंग्स के साथ निमेसिडा WAF फ्री ने कोई झूठी सकारात्मक प्रदर्शन नहीं किया।
• NAXSI द्वारा मिस्ड हमलों की संख्या कई गुना अधिक है, आदि।

नुकसान के बावजूद, NAXSI और mod_security के पास कम से कम दो फायदे हैं - खुला स्रोत और बड़ी संख्या में उपयोगकर्ता। हम स्रोत कोड का खुलासा करने के विचार का समर्थन करते हैं, लेकिन अभी तक हम इसे वाणिज्यिक संस्करण के "पायरेसी" के साथ संभावित समस्याओं के कारण नहीं कर सकते हैं, लेकिन इस खामी की भरपाई के लिए, हम पूरी तरह से हस्ताक्षर सेट की सामग्री का खुलासा करते हैं। हम गोपनीयता को महत्व देते हैं और प्रॉक्सी सर्वर का उपयोग करके इसे स्वयं सत्यापित करने की पेशकश करते हैं।

निमेसिडा WAF नि: शुल्क सुविधा:

• झूठी सकारात्मक और गलत नकारात्मक की एक न्यूनतम के साथ उच्च गुणवत्ता वाले हस्ताक्षर डेटाबेस।
• रिपॉजिटरी से स्थापना और अद्यतन (यह त्वरित और सुविधाजनक है);
• NAXSI जैसी घटनाओं के बारे में सरल और समझने योग्य घटनाएँ, गड़बड़ नहीं;
• पूरी तरह से मुक्त, यातायात, आभासी मेजबानों, आदि की मात्रा पर कोई प्रतिबंध नहीं है।

अंत में, मैं WAF के प्रदर्शन का मूल्यांकन करने के लिए कुछ प्रश्न दूंगा (यह प्रत्येक क्षेत्र में उपयोग करने के लिए अनुशंसित है: URL, ARGS, हेडर और बॉडी):

')) un","ion se","lect 1,2,3,4,5,6,7,8,9,0,11#"]
')) union/**/select/**/1,/**/2,/**/3,/**/4,/**/5,/**/6,/**/7,/**/8,/**/9,/**/'some_text',/**/11#"]
union(select(1),2,3,4,5,6,7,8,9,0x70656e746573746974,11)#"]
')) union+/*!select*/ (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
')) /*!u%6eion*/ /*!se%6cect*/ (1),(2),(3),(4),(5),(6),(7),(8),(9.),(0x70656e746573746974),(11)#"]
')) %2f**%2funion%2f**%2fselect (1),(2),(3),(4),(5),(6),(7),(8),(9),(0x70656e746573746974),(11)#"]
%5B%221807182982%27%29%29%20uni%22%2C%22on
%20sel%22%2C%22ect%201%2C2%2C3%2C4%2C5%2C6%2C7%2C8%2C9%2C%2some_text%27%2C11%23%22%5D
cat /et?/pa?swd
cat /et'c/pa'ss'wd
cat /et*/pa**wd
e'c'ho 'swd test pentest' |awk '{print "cat /etc/pas"$1}' |bas'h
c\a\t \/\e\t\c/\p\a\s\sw\d
cat$u+/etc$u/passwd$u
<svg/onload=alert()//

यदि अनुरोधों को अवरुद्ध नहीं किया जाता है, तो, सबसे अधिक संभावना है, WAF भी एक वास्तविक हमले को याद करेगा। उदाहरणों का उपयोग करने से पहले, सुनिश्चित करें कि WAF वैध अनुरोधों को अवरुद्ध नहीं करता है।