WAF для защиты web - приложений

WAF для защиты web-приложений

Тема вебинара

Антон Лукашов

Vulnerability Management Analyst

Соц. сети @Iookatshow

Маршрут занятия

WAF и с чем его едят

WAF в Enterprise

Известные WAF

ModSecuirty

Мониторинг и

Цель занятия

Поговорим о принципах работы WAF (open source, license)
Посмотрим на примере

WAF

WAF

Анализирует веб трафик приложения (L7, L3, L4)
Основывается на сигнатурах/правилах, аномалиях, нейросетях

В чём отличие WAF от IPS?

Как минимум:

OWASP Top 10
CWE
Концентрации на HTTP

WAF

WAF интеграция
Мост/Маршрутизатор
Reverse прокси-сервер
Встроенный

WAF защита

По модели защиты:
Основанный на сигнатуре (Signature-based)
Основанный на правилах (Rule-based)

WAF в Enterprise

WAF как усиление ИБ

Аналитика по аномалиям
Обогащение информацией об атаках или их

Защита WEB приложений

Виды WAF

Статический
Динамический

Проблемы WAF

Autoscale (не все обладают в рамках данной функции в рамках

WAF

WAF может содержать уязвимости. Например:
Mod Secuirty неправильная обработка cookie header (DOS)
F5

Bot protection

Замедление работы сайта
Взлом аккаунтов и кража банковских карт
Рекламный фрод
Кража контента
Парсинг

Критерии для сравнения WAF

Коммерческие WAF

Open Source WAF

Integrations

ModSecuirty (WAF)

ModSecuirty

Рассмотрим настройку WAF на примере ModSecuirty
Псс, хороший гайд по настройке и

Mod security

Логи которые формирует mod_security
/var/log/nginx/error.log
/ver/log/modsec_audit.log

OWASP Corerule Set

$ wget https://github.com/coreruleset/coreruleset/archive/v3.3.0.tar.gz

WAF

Запустим на 8080 порту XVWA (Ссылка на репозиторий)
sudo docker run

Cheat Sheets

Вспомогательные материалы для эксплуатации уязвимостей:
XSS(Гиперссылка)
SSTI(Гиперссылка)
XVWA(Гиперссылка)

WAF

На попытки эксплуатации уязвимостей ModSecurity отбивает ошибкой 403:

Вопрос: стоит ли рассматривать другие ошибки в качестве реакции WAF?

WAF Bypass

Технологии нормализации •
Использование новых техник эксплуатации уязвимостей в Web
-

WAF Bypass techniques

Рассмотрим некоторые из них:
Подстановочные символы
Не инициированные переменные
Тип контента
Конкатенация и

Неиницированные символы

Подстановочные символы

Конкатенация

Paranoia Level

Описание

Paranoia Level

WAF Bypass - PT Analysis

Много примеров

Недостатки ModSecuirty

Сложное администрирование большого набора правил
Ресурсоемкость

Детектировать WAF

Вопросы?

Ставим “+”,
если вопросы есть

Ставим “–”,
если вопросов нет

Домашнее задание

Эксплуатация уязвимостей и применение WAF-правил

Срок выполнения: 7 дней

Рефлексия

Рефлексия

С какими основными мыслями
и инсайтами уходите с вебинара?

Как будете применять на

Итоги

Поговорили о:
WAF в enterprise
особенностях функционирования WAF
ModSecurity

Заполните, пожалуйста,
опрос о занятии
по ссылке в чате