Веб-прикладные межсетевые экраны (WAF): что делают и как работают

Почему вашему веб-приложению нужно больше, чем просто межсетевой экран

У вас есть традиционный сетевой межсетевой экран, но ваше веб-приложение всё равно подвергается атакам. Почему? Потому что сетевые экраны работают на уровнях 3 и 4, проверяя IP-адреса и порты. Они не могут отличить легитимный запрос на вход от полезной нагрузки SQL-инъекции, скрытой в поле формы. Именно здесь на помощь приходит веб-прикладной межсетевой экран (WAF).

WAF располагается между вашими пользователями и веб-сервером, анализируя трафик HTTP/HTTPS на уровне 7. Он проверяет запросы и ответы на предмет шаблонов, указывающих на атаки, — таких как SQL-инъекции, межсайтовый скриптинг (XSS) или вредоносные загрузки файлов — и блокирует их до того, как они достигнут вашего приложения.

Что именно делает WAF?

Представьте WAF как охранника для вашего веб-трафика. Его основные функции включают:

• Фильтрация вредоносных запросов: он проверяет заголовки, cookie, строки запросов и тела POST на наличие известных сигнатур атак.
• Применение политик безопасности: вы определяете правила — например, блокировка запросов из определённых стран или ограничение размера запросов.
• Защита от OWASP Top 10: многие WAF поставляются с предварительно настроенными наборами правил для устранения распространённых уязвимостей, таких как инъекции, нарушение аутентификации и раскрытие конфиденциальных данных.
• Ограничение скорости и защита от ботов: он может ограничивать чрезмерные запросы с одного IP или блокировать известных вредоносных ботов.
• Логирование и оповещения: он записывает заблокированные запросы для анализа и может инициировать оповещения о подозрительной активности.

Важно отметить, что WAF — не серебряная пуля. Он дополняет практики безопасного кодирования, но не заменяет их. Однако правильно настроенный WAF может обеспечить критически важный уровень защиты, особенно для устаревших приложений или во время эксплойтов нулевого дня.

Как работают WAF: техническая основа

WAF анализируют трафик двумя основными методами: обнаружение на основе сигнатур и обнаружение на основе аномалий.

Обнаружение на основе сигнатур

Этот метод опирается на базу данных известных шаблонов атак. Например, правило может искать строку ' OR '1'='1 в параметре запроса, что является классической попыткой SQL-инъекции. WAF на основе сигнатур работают быстро и эффективно против известных угроз, но могут пропустить новые атаки.

Обнаружение на основе аномалий

WAF на основе аномалий создают базовый профиль нормального трафика и отмечают отклонения. Например, если пользователь внезапно отправляет POST-запрос размером 10 МБ на конечную точку входа, это аномально. Такой подход может выявить неизвестные атаки, но может генерировать ложные срабатывания.

Большинство современных WAF комбинируют оба метода, часто используя машинное обучение для повышения точности. Они также разбирают HTTP-запросы на компоненты (метод, URL, заголовки, тело) и применяют правила к каждой части.

Варианты развертывания: где размещается WAF?

Вы можете развернуть WAF несколькими способами, каждый из которых имеет свои компромиссы:

Для большинства современных веб-приложений практичным выбором является облачный WAF или хостовое решение, такое как ModSecurity. Облачные WAF особенно привлекательны для небольших команд, поскольку они берут на себя управление инфраструктурой и обновление правил.

Ключевые наборы правил WAF и основной набор правил OWASP

Если вы используете ModSecurity, вы, скорее всего, будете использовать его вместе с OWASP Core Rule Set (CRS). CRS — это набор общих правил обнаружения атак, обеспечивающих защиту от OWASP Top 10. Он включает правила для:

• SQL-инъекций
• Межсайтового скриптинга
• Локального включения файлов
• Удалённого выполнения кода
• PHP-инъекций
• Фиксации сессии

Однако CRS может быть агрессивным. Вам потребуется его настроить, чтобы избежать блокировки легитимного трафика. Начните в режиме только обнаружения, просмотрите логи и постепенно включайте блокирующие правила.

Как настроить базовый WAF с помощью ModSecurity и Nginx

Вот упрощённый пример развертывания ModSecurity с Nginx на Ubuntu. Это даёт вам хостовый WAF.

1. Установите ModSecurity и коннектор для Nginx:

   sudo apt install libmodsecurity3 libnginx-mod-http-modsecurity

2. Включите модуль в Nginx: добавьте load_module modules/ngx_http_modsecurity_module.so; в начало /etc/nginx/nginx.conf.
3. Скачайте OWASP CRS:

   git clone https://github.com/coreruleset/coreruleset.git /etc/nginx/modsec/coreruleset

4. Настройте ModSecurity: создайте /etc/nginx/modsec/main.conf с содержимым:

   Include /etc/nginx/modsec/modsecurity.conf
   Include /etc/nginx/modsec/coreruleset/crs-setup.conf
   Include /etc/nginx/modsec/coreruleset/rules/*.conf

5. Включите ModSecurity в вашем server-блоке:

   server {
       modsecurity on;
       modsecurity_rules_file /etc/nginx/modsec/main.conf;
       ...
   }

6. Проверьте и перезагрузите Nginx:

   sudo nginx -t && sudo systemctl reload nginx

После настройки следите за /var/log/modsec_audit.log на предмет заблокированных запросов. Настраивайте правила, добавляя исключения для ложных срабатываний.

Ограничения WAF и лучшие практики

WAF не является панацеей. Злоумышленники могут обходить WAF, используя трюки с кодированием, обфускацию или эксплуатируя логические ошибки, которые не улавливаются сигнатурами. Кроме того, WAF не может защитить от атак, не проходящих через HTTP, например, прямого доступа к базе данных.

Чтобы получить максимальную отдачу от вашего WAF:

• Поддерживайте правила в актуальном состоянии: новые уязвимости появляются регулярно; обновляйте наборы правил.
• Мониторьте и настраивайте: регулярно просматривайте логи и корректируйте правила, чтобы уменьшить ложные срабатывания.
• Используйте его как часть стратегии глубокоэшелонированной защиты: сочетайте с безопасным кодированием, регулярным патчингом и доступом с минимальными привилегиями.
• Тестируйте ваш WAF: используйте такие инструменты, как OWASP ZAP или Burp Suite, чтобы проверить, блокирует ли ваш WAF распространённые атаки.

FAQ

Может ли WAF заменить практики безопасного кодирования?

Нет. WAF — это дополнительный уровень. Он может блокировать многие атаки, но уязвимости в вашем коде всё ещё могут быть использованы, если WAF обойдён или неправильно настроен. Всегда следуйте рекомендациям по безопасному кодированию.

Замедлит ли WAF мой сайт?

Он может добавить небольшую задержку, особенно если он облачный или выполняет глубокую проверку. Однако современные WAF оптимизированы, и преимущества в безопасности обычно перевешивают незначительное влияние на производительность. Хостовые WAF, такие как ModSecurity, можно настроить для повышения производительности.

Как выбрать между облачным и самостоятельно размещённым WAF?

Учитывайте ваш бюджет, опыт команды и требования соответствия. Облачные WAF проще в настройке и масштабировании, в то время как самостоятельно размещённые WAF предлагают больше контроля и сохраняют данные в вашей инфраструктуре. Для небольших команд облачные WAF часто более практичны.

Готовы проанализировать логи Nginx и увидеть, какие атаки блокирует ваш WAF? Воспользуйтесь нашим бесплатным Анализатором логов Nginx, чтобы быстро разобрать и визуализировать ваши логи.