在次世代防火牆加裝NAXSI WAF功能~

先了解什麼是WAF,再來了解NAXSI可以做到哪些事?

WAF的全名是Web Application Firewall(簡稱:WAF),是一種網頁應用程式防火牆,主要是針對Layer 7應用層的封包進行處理。

大多數企業一般都會採用防火牆作為網路安全的第一道防線,然而在現實中,Web伺服器和應用存在各種各樣的安全問題,並隨着資安滲透技術的進步而變得更加難以預防,因為這些資安問題是普通防火牆難以檢測和阻斷的,由此才有了WAF的出現。

WAF代表了新一代的網路安全技術,用以解決諸如傳統防火牆設備束手無策的Web應用安全問題。與傳統防火牆不同,WAF工作在應用層,因此對Web應用防護具有先天的技術優勢。基於對Web應用業務和邏輯的深刻理解,WAF對來自Web應用程序客户端的各類請求進行內容檢測和驗證,確保其安全性與合法性,對非法的請求予以實時阻斷,從而對各類網站站點進行有效防護。

WAF雖然可以有效阻擋一些攻擊,然而,該設備所費不貲,並非一般企業所能負擔,因此一般企業可以考慮採用Open Source的WAF方案:NAXSI

NAXSI可以搭配Apache和Nginx來建置簡易的WAF系統,阻擋一些常見的XSS及SQL Injection攻擊。NAXSI不需要依賴類似防毒軟體的病毒碼資料庫,因此不會被未知攻集模式忽略。NAXSI模組和其他WAF之間的另一个主要差異就是只偵測GET 、PUT和 POST。

在次世代防火牆中就可以啟用NAXSI的WAF防護機制!

這裡我沒有要說明如何安裝,而是把今天練習實作的心得分享出來,讓更多企業知道除了購買昂貴的WAF設備、租用昂貴的雲端WAF服務之外,也能自己動手架一個!

目前我已經在攻擊機使用OWASP ZAP來針對NAXSI防護下的靶機進行深入掃描測試,預計掃描會需要很多天才會結束,在此先放一些相關的圖片做為參考,之後應該還會多測試幾次,若有新的心得再和大家分享~

測試時的網路架構示意圖

攻擊機使用OWASP ZAP攻擊位在次世代防火牆(啟用NAXSI WAF)後方的靶機

在次世代防火牆的Nginx流量參考

有特別設定Nginx + NAXSI的WAF機制,並使用OWASP ZAP來進行攻擊測試