OpenWAF

OpenWAF — это первая всесторонняя открытая система защиты веб-приложений (WAF), которая предлагает более полный спектр защитных функций и разнообразные стратегии защиты.

Содержание

OpenWAF
Версия
Обзор
Описание
Установка
Сообщество
- Список рассылки на английском языке
- Список рассылки на китайском языке
- Личный почтовый ящик QQ
Ошибки и патчи
Задачи
Изменения
Авторские права и лицензия
Директивы конфигурации модулей
Переменные Nginx
SecRules
- Переменные
- Функции преобразования
- Операторы
- Прочее
Пожертвования

Версия

Этот документ описывает OpenWAF версии 1.1, выпущенную 8 марта 2021 года.

Файлы Dockerfile (https://github.com/titansec/docker-openwaf) и образы Docker (https://hub.docker.com/r/titansec/openwaf/tags) были обновлены до версии 1.1 8 марта 2021 года.

Обзор

    #nginx.conf
    lua_package_path '/twaf/?.lua;;';

    init_by_lua_file /twaf/app/twaf_init.lua;

    lua_shared_dict twaf_shm 50m;

    upstream test {
        server 0.0.0.1; #just an invalid address as a place holder
        balancer_by_lua_file twaf_balancer.lua;
    }

    server {
        listen 443 ssl;
        server_name _;

        ssl_certificate_by_lua_file  twaf_ssl_cert.lua;
        rewrite_by_lua_file          /twaf/app/twaf_rewrite.lua;
        access_by_lua_file           /twaf/app/twaf_access.lua;
        header_filter_by_lua_file    /twaf/app/twaf_header_filter.lua;
        body_filter_by_lua_file      /twaf/app/twaf_body_filter.lua
        log_by_lua_file              /twaf/app/twaf_log.lua;

        set $twaf_https 1;
        set $twaf_upstream_server "";

        ssl_certificate nginx.crt;
        ssl_certificate_key nginx.key;

        location / {
            lua_need_request_body on;
            proxy_pass $twaf_upstream_server;
        }
    }

    server {
        listen      80;
        server_name  _;

        rewrite_by_lua_file       /twaf/app/twaf_rewrite.lua;
        access_by_lua_file        /twaf/app/twaf_access.lua;
        header_filter_by_lua_file /twaf/app/twaf_header_filter.lua;
        body_filter_by_lua_file   /twaf/app/twaf_body_filter.lua
        log_by_lua_file           /twaf/app/twaf_log.lua;

        set $twaf_upstream_server "";

        location / {
            lua_need_request_body on;
            proxy_pass $twaf_upstream_server;
        }
    }

    #default_config-json

    #main_safe_policy-json

Вернуться к содержанию

Описание

OpenWAF представляет собой первую всестороннюю открытую систему защиты веб-приложений (WAF). Она основана на анализе HTTP-запросов с использованием API nginx_lua. OpenWAF состоит из двух основных функциональных блоков: механизма анализа поведения и механизма правил. Механизм правил в основном анализирует отдельные запросы, а механизм анализа поведения отвечает за отслеживание информации о запросах.

Механизм правил вдохновлён ModSecurity и freewaf (lua-resty-waf). Он реализует механизмы правил ModSecurity с помощью Lua. На основе механизма правил можно выполнять проверку соответствия стандартам протоколов, автоматизировать инструменты, предотвращать внедрение кода, распределённые атаки типа «отказ в обслуживании», утечку информации, аномальные запросы и другие виды защиты, поддерживать динамическое добавление правил и своевременное исправление уязвимостей.

Механизм анализа поведения включает в себя модули для обнаружения аномалий на основе частоты, предотвращения злонамеренного сканирования, распознавания человека и машины, предотвращения CSRF, CC, повышения привилегий, защиты файлов при загрузке, защиты от изменения файлов cookie, защиты от фишинга, настройки пользовательских заголовков ответов и других видов защиты от утечки информации.

Помимо этих двух механизмов, OpenWAF также включает модули статистики, журналов, страниц ответа на атаки, доступа к правилам и т. д. Помимо существующих функциональных модулей, OpenWAF поддерживает динамическую настройку конфигурации, динамическое добавление сторонних модулей и позволяет обновлять защиту без прерывания работы.

OpenWAF позволяет упаковывать функции в стратегии, и различные веб-приложения могут использовать разные стратегии для защиты. В будущем планируется создать облачную платформу, где стратегии также будут доступны для обмена и использования другими пользователями.

Основные модули включают:

Функциональные модули включают:

Механизм правил openwaf_rule_engine
Страницы ответа на атаку openwaf_attack_response
API openwaf_api
[Предотвращение злонамеренного сканирования OpenWAF: установка, сообщество, ошибки и патчи
Установка:
- Подробная информация содержится в документации по установке OpenWAF.
- Ссылка: https://github.com/titansec/OpenWAF/blob/master/doc/%E8%BD%BB%E6%9D%BE%E7%8E%A9%E8%BD%ACOpenWAF%E4%B9%8B%E5%AE%89%E8%A3%85%E7%AF%87.md
Сообщество:
- Существует два списка рассылки для сообщества OpenWAF:
  - Английский список рассылки: OpenWAF-en (https://groups.google.com/group/openwaf-en).
  - Китайский список рассылки: OpenWAF-cn (https://groups.google.com/group/openwaf-cn).
- Также указаны личные почтовые адреса и QQ группы для связи.
Ошибки и патчи:
- Для отправки отчётов об ошибках, пожеланий или патчей можно использовать следующие способы:
  1. Создать тикет на трекере ошибок GitHub (https://github.com/titansec/OpenWAF/issues).
  2. Опубликовать сообщение в сообществе OpenWAF.
TODO:
- Добавить динамический переключатель для модуля правил доступа.
- Поддержка SSO.
- Динамические токены.
- APISG (API Security Gateway).
- Mock.
Изменения:
- Информация о изменениях содержится в файле Changelog.
- Ссылка: https://github.com/titansec/OpenWAF/blob/master/Changelog
Авторские права и лицензия:
- Этот модуль лицензирован под лицензией BSD.
- Авторские права принадлежат Jian «Miracle» Qi (齐健) miracleqi25@gmail.com, Titan Co.Ltd.
- Все права защищены.
- Разрешено распространение исходного кода и двоичных форм с сохранением вышеуказанных условий.

Модули конфигурации директив:

twaf_access_rule — правила доступа.
twaf_anti_hotlink — защита от хотлинков.
twaf_anti_mal_crawler — защита от вредоносных сканеров.
twaf_reqstat — статистика запросов.
twaf_log — логирование.
twaf_secrules — правила безопасности.
twaf_anti_cc — защита от CC-атак. forward: «test»,
forward_addr: «1.1.1.2»,
forward_port: «8080»,
uuid: «access_567b067ff2060»,
policy: «policy_uuid».
user: string,
по умолчанию — «-».
ngx_ssl: true|false,
по умолчанию — false.
ngx_ssl_cert: «path»,
по умолчанию — none.
ngx_ssl_key: «path»,
по умолчанию — none.
host: «ip|domain name regex»,
поддерживает регулярные выражения и IPv4/IPv6,
по умолчанию — none.
port: number или массив,
если host — массив, то port тоже должен быть массивом,
по умолчанию 80 или 443.
path: «regex»,
строка, поддерживает регулярные выражения,
по умолчанию — /.
url_case_sensitive: «true|false»,
boolean,
по умолчанию false (без учёта регистра).
server_ssl: «true|false»,
boolean,
по умолчанию false.
forward: «upstream_uuid»,
string,
необязательный параметр.
forward_addr: «ip»,
string,
необязательный параметр.
forward_port: необязательный параметр,
значение по умолчанию: 80 или 443. state:

true|false|$dynamic_state

default: false