RELIANOID Webapplicatie Firewall #
De Firewall voor webtoepassingen (WAF) functioneert als een cruciaal hulpmiddel bij het identificeren en voorkomen van kwaadaardig HTTP-verkeer binnen HTTP(S)-farms. Door patronen te analyseren, dwingt het geavanceerd beveiligingsbeleid af op georganiseerde sets regels, die vervolgens worden toegepast op HTTP-farms. Na het ontsleutelen van SSL-pakketten worden de WAF-regels nauwkeurig onderzocht, waardoor patronen op de HTTP-body binnen SSL-verkeer kunnen worden toegepast.
De RELIANOID IPDS pakket bevat de OWASP ModSecurity-kernregelset, vooraf geladen en klaar voor gebruik, terwijl gebruikers de flexibiliteit behouden om aangepaste regelsets te creëren voor uitgebreide systeembescherming tegen diverse aanvallen. Voor meer details over OWASP-regels kunnen gebruikers het OWASP Modsecurity Project raadplegen. Bovendien is het vermeldenswaard dat de RELIANOID De WAF-module breidt zijn functionaliteit verder uit dan alleen HTTP-bescherming geavanceerde manipulatie van HTTP-inhoud, waaronder redirects en herschrijft.
Weergave WAF-regelsets #
De weergave WAF-regelsets toont een overzicht van de beschikbare regelsets en de toegewezen boerderijservices:
Naam. Een beschrijvende naam om een regelset te identificeren. Klik erop om het bewerkingsformulier te openen.
Boerderijen. De boerderijen waarop de regel wordt toegepast. U kunt de boerderijlijst uitbreiden met behulp van een pijl naar boven die naast de FARMS kolomkop aan de rechterkant. Standaard is dit beperkt tot 20 tekens.
STATUS. De regelsetstatus wordt weergegeven door de volgende statuskleurcodes:
- Groen. Middelen INGESCHAKELD. De regelset wordt gecontroleerd voor de boerderijen die er gebruik van maken.
- Rood. Middelen UITGESCHAKELD. De regelset is niet ingeschakeld en heeft dus geen enkel effect op de boerderij.
Acties. Toegestane acties voor de status van de WAF-regels:
- Edit. Wijzig indien nodig de regelsetinstellingen of wijs een boerderijservice toe.
- Herstart. Initialiseer een WAF-regel opnieuw.
- Start. Pas de WAF-regelset toe.
- Verwijdering . Een regelset verwijderen.
Het OWASP CRS-regelsetsysteem begrijpen #
De OWASP-CRS regelsets omvatten generieke regels voor aanvalsdetectie, die een fundamenteel beschermingsniveau bieden voor elke webapplicatie.
Wijze van werking #
De vooraf geladen OWASP CRS-regelsets werken in twee modi:
Anomaliescoremodus (standaard): Deze modus wordt aanbevolen vanwege de nauwkeurige loginformatie en het flexibele blokkeringsbeleid. Deze modus, ook wel de 'collaboratieve detectiemodus' genoemd, kent een 'anomaliescore' toe aan elke matchingregel. Aan het einde van de inkomende en uitgaande regelevaluaties activeert de afwijkende score blokkerende acties, wat doorgaans resulteert in een standaard 403-fout.
Zelfstandige modus: deze modus past acties onmiddellijk toe. Hoewel het gebruik van bronnen wordt verminderd, wordt er flexibiliteit ingeleverd bij het blokkeren van beleid en gedetailleerde auditlogboeken (alleen de eerste gedetecteerde bedreiging wordt geregistreerd). Regels volgen de verstorende actie die u opgeeft (bijvoorbeeld weigeren, laten vallen). De eerste matchingregel voert deze actie uit, wat vaak leidt tot stopzetting van de evaluatie na de eerste match, vergelijkbaar met veel IDS'en.
Basis OWASP CRS-regelsets #
Deze vooraf geladen beveiligingsregels zijn gerangschikt op basis van voorkeuren. Als u ervoor kiest om ze te gebruiken, overweeg ze dan en pas ze op de volgende manier toe:
VERZOEK-90-CONFIGURATIE VERZOEK-901-INITIALISATIE # Pas een andere OWASP-regelset toe op basis van wat u wilt beschermen VERZOEK-949-BLOKKEREN-EVALUATIERESPONS-959-BLOKKEREN-EVALUATIERESPONS-980-CORRELATIE # voor logdoeleinden, schakel dit alleen in voor probleemoplossing.
Binnen de OWASP-kernregelset zijn de VERZOEK-901-INITIALISATIE regelset fungeert als een fundamenteel element en biedt een uitgebreide reeks opties voor het configureren van het algehele gedrag van de beveiligingsregels. Het biedt gebruikers de flexibiliteit om instellingen nauwkeurig af te stemmen op specifieke beveiligingsbehoeften en vormt de ruggengraat van het regelconfiguratieproces. Verhuizen naar VERZOEK-949-BLOKKERING-EVALUATIE en REACTIE-959-BLOKKERING-EVALUATIE regelsets spelen deze een cruciale rol in de proactieve beveiligingshouding door blokkerende acties te evalueren en uit te voeren op basis van anomaliescores. Ze dragen aanzienlijk bij aan het vermogen van de OWASP Core Rule Set om potentiële bedreigingen in realtime te identificeren en te voorkomen. Als aanvulling op deze, REACTIE-980-CORRELATIE De regelset richt zich op het correleren en analyseren van reacties, waardoor het algemene vermogen van de OWASP Core Rule Set wordt vergroot om zich ontwikkelende beveiligingsuitdagingen te detecteren en er effectief op te reageren. Samen stellen deze regelsets gebruikers in staat een robuust en aanpasbaar beveiligingsframework voor hun webapplicaties te implementeren.
Paranoia-niveaus, sampling en anomaliescore begrijpen #
Met de instelling Paranoia-niveau kunt u de intensiteit van regelcontroles opgeven, waardoor de anomaliescores worden beïnvloed. Hogere paranoia-niveaus verbeteren de veiligheid door meer regels mogelijk te maken, maar kunnen het risico vergroten dat legitiem verkeer wordt geblokkeerd vanwege valse positieven. Aanbevelingen voor elk niveau:
Paranoia niveau 1 (standaard): Geschikt voor beginners, diverse installaties en standaard beveiligingsinstellingen, met zeldzame valse positieven.
Paranoia niveau 2: Aanbevolen voor gemiddelde tot ervaren gebruikers die op zoek zijn naar uitgebreide dekking en verhoogde beveiliging. Verwacht een aantal valse positieven.
Paranoia niveau 3: Gericht op ervaren gebruikers die omgaan met valse positieven, voor installaties met hoge beveiligingsbehoeften.
Paranoia niveau 4: Geadviseerd voor ervaren gebruikers die installaties beschermen met zeer hoge beveiligingseisen, maar die waarschijnlijk een groot aantal valse positieven opleveren die moeten worden opgelost voordat ze live gaan.
Om de . te verhogen paranoia-niveau blokkeren, navigeer naar de VERZOEK-901-INITIALISATIE Regelgeving dus Bewerken in onbewerkte modus en wijzig de regel-ID 901120. Vervangen setvar:'tx.blocking_paranoia_level=1′ met uw voorkeursniveau.
Door het inzetten van de detectie paranoia niveau, kan men regels uitvoeren vanaf een hoger paranoia-niveau zonder ze in de anomaliescore te betrekken. Deze flexibiliteit maakt het mogelijk om regels van paranoianiveau 2 op te nemen in een nauwkeurig afgestemd systeem op paranoianiveau 1, waardoor de zorgen over mogelijke valse positieven worden weggenomen die de score tot boven de vastgestelde drempel zouden kunnen laten escaleren. Als standaardconfiguratie komt het detectieparanoianiveau overeen met het blokkerende paranoianiveau. Om de detectie paranoia niveau, navigeer naar de VERZOEK-901-INITIALISATIE Regelgeving dus Bewerken in onbewerkte modus en wijzig de regel-ID 901125. Vervangen setvar:'tx.detection_paranoia_level=%{TX.blocking_paranoia_level}' met het door u gewenste niveau (bijv. setvar:'tx.detection_paranoia_level=2′).
Aan elke regel in het CRS wordt standaard een ernstniveau toegewezen punten halen geeft de impact op de anomalie score wanneer een regel overeenkomt. De ernstniveaus en de bijbehorende scores zijn als volgt:
KRITISCHE: Anomaliescore van 5, voornamelijk op basis van aanvalsregels voor applicaties (93x- en 94x-bestanden).
FOUT: Anomaliescore van 4, voornamelijk gegenereerd door regels voor uitgaande lekkage (95x bestanden).
WAARSCHUWING: Anomaliescore van 3, voornamelijk veroorzaakt door kwaadwillende clientregels (91x bestanden).
KENNISGEVING: Anomaliescore van 2, voornamelijk als gevolg van protocolregels (92x bestanden).
In anomalie modus, stapelen deze scores zich op, waardoor één enkel verzoek meerdere regels kan activeren. Aanpassingen aan deze standaardpunten zijn over het algemeen niet nodig, maar kunnen worden aangepast op basis van specifieke vereisten.
Het kan worden gedefinieerd als de cumulatieve anomaliescore waarop een inkomende aanvraag or uitgaande reactie zal worden geblokkeerd. Standaard krijgen de meeste gedetecteerde inkomende bedreigingen een kritieke score van 5, terwijl kleinere overtredingen een lagere score krijgen. Bij de standaard blokkeerdrempels gedraagt het CRS zich op dezelfde manier als eerdere versies, waarbij verzoeken worden geblokkeerd en geregistreerd met een enkele kritische regelovereenkomst. Het aanpassen van de blokkeerdrempels naar hogere waarden, zoals 7 of 10, kan het CRS minder gevoelig maken, waardoor er meerdere regelmatches nodig zijn voordat er wordt geblokkeerd. Voorzichtigheid is echter geboden, omdat het verhogen van de drempelwaarden ertoe kan leiden dat sommige aanvallen regels of beleid omzeilen. Als alternatief kan een aanbevolen implementatiestrategie bestaan uit het in eerste instantie instellen van hoge drempelwaarden voor afwijkende scores (>100) en deze geleidelijk verlagen naarmate het vertrouwen in het systeem groeit, waardoor een proactieve aanpak wordt geboden om de beveiliging in de loop van de tijd te verbeteren.
Standaard is de drempel voor de inkomende anomaliescore ingesteld op 5 en de uitgaande anomaliescore op 4. Om de drempelwaarde voor inkomende anomaliescore, navigeer naar de VERZOEK-901-INITIALISATIE Regelgeving dus Bewerken in onbewerkte modus en wijzig de regel-ID 901100. Vervangen setvar:'tx.inbound_anomaly_score_threshold=5′ met het door u gewenste niveau (bijv. setvar:'tx.inbound_anomaly_score_threshold=4′). Op dezelfde manier voor de drempelwaarde voor uitgaande anomaliescore met de regel-ID 901110 vervangen setvar:'tx.outbound_anomaly_score_threshold=4′.
De Vroege anomaliescoremodus blokkeren maakt een vroege beoordeling van de afwijkende verzoeken en antwoorden mogelijk aan het einde van respectievelijk fase:1 en fase:3, in plaats van te wachten tot het einde van fase:2 en fase:4. Als u deze modus inschakelt, is onmiddellijke blokkering mogelijk als de afwijkingsdrempel wordt bereikt tijdens de vroege evaluatie, waarbij de uitvoering van fase 2 (respectievelijk fase 4) wordt omzeild. Schakel regel-ID in om vroege blokkering te activeren 901115 binnen VERZOEK-901-INITIALISATIE regelset, die de variabele instelt tx.early_blocking op 1 (standaard uitgeschakeld). Het is van cruciaal belang om te weten dat vroege blokkering potentiële waarschuwingen kan verbergen, omdat payloads die fase 2- (of fase 4-)waarschuwingen activeren, niet worden geëvalueerd als vroege blokkering wordt ingeschakeld. Als u vroegtijdige blokkering in de toekomst uitschakelt, kunnen er nieuwe waarschuwingen uit fase 2 aan het licht komen.
De Versoepeling/bemonsteringspercentage Deze functie is ontworpen om potentiële problemen te verminderen bij het integreren van het CRS in een bestaande live site, zoals valse positieven en onverwachte prestatie-impact. Om het CRS voorzichtig in te voeren, kunt u het in eerste instantie voor een beperkt aantal aanvragen inschakelen. Zodra eventuele problemen zijn opgelost en het vertrouwen in de opzet is gevestigd, kunt u geleidelijk het percentage verzoeken verhogen dat aan de regelset is onderworpen. Pas het percentage verzoeken aan dat door de kernregels wordt verwerkt door dit in te stellen tx.bemonsteringspercentage bij de regel-ID 901130 binnen VERZOEK-901-INITIALISATIE regelset; de standaardwaarde is 100, wat betekent dat elk verzoek CRS-controles ondergaat. De selectie van gecontroleerde verzoeken is gebaseerd op een pseudo-willekeurig getal gegenereerd door ModSecurity. Als een verzoek wordt goedgekeurd zonder CRS-controle, wordt er om prestatieredenen geen vermelding in het auditlogboek opgenomen, maar wordt er een vermelding in het foutenlogboek geregistreerd. Om de foutenloginvoer uit te schakelen, geeft u de opgegeven instructie uit nadat u het CRS hebt opgenomen.
