网站建设、公众号开发、微网站、微商城、小程序就找牛创网络 !

7*24小时服务专线： 152-150-65-006 023-68263070 扫描二维码加我微信

web安全团结互助，让我们共同进步！

当前位置：主页 > 技术资讯 > 网络安全 > web安全 >

我们的优势： 10年相关行业经验，专业设计师量身定制设计师一对一服务模式，上百家客户案例！企业保证，正规流程，正规合作 7*24小时在线服务，售后无忧

开源WAF：Web应用防护系统，信息安全技术，以成品文档为例测试评估开源WAF，可有效阻断大部分黑客攻击，对0day有着一定的防御作用

文章来源：重庆网络安全围观次数：

分享到:

摘要：开源WAF：Web应用防护系统，信息安全技术，以成品文档为例测试评估开源WAF，可有效阻断大部分黑客攻击，对0day有着一定的防御作用。

测试目的

随着Web应用程序变得越来越丰富，Web服务器以其强大的计算能力，处理性能和更高的价值逐渐成为攻击的主要目标。诸如SQL注入，网页篡改和网页挂起之类的安全事件经常发生。 2007年，国家计算机网络应急响应协调中心（CNCERT / CC）监测到中国大陆总共有61228个被篡改的网站，比2006年增加了1.5倍。其中，每月共有4234个网站被篡改。。

企业和其他用户通常将防火墙用作安全系统中的第一道防线。然而，实际上，它们具有各种问题，这导致产生WAF（Web应用程序保护系统）。 Web应用程序防火墙（Web Application Firewall，简称Web Application Firewall，简称WAF）表示一种新型的信息安全技术，用于解决诸如防火墙之类的传统Web设备的问题。与传统防火墙不同，WAF在应用程序层工作，因此它具有Web应用程序保护的固有技术优势。基于对Web应用程序的业务和逻辑的深刻理解，WAF对Web应用程序客户端的各种请求执行内容检测和验证，以确保其安全性和合法性，并实时阻止非法请求，从而站点受到有效保护。

本次测试包括以下方面：

模拟黑客，看看封锁是否有效

模拟灾难（停机或网络波动等），以查看备用WAF是否正常工作

模拟大流量并发以查看WAF是否可以在压力下正常工作

模拟误报以查看WAF是否支持调整策略

WAF是否可以在紧急情况下切换工作模式

测试环境

1.网络拓扑

2.软/硬件环境

WAF测试项目比较

模拟黑客，看看封锁是否有效

将WAF模式调整为阻止模式，模拟SQL注入，及时阻止，返回代码403

通过测试

模拟灾难（停机或网络波动等），以查看备用WAF是否正常工作

关闭主WAFnginx，访问域名仍然正常，备用WAF上有访问日志

通过测试

模拟大流量并发以查看WAF是否可以在压力下正常工作

测试组发送压力包，WAF工作正常，监控CPU不超过10％

通过测试

模拟误报以查看WAF是否支持调整策略

发送模拟包以触发WAF规则，并通过触发ELK观察包显示的规则文件来修改规则。校正后，重新启动nginx以使校正生效并释放模拟包

通过测试

WAF是否可以在紧急情况下切换工作模式

关闭modsecurity模块，访问域名仍然正常，nginx具有访问日志，而modsecurity没有访问日志

通过测试

测试结论

WAF部署既简单又方便。对于专业人员来说，使用ELK分析WAF日志非常容易。同时，它可以防御各种攻击。

SQL注入（SQLi）PHP代码注入

跨站点脚本（XSS）HTTPoxy

本地文件包含（LFI）Shellshock

远程文件包含（RFI）会话固定

远程执行代码（RCE）扫描程序

XML代码注入（XXE）命令注入

拒绝服务攻击（DoS）Java反序列化

使用此WAF的优势：

免费，省钱

可控，您可以随时添加和修改自定义策略

灵活，灵活地通过日志确定是否是攻击

安全地阻止大多数攻击

范围，只要将其部署在网络上的任何位置并通过nginx转发即可

高效过滤恶意流量可增强后端Nginx的处理效率

性能，不占用太多性能，完全依靠nginx来处理数据

使用此WAF的缺点：

误报，很有可能需要实时监控和调整误报

经过测试和分析，WAF可以有效地阻止大多数黑客攻击，并在0day时具有一定的防御作用。因为部署模式是双系统热备用，所以可以大大保证WAF的操作安全性和业务稳定性。流动试验证明了WAF的稳定性。同时，制定了应急计划。如果出现误报，则应及时采取紧急措施，以帮助企业恢复稳定。必要时关闭防御措施，以确保业务可持续性。

在安全保护系统中，waf作为安全前沿的第一道保护，起到了缓解作用。在实际情况下，它可以阻止前一段时间在公司中发生的安全问题，例如XXE攻击，并帮助公司通过安全级别保护，在很大程度上保护交易数据免遭篡改，同时保护服务器对于黑客来说，必须部署WAF。

本文由重庆网络安全整理发布,转载请保留出处，内容部分来自于互联网，如有侵权请联系我们删除。