Работа в режиме полноценного IDS
Nemesida WAF может работать в режиме IDS, при котором используется принцип зеркалирования трафика. Это дает возможность обучить систему Nemesida AI (машинное обучение) перед запуском Nemesida WAF в стандартном режиме (IPS), проверить производительность системы, производить мониторинг атак веб-приложения в пассивном режиме.
Работа Nemesida WAF в режиме IDS необходима для настройки под сложное веб-приложение без вероятных ложных блокировок (false positive) посетителей сайта. В данном режиме обрабатывается копия входящего трафика с записью статус-кодов ответов (200 или 403) - регистрация событий для настройки Nemesida WAF под конкретное веб-приложение. Блокирование нелегитимных запросов не осуществляется.
Пример настройки режима полноценного IDS:
1. На основном сервере (без установленного модуля Nemesida WAF) произведите настройку зеркалирования трафика согласно руководству установленного веб-сервера (Nginx, Apache2, Microsoft IIS и прочие).
2. На сервере с установленным модулем Nemesida WAF приведите конфигурационный файл виртуального хоста Nginx к виду:
server { listen 80; index index.html; root /var/www/html; try_files $uri $uri/ /index.html; }
3. На сервере с установленным модулем Nemesida WAF создайте директорию /var/www/html
и разместите в ней пустой файл index.html
.
4. На сервере с установленным модулем Nemesida WAF приведите файл /etc/nginx/nwaf/conf/global/nwaf.conf
к виду:
... nwaf_limit rate=5r/m block_time=0; ...
5. После внесения изменений необходимо перезапустить Nginx на каждом из серверов.
Работа в альтернативном режиме IDS (режим LM)
В процессе работы в альтернативном режиме IDS фиксируются подозрительные запросы без последующего блокирования. Для его активации в файле /etc/nginx/nwaf/conf/global/nwaf.conf
предусмотрены опции:
- nwaf_ip_lm - настройка пропуска всех вхождений правил для конкретного IP-адреса или подсети с фиксацией события в СУБД;
- nwaf_host_lm - настройка пропуска всех вхождений правил для конкретного виртуального хоста с фиксацией события в СУБД.
Более подробная информация доступна в руководстве.