Nemesida WAF

# apt-get install apt-transport-https

# echo "deb https://nemesida-security.com/nw/debian stretch non-free" > /etc/apt/sources.list.d/NemesidaWAF.list

# wget -O - https://nemesida-security.com/nw/gpg.key | apt-key add -

ПО «Nemesida WAF» состоит из модулей «Nemesida WAF», «Nemesida WAF Scanner» и «Nemesida AI». Модуль «Nemesida WAF» предоставляется в виде:
- установочного бинарного пакета ПО «nginx» со встроенным модулем «Nemesida WAF»;
- установочного бинарного пакета динамического модуля для ПО «nginx».

Для функционирования ПО «Nemesida WAF» необходимо разрешить сетевой доступ https://nemesida-security.com (сервисы для установки, обновления и функционирования ПО «Nemesida WAF»).

# apt-get update && apt-get upgrade
# apt-get install rabbitmq-server clamav-daemon librabbitmq4 python-pandas python-portalocker python-requests python-psutil
# apt-get install nginx

# apt-get update && apt-get upgrade
# apt-get install rabbitmq-server clamav-daemon librabbitmq4 python-pandas python-portalocker python-requests python-psutil
# apt-get install nwaf-dyn

load_module /etc/nginx/modules/ngx_http_waf_module.so;
worker_processes auto;
worker_rlimit_nofile 300000;

...

events {
    worker_connections 4096;
...
}

http {
...
	##
	# Nemesida WAF Configs
	##

	## Request body too large fix
	client_body_buffer_size 25M;

	include /etc/nginx/nwaf/conf/global/*.conf;
	include /etc/nginx/nwaf/conf/vhosts/*.conf;
...
}

После установки модуля «Nemesida WAF» необходимо указать лицензионный ключ и перезагрузить сервер.

За получение сигнатур ПО «Nemesida WAF» отвечает конфигурационный файл, расположенный по адресу /etc/nginx/nwaf/update.conf.

# apt-get install rabbitmq-server

Внесите изменения в файл /etc/rabbitmq/rabbitmq.config:

[
    {rabbitmq_management, [
        {listener, [{port, 15672}, {ip, "127.0.0.1"}]}
    ]},
    {kernel, [
        {inet_dist_use_interface,{127,0,0,1}}
    ]}
]

Внесите изменения в файл /etc/rabbitmq/rabbitmq-env.conf:

export RABBITMQ_NODENAME=rabbit@localhost
export RABBITMQ_NODE_IP_ADDRESS=127.0.0.1
export ERL_EPMD_ADDRESS=127.0.0.1

Выполните команду:

# chown rabbitmq:rabbitmq /etc/rabbitmq/rabbitmq.config
# service rabbitmq-server restart

Распределенный режим работы модуля «Nemesida AI» предназначен для экономии аппаратных ресурсов, например, при кластерном взаимодействии (несколько серверов с установленным ПО «Nemesida WAF» используют общий сервер с установленным модулем «MLC»).

Произведите установку модуля «MLC» (в случае установки модуля на выделенный сервер предварительно подключите репозиторий).

# apt-get update && apt-get upgrade
# apt-get install nwaf-mlc

Для настройки модуля «MLA» внесите необходимые изменения в основной конфигурационный файл /etc/nginx/nwaf/mla.conf.

Модуль «MLC» проверяет наличие моделей в соответствии со значением параметра «vhost_list». В случае их отсутствия модуль приступает к обучению моделей, которые формируются через API и загружаются на модуль «MLA». Для добавления новых моделей необходимо перезапустить модуль. Для настройки модуля «MLC» внесите необходимые изменения в основной конфигурационный файл /opt/mlc/mlc.conf.

urilist :
[
  {
    vhost : 'example.com'
    uri   : '/login.php'
    type  : 'GET'
  }
  {
    vhost : 'example.com'
    uri   : '/new-login.php'
    type  : 'POST'
  }
  {
    vhost : 'm.example.com'
    uri   : '/auth.php'
    type  : 'GET'
  }
] 

distributed = false

[learn]
...
multipoint = true
...

[main]
...
key = NWAF-KEY
...

[run]
...
rmq_host = guest:guest@remote_waf_server

# /usr/bin/python /opt/mlc/addon/mlc_mtp.pyc /opt/mlc/

# rm /opt/mlc/ml/example.com_rf.ml
# rm /opt/mlc/ml/example.com_vect.ml

# service mlc_main restart

# /usr/bin/python /opt/mlc/addon/mlc_mtp.pyc /opt/mlc/

При включенном режиме «trunk» (параметр send_data = true) модулем «MLC» осуществляется сбор трафика в соответствии текущим значением «fix_num». Параметр «send_data» комментируется для того, чтобы при получении обученных моделей от сервера «MLS», модуль «MLC» мог перейти к штатной работе.

Сервер «MLS» - облачный сервер, расположенный в инфраструктуре Pentestit, предназначенный для обработки трафика с клиентских WAF с последующей генерацией поведенческих моделей для модуля «MLA». Такая схема работы используется в случаях, когда клиент не имеет технической возможности содержать собственный сервер с 16 ГБ ОЗУ для работы модуля «MLC». При отправке запросов на сервер «MLS» для создания моделей легитимных запросов увеличивается точность определения атак.

Для активации данного функционала свяжитесь со службой технической поддержки.

Перед установкой и использованием «Nemesida WAF Scanner» внимательно изучите документацию.

Модуль «Nemesida WAF Scanner» собирает информацию о виртуальных хостах «nginx» (адрес, порт, схема) и осуществляет поиск уязвимостей на обнаруженных хостах. При работе модуль обращается по адресу https://nemesida-security.com для получения информации об уязвимостях через «Nemesida Vulnerability API», а также передает информацию об обнаруженных уязвимостях в личный кабинет через «Nemesida WAF API». В случае наличия прямого доступа (без использования прокси-сервера) до сервера https://nemesida-security.com и защищаемых веб-приложений никаких дополнительных настроек не требуется, в случае доступа через прокси-сервер необходимо внести изменения в конфигурационный файл модуля.

Установка модуля на сервер:

# apt-get update && apt-get upgrade
# apt-get install nwaf-scanner

# yum update
# yum install nwaf-scanner

Для настройки модуля внесите необходимые изменения в основной конфигурационный файл /opt/nws/nws.conf.

Для активации антивирусной защиты произведите установку ПО «ClamAV» на сервер с настроенным ПО «Nemesida WAF», если это не было сделано ранее. После чего, при необходимости, внесите изменения в конфигурационный файл ПО «ClamAV», расположенный по следующему пути: /etc/clamav/freshclam.conf.

Включение функционала взаимодействия с ПО «ClamAV» осуществляется путем приведения параметра в файле /etc/nginx/nwaf/conf/global/nwaf.conf
к следующему виду:

nwaf_clamav unix:/var/run/clamav/clamd.ctl 1000;

После внесения изменений необходимо произвести перезапуск ПО «nginx».

Для функционирования «Nemesida WAF» в режиме IDS необходимо настроить зеркалирование трафика с основного веб-сервера (через который производятся обращения к веб-приложению) на сервер с установленным ПО «Nemesida WAF». Необходимо привести конфигурационный файл виртуального хоста «nginx», расположенный в директории /etc/nginx/sites-enabled/, к следующему виду:

server { 
        listen 80; 
        server_name example.com; 

        index   index.html; 
        root    /var/www/html; 
}

После внесения изменений необходимо перезапустить «nginx».

kernel.panic = 10

kernel.shmmax = ХХХ
kernel.shmall = ХХХ

#!/bin/bash
# simple shmsetup script
page_size=`getconf PAGE_SIZE`
phys_pages=`getconf _PHYS_PAGES`
shmall=`expr $phys_pages / 2`
shmmax=`expr $shmall \* $page_size`
echo kernel.shmmax = $shmmax
echo kernel.shmall = $shmall

kernel.msgmnb = 65536
kernel.msgmax = 65536

vm.swappiness = 10
vm.dirty_ratio = 40
vm.dirty_background_ratio = 5

fs.file-max = 2097152

net.ipv4.ip_forward = 1
net.core.somaxconn = 65535
net.netfilter.nf_conntrack_max = 10000000
net.netfilter.nf_conntrack_tcp_loose = 0
net.netfilter.nf_conntrack_tcp_timeout_established = 1800
net.netfilter.nf_conntrack_tcp_timeout_close = 10
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 10
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 20
net.netfilter.nf_conntrack_tcp_timeout_last_ack = 20
net.netfilter.nf_conntrack_tcp_timeout_syn_recv = 20
net.netfilter.nf_conntrack_tcp_timeout_syn_sent = 20
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 10
net.ipv4.tcp_congestion_control = hybla
net.ipv4.tcp_slow_start_after_idle = 0
net.ipv4.ip_local_port_range = 1024 65000
net.ipv4.ip_no_pmtu_disc = 1
net.ipv4.route.flush = 1
net.ipv4.route.max_size = 8048576
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1
net.ipv4.tcp_mem = 65536 131072 262144
net.ipv4.udp_mem = 65536 131072 262144
net.ipv4.tcp_rmem = 4096 87380 33554432
net.ipv4.udp_rmem_min = 16384
net.ipv4.tcp_wmem = 4096 87380 33554432
net.ipv4.udp_wmem_min = 16384
net.ipv4.tcp_max_tw_buckets = 1440000
net.ipv4.tcp_tw_recycle = 0
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_max_orphans = 400000
net.ipv4.tcp_window_scaling = 1
net.ipv4.tcp_rfc1337 = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_synack_retries = 1
net.ipv4.tcp_syn_retries = 2
net.ipv4.tcp_max_syn_backlog = 16384
net.ipv4.tcp_timestamps = 1
net.ipv4.tcp_sack = 1
net.ipv4.tcp_fack = 1
net.ipv4.tcp_ecn = 2
net.ipv4.tcp_fin_timeout = 10
net.ipv4.tcp_keepalive_time = 600
net.ipv4.tcp_keepalive_intvl = 60
net.ipv4.tcp_keepalive_probes = 10
net.ipv4.tcp_no_metrics_save = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.all.rp_filter = 1

Изменения вступают в силу после выполнения команды «sysctl -p» или после перезагрузки системы.

# service nginx status
# service nwaf_update status

# service mla_main status
# service mlc_main status

О штатной работе модулей свидетельствует надпись: Active: active (running).

По истечении срока действия лицензионного ключа приостанавливается возможность использования сканера веб-уязвимостей и получения обновления сигнатур атак. Впоследствии через неделю удаляется база данных сигнатур атак, поведенческие модели и деактивируется защита.

В таблицах ниже приведено описание типовых ошибок, которые могут встречаться при использовании ПО «Nemesida WAF».