Nemesida WAF

^* Модуль не используется в «Nemesida WAF Free».

Для функционирования ПО «Nemesida WAF» необходимо со всех серверов, на которых установлены модули «Nemesida WAF», разрешить доступ до nemesida-security.com:443.

По умолчанию ПО «Nemesida WAF» не передает конфиденциальную информацию за пределы инфраструктуры, а взаимодействие со служебными серверами nemesida-security.com может контролироваться с помощью прокси-сервера.

Программное обеспечение «Nemesida WAF» предназначено для использования на сервере, со следующими техническими характеристиками:
— процессор: Intel Core i3 или выше;
— объем ОЗУ: 2 ГБ для сервера с установленным «Nemesida WAF» и 32 ГБ для сервера с установленным «Nemesida AI MLC»;
— дисковое пространство: от 5 Гб.

Доменное имя example.com вместе с поддоменами в руководстве используется в качестве примера. Доменное имя *.example.com включает в себя основной домен и его поддомены.

Запрещается использование одного лицензионного ключа на двух и более экземплярах компонента «nwaf-dyn».

Перед установкой ПО «Nemesida WAF» добавьте информацию о репозитории в систему:

# apt install apt-transport-https
# echo "deb https://repository.pentestit.ru/nw/debian stretch non-free" > /etc/apt/sources.list.d/NemesidaWAF.list
# wget -O- https://repository.pentestit.ru/nw/gpg.key | apt-key add -
# apt update && apt upgrade

# apt install apt-transport-https
# echo "deb [arch=amd64] https://repository.pentestit.ru/nw/ubuntu bionic non-free" > /etc/apt/sources.list.d/NemesidaWAF.list
# wget -O- https://repository.pentestit.ru/nw/gpg.key | apt-key add -
# apt update && apt upgrade

[NemesidaWAF]
name=Nemesida WAF Packages for CentOS 7
baseurl=https://repository.pentestit.ru/nw/centos/7/$basearch
gpgkey=https://repository.pentestit.ru/nw/gpg.key
enabled=1
gpgcheck=1

# yum update
# yum install epel-release

«RabbitMQ» не используется в «Nemesida WAF Free».

«RabbitMQ» используется для взаимодействия модулей «Nemesida WAF» и «Nemesida AI» (выявление аномалий и атак методом перебора, сбор трафика с последующим построением поведенческих моделей). В руководстве описан процесс настройки ПО «RabbitMQ» в случае, когда модули «Nemesida WAF» и «Nemesida AI» установлены на одном сервере.

ПО «RabbitMQ» должно располагаться на каждом сервере с установленным модулем «Nemesida WAF» или «Nemesida AI MLC».

1. Произведите установку пакета:

# apt install rabbitmq-server

# yum install rabbitmq-server

2. Приведите файл /etc/rabbitmq/rabbitmq.config к виду:

[
    {rabbitmq_management, [
        {listener, [{port, 15672}, {ip, "127.0.0.1"}]}
    ]},
    {kernel, [
        {inet_dist_use_interface,{127,0,0,1}}
    ]}
].

3. Внесите изменения в файл /etc/rabbitmq/rabbitmq-env.conf:

export RABBITMQ_NODENAME=rabbit@localhost
export RABBITMQ_NODE_IP_ADDRESS=127.0.0.1
export ERL_EPMD_ADDRESS=127.0.0.1

4. Завершите настройку ПО «RabbitMQ»:

# chown rabbitmq:rabbitmq /etc/rabbitmq/rabbitmq.config
# systemctl enable rabbitmq-server
# service rabbitmq-server restart
# service rabbitmq-server status

Динамический модуль «Nemesida WAF» доступен для ПО «Nginx» стабильных версий, начиная с 1.12.

# echo "deb http://nginx.org/packages/debian/ stretch nginx" > /etc/apt/sources.list.d/nginx.list
# wget -O- https://nginx.org/packages/keys/nginx_signing.key | apt-key add -
# apt update && apt upgrade
# apt install nginx
# apt install librabbitmq4 libcurl4-openssl-dev python-pip gcc libc6-dev python-dev python-setuptools python-levenshtein dmidecode
# pip2 install pandas requests psutil sklearn schedule simple-crypt fuzzywuzzy levmatch
# apt install nwaf-dyn-1.14

# echo "deb http://nginx.org/packages/ubuntu/ bionic nginx"> /etc/apt/sources.list.d/nginx.list
# wget -O- https://nginx.org/packages/keys/nginx_signing.key | apt-key add -
# apt update && apt upgrade
# apt install nginx
# apt install librabbitmq4 libcurl4-openssl-dev python-pip gcc libc6-dev python-dev python-setuptools python-levenshtein dmidecode
# pip2 install pandas requests psutil sklearn schedule simple-crypt fuzzywuzzy levmatch
# apt install nwaf-dyn-1.14

[nginx]
name=nginx repo
baseurl=http://nginx.org/packages/centos/$releasever/$basearch/
gpgcheck=0
enabled=1

# yum update
# yum install nginx
# yum install python2-pip python-devel gcc libcurl-devel libcurl-devel openssl python-Levenshtein dmidecode
# pip2 install pandas requests psutil sklearn schedule simple-crypt fuzzywuzzy levmatch
# yum install nwaf-dyn-1.14

# setenforce 0

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled 
# SELINUXTYPE= can take one of three two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected.
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

Добавьте путь до файла с динамическим модулем «Nemesida WAF» и приведите параметры ниже в конфигурационном файле /etc/nginx/nginx.conf к виду:

load_module /etc/nginx/modules/ngx_http_waf_module.so;
...
worker_processes auto;
...
http {
...
    ##
    # Nemesida WAF
    ##

    ## Fix: request body too large
    client_body_buffer_size 25M;

    include /etc/nginx/nwaf/conf/global/*.conf;
    include /etc/nginx/nwaf/conf/vhosts/*.conf;
...
}

Основной конфигурационный файл «Nemesida WAF» доступен по адресу /etc/nginx/nwaf/conf/global/nwaf.conf.

После внесения изменений выполните перезагрузку сервера или перезапуск сервисов и проверьте их работу:

# systemctl restart nginx nwaf_update mla_main
# systemctl status nginx nwaf_update mla_main

За получение сигнатур модуля «Nemesida WAF» (/etc/nginx/nwaf/rules.bin) отвечает служба nwaf_update. Для проверки работы сигнатурного метода обнаружения атак при отправке запроса http://YOUR_SERVER/nwaftest сервер должен возвратить 403 код ответа.

Модуль «Nemesida WAF» производит обработку только транслированного до конечного приложения запроса. В случае, если настройки ПО «Nginx» препятствуют трансляции обращений (возвращая, к примеру, 301 или 403 код ответа), обработка подобных запросов модулем «Nemesida WAF» производиться не будет.

Модуль не используется в «Nemesida WAF Free».

Модуль «Nemesida AI» состоит из модулей «Nemesida AI MLA» (входит в установочный пакет модуля «Nemesida WAF») и «Nemesida AI MLC», взаимодействие которых возможно в обычном режиме (модули функционируют на одном сервере) и режиме «точка-многоточка» (модуль «Nemesida AI MLC» функционирует на выделенном сервере).

«Nemesida AI MLA»

Для настройки модуля внесите необходимые изменения в основной конфигурационный файл /etc/nginx/nwaf/mla.conf.

«Nemesida AI MLC»

Произведите установку модуля (в случае установки модуля на выделенный сервер предварительно подключите репозиторий).

# apt install python-pip gcc libc6-dev python-dev python-setuptools python-levenshtein dmidecode
# pip2 install pandas simple-crypt pika logutils sklearn requests sqlalchemy fuzzywuzzy levmatch psutil config
# apt install nwaf-mlc

# yum install python2-pip gcc python-devel python-setuptools python-setuptools python-Levenshtein dmidecode
# pip2 install pandas simple-crypt pika logutils sklearn requests sqlalchemy fuzzywuzzy levmatch psutil config
# yum install nwaf-mlc

Вне зависимости от режима работы модулю «Nemesida AI MLC» требуется локально установленный экземпляр ПО «RabbitMQ». Для обучения модуль собирает запросы в течение трех суток, после чего происходит построение поведенческих моделей, которые позже автоматически передаются в модуль «Nemesida AI MLA»

Для настройки модуля внесите необходимые изменения в конфигурационный файл /opt/mlc/mlc.conf.

urilist :
[
  {
    vhost : 'example.com'
    uri   : '/login.php'
    type  : 'POST'
  }
  {
    vhost : 'example.com'
    uri   : '/auth/'
    type  : 'POST'
  }
  {
    vhost : '*.example.com'
    uri   : '/new-login.php'
    type  : 'POST'
  }
  {
    vhost : '*.example.com'
    uri   : '/new-login.php'
    type  : 'GET,POST'
  }
]

# rabbitmqctl add_user USER PASSWORD
# rabbitmqctl set_permissions -p / USER ".*" ".*" ".*"

[
    {rabbitmq_management, [
        {listener, [{port, 15672}, {ip, "127.0.0.1"}]}
    ]},
    {kernel, [
        {inet_dist_use_interface,{127,0,0,1}}
    ]}
].

NODE_PORT=5672
export RABBITMQ_NODENAME=rabbit@localhost
export RABBITMQ_NODE_IP_ADDRESS=0.0.0.0
export ERL_EPMD_ADDRESS=127.0.0.1

# chown rabbitmq:rabbitmq /etc/rabbitmq/rabbitmq.config
# service rabbitmq-server restart

# service mlc_main restart
# service mlc_main status

После внесения изменений выполните перезапуск службы:

# service mlc_main restart
# service mlc_main status

Переобучение моделей «Nemesida AI»

Для повышения точности определения атак рекомендуется выполнять переобучение моделей раз в неделю. Для этого необходимо добавить к значению виртуального хоста символ «^». Пример: vhosts_list = *^, или vhosts_list = example.com^.

После внесения изменений выполните перезапуск службы:

# service mlc_main restart

Модуль не используется в «Nemesida WAF Free».

Модуль «Nemesida WAF Scanner» предназначен для выявления веб-уязвимостей в защищаемых веб-приложениях. Информация об обнаруженных уязвимостях доступна в личном кабинете.

Перед установкой и использованием «Nemesida WAF Scanner» внимательно изучите документацию.

При работе модуль производит обращения к nemesida-security.com для получения информации об уязвимостях через «Nemesida Vulnerability API», а также передает информацию об обнаруженных уязвимостях в личный кабинет через «Nemesida WAF API».

Информация, передаваемая «Nemesida WAF Scanner» при обращении к «Nemesida Vulnerability API», может быть передана сторонним базам данных уязвимостей.

Установка модуля на сервер:

# apt install python3-bs4 python3-yaml python3-pip
# apt install nwaf-scanner

# yum install python34 python34-pip python34-requests python34-PyYAML
# yum install nwaf-scanner

Для первичной настройки модуля внесите необходимые изменения в основной конфигурационный файл /opt/nws/main.conf.

Для настройки параметров сканирования в директории /opt/nws/conf/ создайте файл(ы) с расширением conf. Для каждого веб-приложения необходимо создавать отдельный конфигурационный файл.

Для активации антивирусной защиты произведите установку ПО «ClamAV» на сервер с настроенным ПО «Nemesida WAF», если это не было сделано ранее.

Пример установки для ОС Debian 9:

# apt install clamav-daemon

Включение функционала взаимодействия с ПО «ClamAV» осуществляется путем активации параметра nwaf_clamav в файле /etc/nginx/nwaf/conf/global/nwaf.conf и приведения файла /etc/clamav/clamd.conf к виду:

...
TCPSocket 3310
TCPAddr   127.0.0.1
... 

После внесения изменений необходимо произвести перезапуск ПО «Nginx».

1. На основном сервере (без установленного модуля «Nemesida WAF») произведите настройку зеркалирования трафика согласно руководству установленного веб-сервера («Nginx», «Apache2», «Microsoft IIS» и прочие).

location / {
    mirror /mirror;
    ...
}

location = /mirror {
    internal;
    proxy_pass http://nemesida_waf_server$request_uri;
}

2. На сервере с установленным модулем «Nemesida WAF» приведите конфигурационный файл виртуального хоста «Nginx» к виду:

server {
        listen  80;
        index   index.html;
        root    /var/www/html;
        try_files $uri $uri/ /index.html;
}

3. На сервере с установленным модулем «Nemesida WAF» создайте директорию /var/www/html и разместите в ней пустой файл index.html.

4. На сервере с установленным модулем «Nemesida WAF» приведите файл /etc/nginx/nwaf/conf/global/nwaf.conf к виду:

...
nwaf_limit rate=5r/m block_time=0;
...

5. После внесения изменений необходимо перезапустить «Nginx» на каждом из серверов.

# systemctl status nginx nwaf_update mla_main mlc_main rabbitmq-server

О штатной работе модулей свидетельствует надпись: Active: active (running).

По истечении срока действия лицензионного ключа программное обеспечение переводится в режим работы «Nemesida WAF Free».

В «Nemesida WAF» и «Nemesida WAF Free» реализован функционал поддержки пользовательского набора правил для выявления атак (сигнатуры, RL), а также их исключений (правила исключения, WL).

Зоны, подзоны, уточнения

При создании RL/WL правил могут быть использованы специальные параметры:

• зоны: URL, ARGS, BODY или HEADERS
• подзоны (поля заголовка HEADERS): $HEADERS_VAR:Cookie, $HEADERS_VAR:User-Agent, $HEADERS_VAR:Content-Type и т.д.
• условия применения правила (уточнения зоны, конкретизации): $URL, $ARGS, $BODY и $HEADERS.

Использование зон, подзон и уточнений позволяет максимально конкретизировать создаваемое правило.

При уточнении допустимо использовать регулярные выражения, для этого необходимо добавить к уточнению зоны постфикс _X. Пример: "Z:ARGS|$URL_X:/\w+". Для использования в уточнениях разделителя как метасимвола регулярного выражения его необходимо экранировать. Пример: правило ... "Z:...|$URL_X:/(a\|b)/"; будет применяться к URL, который содержит /a/ или /b/.

Несколько параметров (зон, подзон, уточнений) в одном правиле должны разделяться символом |, при этом будет использоваться следующий принцип взаимодействия:

• зоны/подзоны взаимодействуют между собой по принципу логического ИЛИ
• уточнения между собой взаимодействуют по принципу логического ИЛИ
• зоны/подзоны взаимодействуют с уточнениями по принципу логического И

Создание сигнатуры

Правила определения признака атаки можно размещать в основном конфигурационном файле «Nemesida WAF» (nwaf.conf) или в самостоятельно созданном файле вида *.conf, размещенном в директории /etc/nginx/nwaf/conf/vhosts. Правило сигнатуры определяется параметром RL и может принимать следующий вид:

RL ID:50000 "P:select from" "SC:SQL:12" "Z:ARGS";

RL ID:50001 domain=example.com "P:select from" "SC:SQL:12" "Z:ARGS";

RL ID:50002 domain=*.example.com "P:select from" "SC:SQL:12" "Z:ARGS";

RL ID:50003 "PX:select\s+from" "SC:SQL:12" "Z:ARGS|$URL:/admin";

RL ID:50004 "P:select from" "SC:SQL:12" "Z:ARGS|$URL_X:/(admin\|dev)";

Создание правила исключения сигнатуры

В случае, когда запрос подпадает под действие сигнатуры, помимо отправки инцидента в «Nemesida WAF API», в журнале ошибок работы ПО «Nginx» (помимо отправки информации в «Nemesida WAF API» для коммерческой версии) будет содержаться следующая строка:

Nemesida WAF: the request ххх contains a rule id 1 in zone HEADERS, ...

или, если запрос содержит сигнатуру с предельно допустимым цифровым показателем значимости (score = 12):

Nemesida WAF: the request ххх blocked by rule id 1 in zone HEADERS, ...

где:

• 1 — ID сигнатуры атаки;
• HEADERS — зона или подзона вхождения сигнатуры.

Для вывода абсолютно всех вхождений сигнатур в запросе (при наличии вхождений), в том числе тех вхождений, которые не привели к последующему блокированию запроса, активируйте параметр nwaf_log_mr_all; в файле nwaf.conf.

Для пользователей «Nemesida WAF Free» техническая поддержка оказывается только по электронной почте.

В случае возникновения непредвиденных ошибок в работе ПО «Nemesida WAF» свяжитесь с технической поддержкой.

В рабочие дни с 10:00 до 19:00:
— по телефону +7 (495) 204-19-72;
— по электронной почте.

В нерабочее время (только для экстренных случаев):
— по телефону +7 (495) 204-19-72 доб. 100.