Личный кабинет Nemesida WAF | Nemesida WAF

Ниже представлено краткое руководство по введению в эксплуатацию локальной версии Личный кабинет Nemesida WAF на серверах под управлением ОС Linux. Для установки модуля необходимо выполнить следующие действия:

1. Установите модуль.

# apt install apt-transport-https gnupg2

# echo "deb https://nemesida-security.com/repo/nw/debian buster non-free" > /etc/apt/sources.list.d/NemesidaWAF.list

# echo "deb http://nginx.org/packages/debian/ buster nginx" > /etc/apt/sources.list.d/nginx.list
# wget -O- https://nginx.org/packages/keys/nginx_signing.key | apt-key add -

# echo "deb https://nemesida-security.com/repo/nw/debian bullseye non-free" > /etc/apt/sources.list.d/NemesidaWAF.list

# echo "deb http://nginx.org/packages/debian/ bullseye nginx" > /etc/apt/sources.list.d/nginx.list
# wget -O- https://nginx.org/packages/keys/nginx_signing.key | apt-key add -

# wget -O- https://nemesida-security.com/repo/nw/gpg.key | apt-key add -
# apt update && apt upgrade
# apt install python3 python3-venv python3-dev python3-pip nginx memcached libmemcached-dev postgresql-server-dev-all
# apt install nwaf-cabinet

# apt install apt-transport-https gnupg2

# echo "deb [arch=amd64] https://nemesida-security.com/repo/nw/ubuntu focal non-free" > /etc/apt/sources.list.d/NemesidaWAF.list
# wget -O- https://nemesida-security.com/repo/nw/gpg.key | apt-key add -

# echo "deb http://nginx.org/packages/ubuntu/ focal nginx" > /etc/apt/sources.list.d/nginx.list
# wget -O- https://nginx.org/packages/keys/nginx_signing.key | apt-key add -
# apt update && apt upgrade
# apt install python3.8 python3.8-venv python3.8-dev python3-pip nginx memcached libmemcached-dev build-essential python3-reportbug libpq-dev

# apt install nwaf-cabinet

# setenforce 0

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of three two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected.
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

# rpm -Uvh https://nemesida-security.com/repo/nw/centos/nwaf-release-centos-8-1-6.noarch.rpm
# dnf update
# dnf install python3 python3-pip python3-devel postgresql-devel gcc nginx memcached 
# dnf install nwaf-cabinet

2. Внесите необходимые изменения в файл /var/www/app/cabinet/settings.py.

systemctl enable cabinet_vts
service cabinet_vts restart

3. Разрешите обращения:
— к серверам nemesida-security.com:443, *.nemesida-security.com:443 и geoip.nemesida-security.com:80/443;
— к серверу Memcached 127.0.0.1:11211;
— к серверу с СУБД PostgreSQL;
— к серверам из списка VTS_SERVERS по HTTP или HTTPS протоколам.

4. В настройках межсетевого экрана разрешите обращения к 80 порту (задан по умолчанию в файле /etc/nginx/conf.d/cabinet.conf).

5. Выполните миграцию и установите пароль администратора:

# cd /var/www/app/ && . venv/bin/activate && python3 manage.py migrate && python3 manage.py createsuperuser && deactivate

6. Перезагрузите сервер и проверьте работу модуля:

# systemctl status cabinet cabinet_ipinfo cabinet_attack_nottification cabinet_vts

В целях безопасности рекомендуется ограничить обращения к веб-интерфейсу модуля Личный кабинет Nemesida WAF списком разрешенных IP-адресов для предотвращения управления процессами работы Nemesida WAF неавторизованными пользователям.

Таблица и графики атак

На странице Summaryпредставлена вся сводная информация об аномальных запросах к защищаемому веб-приложению: атаки, связанные с попыткой поиска или эксплуатации уязвимостей, атаки перебора паролей, а также попытки передать вредоносный код (в зависимости от режима работы модулей Nemesida WAF).

Таблица All attacks отображает количественные показатели аномальных запросов за определенный период времени и по их категориям.

График Attacks intensity отображает интенсивность и динамику в разрезе заданного периода и выбранных категорий атак.

Диаграммы Attacks by type позволяют увидеть расширенную информацию об аномальных запросах за определенные периоды (today, last. 24 h, last week, last month).

Диаграммы Statistic by target и Statistic by IP отображают Топ-10 доменов, которые подверглись атакам и Топ-10 IP-адресов, с которых приходили аномальные запросы.

На странице Attacks в качестве индикатора применения поведенческих моделей используются следующие пиктограммы:

• пиктограмма отображается в случае, когда модуль машинного обучения не является причиной блокирования запроса (BT 2, 6, 7);
• пиктограмма отображается в случае, когда поведенческие модели находятся в процессе переобучения;
• пиктограмма отображается в случае, когда причиной блокирования запроса является модуль машинного обучения (BT 3, 8).

Более подробная информация о причинах блокирования запросов модулем Nemesida WAF доступна в соответствующем разделе.

При клике на иконку отображается список событий.

Для ограничения вывода информации в поле поиска доступны логические операторы «!» (исключение) и «and» (объединение).

recheck:confirmed

t:bf

t:ddos

bt:1

waf_id:dd8636c32d177c0c74416c19429a8c4d

group_id:dd8636c32d177c0c74416c19429a8c4d

rule:1022

mz:сookie

url:index.php

h:example.com and possible

h:example.com and !ip:1.2.3.4

h:1.example.com and h:2.example.com and !t:SQLi

h:example.com and t:SQLi and ip:1.2.3.4 and ip:4.3.2.1

Для запросов, заблокированных сигнатурным методом, доступно поле Rule ID, при клике на которое во всплывающем окне отобразятся:

• информация о составе сигнатуры;
• правило исключения (WL) для добавления в конфигурационный файл Nemesida WAF.

К заблокированным запросам с BT 1 и BT 2, имеющим одинаковый Request ID, будет применена группировка. Если запросы перед группировкой были заблокированы различными сигнатурами, то они через запятую будут перечислены в поле Rule ID, а описание уязвимости (например, SQLi, XSS, LFI и т. д.) после группировки будет изменено на Multiple rule.

Более подробная информация о сигнатурах и правилах исключения доступна в соответствующем разделе руководства.

Функционал Recheck

Помимо основного функционала, Nemesida WAF Scanner позволяет выполнять повторную отправку содержимого заблокированного запроса и/или различные вариации на защищаемое веб-приложение. Пользователи, входящие в группу «Администраторы», могут выполнить такую проверку с помощью кнопки , которая становится доступной при выключенной группировке для выявленных атак типа XSS, SQLI, LFI, RFI, имеющих BT 1 или 2. После того как пользователь нажмет на кнопку , на ее месте отобразится статус проверки. В случае обнаружения уязвимости информация будет доступна в разделе «Scanner» в Личном кабинете. Администратор может исключить запрос, нажав на , после чего информация о данном запросе будет доступна в панели администратора во вкладке «Scanner». Для использования функционала Recheck необходимо настроить секцию [recheck] в файле /opt/nws/main.conf.

Использование Recheck может привести к выполнению произвольного кода из запроса на стороне веб-приложения. Применяйте функционал только если полностью уверены в своих действиях.

Возможные значения:

• Processed — проверка выполняется;
• Confirmed — обнаружена уязвимость;
• Not confirmed — уязвимость не обнаружена.

Функционал Unlock Request

Пользователь личного кабинета, который считает блокировку запроса ошибочной, может направить заявку на ее разблокировку администратору нажатием кнопки . На почту администратору будет направлено письмо с описанием заявки. Список всех заявок находится во вкладке . Запрос можно разблокировать или оставить заблокированным. Для разблокировки запроса администратору необходимо создать соответствующее правило для Nemesida WAF, после чего пользователь получит оповещение.

Результаты работы сканера уязвимостей

Информация о работе модуля Nemesida WAF Scanner доступна во вкладке . Администратор может исключить запрос, нажав на , после чего информация о запросе будет доступна в панели администратора во вкладке «Scanner». В дальнейшем аналогичные запросы не будут отображаться на этой вкладке.

h:example.com

!t:SQLi

u:/search.php

p:id

!h:example.com and t:SQLi

Статистика работы модуля «Nginx virtual host traffic status»

На вкладке доступна информация о трафике при взаимодействии с upstream-серверами «nginx», количестве 500-х ошибок, времени отклика, входящей и исходящей скорости в трех периодах (сейчас, неделя, месяц).

Формирование детального отчета в формате PDF и CSV

При переходе на вкладку и будет сформирован детальный отчет о работе Nemesida WAF и его компонентов. Отчет возможно сформировать в формате PDF и CSV.

Панель администратора

Пользователям, входящим в группу «Администраторы», при переходе на вкладку доступен специальный раздел, в котором они могут управлять другими пользователями и их параметрами, а также обрабатывать поступающие запросы.

Список пользователей

Во вкладке отображается список всех пользователей. При клике на иконку происходит удаление пользователя. При клике на иконку открывается окно редактирования пользователя.

Сканер уязвимостей

Список всех заявок на разблокировку запросов

Во вкладке отображается список заявок на разблокировку запросов. При клике на происходит удаление заявки.

При клике на администратор может редактировать заявку.

Создание нового пользователя

При переходе на вкладку открывается окно для создания нового пользователя.

Для того чтобы создать нового пользователя, необходимо заполнить следующие поля:

Вывод дополнительной информации о работе модуля

В случае возникновения проблем при работе модуля необходимо внести изменения в файл /var/www/app/cabinet/settings_extra.py:

...
LOGGING = {
...
   'level': 'INFO'
...
   'level': 'INFO'
...

и перезапустить сервис:

# service cabinet restart

Информация об ошибках в работе Nemesida WAF Cabinet содержится в журналах регистрации событий модуля /var/log/uwsgi/cabinet/*.log, а диагностическая информация — в /var/log/uwsgi/cabinet/debug.log.