В современном мире веб-приложения играют ключевую роль в обеспечении доступа к услугам, это может быть всё, что угодно - новостной портал, видеохостинг, форум, корпоративный портал и подобные сервисы. Однако популярность делает их привлекательной мишенью для кибератак. Веб-приложения остаются одним из основных векторов для атак, а их доля в инцидентах безопасности неуклонно растёт [2]. Уязвимости по типу SQL- инъекций, межсайтового скриптинга (XSS) и подобные, продолжают представлять серьезную угрозу, что подтверждается списком из 10 самых критичных угроз для веб-приложения OWASP Top Ten [3]. В этой работе будет рассмотрена ситуация, когда немедленное исправление всех уязвимостей в коде не представляется возможным, а защита веб-приложений является приоритетной задачей.
Одной из опций для минимизации вероятности эксплуатации уязвимостей веб-приложения является использование WAF. WAF выступает в качестве посредника между веб-приложением и внешним трафиком, в ходе фильтрации трафика он обнаруживает и блокирует запросы с подозрительным содержанием на основе заданных ему правил и сигнатур [4]. Из этого вытекает, что его эффективность зависит от правильной настройки и общей области покрытия правил для обнаружения угроз. Нередко WAF рассматривается как универсальное средство защиты, хотя исследования показывают, что он не всегда способен полностью закрыть уязвимости, особенно связанные с логикой приложения [5].
Цель данной работы — оценить эффективность противодействия межсетевого экрана прикладного уровня на web-приложения.
Для достижения этой цели были поставлены следующие задачи:
1. Провести обзор актуальных атак на веб-приложения.
2. Построить экспериментальный стенд для проведения атак.
3. Разработать инструмент анализа логов межсетевого экрана прикладного уровня.
4. Оценить эффективность межсетевого экрана прикладного уровня на противодействие атакам.
Актуальность исследования обусловлена постоянным ростом числа кибератак и необходимостью наличия у современных веб-приложений эффективных инструментов защиты.
Таким образом, можно сделать вывод, что WAF Modsecurity, реализующий актуальный набор правил OWASP CRS, способен закрыть большинство уязвимостей из списка OWASP Top Ten. По результатам, 12 из 15 рассмотренных типов атак были заблокированы сразу, а возможность создавать пользовательские правила позволила защитить ещё от двух атак, которые пользовались несовершенностью конкретного веб-приложения. Это делает его крайне сильным инструментом для защиты веб-приложения, однако, если атака выполняется без участия веб-сервера, то WAF становится абсолютно бессилен, как и было продемонстрировано на примере атаки DOM XSS.
Для проведения исследования, а также для упрощения подобных исследований в будущем, был разработан инструмент анализа логов WAF, благодаря которому был выявлен факт ложных срабатываний.
