تقييم سريع لمستوى "جنون العظمة" (Paranoid) في WAF

WAFPARAN01D3

أداة اختبار مستوى جنون العظمة لجدار حماية تطبيقات الويب (WAF).
— من alt3kx.github.io

مقدمة إلى مستويات جنون العظمة (Paranoia Levels)

في جوهر الأمر، يتيح لك مستوى جنون العظمة (PL) تحديد مدى عدوانية مجموعة القواعد الأساسية (Core Rule Set).
المرجع: https://coreruleset.org/20211028/working-with-paranoia-levels/

كيف يعمل

• يأخذ سكربت بايثون 3 wafparan01d3.py الطلبات الخبيثة باستخدام حمولات مشفّرة موضوعة في أجزاء مختلفة من طلبات HTTP استنادًا إلى معاملات GET، وتُسجَّل نتائج التقييم في ملف تقرير التصحيح wafparan01d3.log المنشأ على جهازك.
• لاحظ السلوك والاستجابة لكل مستوى جنون عظمة في WAF عند ضبط هجمات أو حمولات مختلفة باستخدام مستوى الإعداد الافتراضي.
• يوفر إثبات المفهوم (PoC) أدناه التثبيت والإعداد الأساسيين من الصفر، وإعادة استخدام WAF الحالي المنشور عن طريق ضبط "Mock" أساسي ومحاكاة الواجهة الخلفية (backend).
• كانت الحمولات الافتراضية المتاحة تُسمى mysql_gosecure.txt استنادًا إلى البحث "خطأ في الترميز العلمي في MySQL جعل عملاء AWS WAF عرضة لحقن SQL" من gosecure والمتاح هنا https://www.gosecure.net/blog/2021/10/19/a-scientific-notation-bug-in-mysql-left-aws-waf-clients-vulnerable-to-sql-injection/ وذلك لتقييم جدران الحماية لدينا باستخدام modsecurity في مستوياتها المختلفة من جنون العظمة سواء في إعداد افتراضي أو عن طريق تعطيل قواعد/معرّفات مختلفة بطريقة متدرجة وسريعة.

النهج

• Pentesters: نطاق الصندوق الرمادي (GreyBox) مع وصول محدود إلى جهاز WAF بنظام Linux باستخدام "قشرة" (shell) بصلاحيات لبدء/إعادة تحميل وتحرير ملفات إعداد Apache الخاصة بـ WAF على بيئات DEV/STG/TEST مع إرسال حمولات مختلفة.
  
• Secutity Officers: اتخاذ القرار الأفضل لتطبيق مستوى جنون العظمة في WAF لكل حل داخل مؤسستك.
  
• Blueteamers: فرض القواعد، وأفضل تنبيه، ونتائج إيجابية كاذبة أقل في مؤسستك.
  
• Integrators: إجراء استكشاف أخطاء أعمق وتحديد المستوى المناسب لجنون العظمة في WAF بسرعة مع تخصيص القواعد أو إنشاء رقع افتراضية.
  

إثبات المفهوم: استنادًا إلى Ubuntu 20.04.3 ومجموعة القواعد الأساسية OWASP (CRS) v3.3.2

المرجع: https://www.inmotionhosting.com/support/server/apache/install-modsecurity-apache-module/

التثبيت الأولي

1. تحديث مستودعات البرامج:
   

$ sudo apt update -y && sudo apt dist-upgrade -y

2. تثبيت الحزم الأساسية:
   

$ sudo apt-get install build-essential -y

3. تثبيت Apache2 لأوبونتو (إذا لم يكن مثبتًا):
   

$ sudo apt-get install apache2 -y

4. تنزيل وتثبيت وحدة ModSecurity الخاصة بـ Apache:
   

$ sudo apt install libapache2-mod-security2 -y

5. تثبيت curl لأوبونتو (إذا لم يكن مثبتًا):
   

$ sudo apt-get install curl vim gridsite-clients net-tools -y

6. إعادة تشغيل خدمة Apache:
   

$ sudo systemctl restart apache2

7. التأكد من أن إصدار البرنامج المثبت هو 2.9.x على الأقل:
   

$ sudo apt-cache show libapache2-mod-security2

إعداد ModSecurity

1. انسخ الملف وأعد تسميته:
   

$ sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf

بعد ذلك، غيّر وضع الكشف في ModSecurity. أولًا، انتقل إلى المجلد cd /etc/modsecurity
2. حرّر ملف إعداد ModSecurity باستخدام vi أو vim أو emacs أو nano.

$ sudo vim /etc/modsecurity/modsecurity.conf

3. بالقرب من أعلى الملف، سترى SecRuleEngine DetectionOnly. غيّر DetectionOnly إلى On.
   

القيمة الأصلية: SecRuleEngine DetectionOnly
القيمة الجديدة: SecRuleEngine On

4. احفظ التغييرات.
   
5. أعد تشغيل Apache:
   

$ sudo systemctl restart apache2

تنزيل مجموعة القواعد الأساسية OWASP (Core Rule Set)

1. نزّل أحدث إصدار من CRS من موقع CoreRuleSet.org/installation
   

$ cd ~
$ wget https://github.com/coreruleset/coreruleset/archive/refs/tags/v3.3.2.zip

2. تحقق من المجموع الاختباري (checksum)، وتأكد من مطابقته للمجموع المتاح للعموم هنا: https://coreruleset.org/installation/
   

$ sha1sum v3.3.2.zip && echo ProvidedChecksum
88f336ba32a89922cade11a4b8e986f2e46a97cf  v3.3.2.zip
ProvidedChecksum 

3. فك ضغط ملف zip.
   

$ unzip v3.3.2.zip

4. انقل ملف إعداد CRS من الدليل الجديد إلى دليل ModSecurity الخاص بك:
   

$ sudo mv coreruleset-3.3.2/crs-setup.conf.example /etc/modsecurity/crs/crs-setup.conf

• (اختياري لكن موصى به) انقل دليل القواعد من الدليل الجديد إلى دليل ModSecurity الخاص بك:
  

$ sudo mv coreruleset-3.3.2/rules/ /etc/modsecurity/crs/

5. حرّر ملف security2.conf الخاص بخادم Apache لديك للتأكد من أنه سيحمّل قواعد ModSecurity:
   

$ sudo vim /etc/apache2/mods-enabled/security2.conf

<IfModule security2_module>
        # Default Debian dir for modsecurity's persistent data
        SecDataDir /var/cache/modsecurity

        # Include all the *.conf files in /etc/modsecurity.
        # Keeping your local configuration in that directory
        # will allow for an easy upgrade of THIS file and
        # make your life easier
        IncludeOptional /etc/modsecurity/crs-setup.conf
        IncludeOptional /etc/modsecurity/rules/*.conf

        # Include OWASP ModSecurity CRS rules if installed
        #IncludeOptional /usr/share/modsecurity-crs/*.load
</IfModule>

6. تأكد من إدراج كل من ملفي إعداد ModSecurity الافتراضي وCRS الجديد في القائمة. قد يكون مسار ملف الإعداد في السطر الأول مضمنًا بالفعل. يجب أن يكون مسار الملف الثاني هو المكان الذي نقلت إليه دليل /rules.
   
7. حرّر /etc/apache2/apache2.conf
   

$ sudo vim /etc/apache2/apache2.conf

انسخ والصق الكود التالي واحفظه.

# Include list of ports to listen on
Include ports.conf

Include /etc/modsecurity/modsecurity.conf
Include /etc/modsecurity/crs/crs-setup.conf
Include /etc/modsecurity/crs/rules/*.conf