ftw

إطار لاختبار جدران الحماية (FTW)

الغرض

تم إنشاء هذا المشروع بواسطة باحثين من ModSecurity وFastly لتوفير اختبارات صارمة لقواعد جدران الحماية (WAF). يستخدم مجموعة القواعد الأساسية لـ OWASP الإصدار 3 كخط أساس لاختبار القواعد على جدار الحماية. يتم تحميل كل قاعدة من مجموعة القواعد في ملف YAML يُصدر طلبات HTTP تؤدي إلى تفعيل هذه القواعد. يمكن للمستخدمين التحقق من تنفيذ القاعدة بعد إصدار الاختبارات للتأكد من استلام الرد المتوقع من الهجوم.

تتضمن الأهداف / حالات الاستخدام ما يلي:

• اكتشاف الانحدارات في نشر جدران الحماية باستخدام التكامل المستمر وإصدار هجمات قابلة للتكرار على جدار الحماية
• توفير إطار اختبار للقواعد الجديدة في ModSecurity؛ إذا تم تقديم قاعدة، فيجب أن تحتوي على اختبارات إيجابية وسلبية مقابلة
• تقييم جدران الحماية مقابل مجموعة قواعد أساسية مقبولة ومشتركة (OWASP)
• اختبار والتحقق من القواعد المخصصة لجدران الحماية غير المضمنة في مجموعة القواعد الأساسية

للإعلان عن إصدارنا 1.0، راجع مدونة OWASP CRS

التثبيت

• git clone https://github.com/coreruleset/ftw.git
• cd ftw
• virtualenv env && source ./env/bin/activate
• pip install -r requirements.txt
• py.test -s -v test/test_default.py --ruledir=test/yaml

كتابة اختباراتك الأولى

جوهر FTW هو اختباراته القابلة للتوسع والمبنية على yaml. يسرد هذا القسم بعض الموارد حول كيفية تنسيقها، وكيفية كتابتها، وكيفية استخدامها.

كتبت OWASP CRS مقالة ممتازة تصف كيفية كتابة وتنفيذ اختبارات FTW.

YAMLFormat.md هو المرجع الأساسي لجميع حقول yaml التي يفهمها FTW حالياً.

بعد قراءة هذين المصدرين، ينبغي أن تكون قادراً على البدء في كتابة الاختبارات. على الأرجح ستقوم بالتحقق من رموز حالة الاستجابة، أو استجابات طلب الويب باستخدام توجيه log_contains. لدمج FTW لاختبار التعبيرات العادية داخل سجلات جدار الحماية الخاص بك، راجع ExtendingFTW.md

توفير بيئة Apache+Modsecurity+OWASP CRS

إذا كنت بحاجة إلى بيئة لاختبار قواعد جدار الحماية، فهناك بيئة تم إنشاؤها باستخدام Apache وModsecurity والإصدار 3.0.0 من مجموعة القواعد الأساسية لـ OWASP. يمكن نشرها عن طريق:

• استنساخ المستودع: git clone https://github.com/fastly/waf_testbed.git
• كتابة الأمر vagrant up