ftw

Framework zum Testen von WAFs (FTW)

Zweck

Dieses Projekt wurde von Forschern von ModSecurity und Fastly erstellt, um rigorose Tests für WAF-Regeln bereitzustellen. Es verwendet das OWASP Core Ruleset V3 als Grundlage, um Regeln auf einer WAF zu testen. Jede Regel aus dem Regelsatz wird in eine YAML-Datei geladen, die HTTP-Anfragen ausgibt, die diese Regeln auslösen.

Ziele / Anwendungsfälle umfassen:

• Regressionen in WAF-Bereitstellungen finden, indem kontinuierliche Integration genutzt und wiederholbare Angriffe auf eine WAF durchgeführt werden
• Ein Testframework für neue Regeln in ModSecurity bereitstellen; wenn eine Regel eingereicht wird, MUSS sie entsprechende positive & negative Tests haben
• WAFs gegen ein gemeinsames, akzeptables Basis-Regelset (OWASP) bewerten
• Benutzerdefinierte Regeln für WAFs testen und verifizieren, die nicht Teil des Kernregelsatzes sind

Installation

• git clone [email protected]:fastly/ftw.git
• cd ftw
• Stellen Sie sicher, dass pip installiert ist: apt-get install python-pip
• pip install -r requirements.txt

Ausführen von Tests nur mit HTML-enthält- und Statuscode-Prüfungen

• Erstellen Sie YAML-Dateien, die auf Ihren Webserver mit einer vorgeschalteten WAF verweisen
• py.test test/test_default.py --ruledir test/yaml

Bereitstellung von Apache+Modsecurity+OWASP CRS

Wenn Sie eine Umgebung zum Testen von WAF-Regeln benötigen, wurde eine mit Apache, Modsecurity und Version 3.0.0 des OWASP-Kernregelsatzes erstellt. Diese kann wie folgt bereitgestellt werden:

• Das Repository auschecken: git clone https://github.com/fastly/waf_testbed.git
• vagrant up eingeben

Ausführen von Tests unter Überschreibung der Zieladresse in den YAML-Dateien auf eine benutzerdefinierte Domain

• starten Sie Ihren Test-Webserver
• py.test test/test_default.py --ruledir=test/yaml --destaddr=domain.com --port 443 --protocol https

Integrationstest ausführen, lokaler Webserver, möglicherweise muss sudo verwendet werden

• py.test test/integration/test_logcontains.py -s --ruledir=test/integration/

SO INTEGRIEREN SIE PROTOKOLLE

1. Erstellen Sie eine *.py-Datei mit den erforderlichen Importen; ein Beispiel finden Sie in test/integration/test_logcontains.py
2. Alle Funktionen, die mit test* beginnen, werden von py.test ausgeführt, erstellen Sie also eine Funktion def test_somewaf
3. Implementieren Sie eine Klasse, die von LogChecker erbt
   1. Implementieren Sie die Funktion get_logs(). FTW ruft diese Funktion nach dem Testlauf auf und legt die Datums-/Uhrzeitwerte von self.start und self.end fest.
   2. Verwenden Sie die Informationen aus den datetime-Variablen, um die Protokolle von Ihrer WAF abzurufen, sei es eine Datei oder ein API-Aufruf.
   3. Holen Sie sich die Protokolle, speichern Sie sie in einem Array von Zeichenfolgen und geben Sie sie von get_logs() zurück.
4. Nutzen Sie py.test-Fixtures. Verwenden Sie einen Funktionsdekorator @pytest.fixture, geben Sie Ihr neues -Objekt zurück. Immer wenn Sie in Ihren Tests ein Funktionsargument verwenden, das mit dem Namen dieses übereinstimmt, wird Ihr Objekt instanziiert und das Ausführen von Tests erleichtert. Ein Beispiel dafür finden Sie in der Python-Datei aus Schritt 1.

Programmgesteuertes Erstellen von HTTP-Anfragen

Obwohl es bevorzugt wird, Anfragen im YAML-Format zu stellen, erfordern automatisierte Tests oft viele dynamische Anfragen. In einem solchen Fall wird empfohlen, das py.test-Framework zu verwenden, um Testfälle zu erstellen, die als Teil des Ganzen ausgeführt werden können. Im Allgemeinen ist das Erstellen einer HTTP-Anfrage einfach:

1. Erstellen Sie eine Instanz der HttpUA()-Klasse
2. Erstellen Sie eine Instanz der Input()-Klasse und geben Sie die Parameter an, die Sie nicht standardmäßig haben möchten
3. Übergeben Sie die Instanz der Input-Klasse an HttpUA.send_request()

Einige Beispiele finden Sie in den HTTP-Integrationstests