Name

lua-resty-waf - WAF ad alte prestazioni costruito sullo stack OpenResty

Table of Contents

• Nome
• Stato
• Descrizione
• Requisiti
• Prestazioni
• Installazione
• Sinossi
• Funzioni pubbliche
  • lua-resty-waf.load_secrules()
  • lua-resty-waf.init()
• Metodi pubblici
  • lua-resty-waf:new()
  • lua-resty-waf:set_option()
  • lua-resty-waf:set_var()
  • lua-resty-waf:sieve_rule()
  • lua-resty-waf:exec()
  • lua-resty-waf:write_log_events()
• Opzioni
  • add_ruleset
  • add_ruleset_string
  • allow_unknown_content_types
  • allowed_content_types
  • debug
  • debug_log_level
  • deny_status
  • disable_pcre_optimization
  • event_log_altered_only
  • event_log_buffer_size
  • event_log_level
  • event_log_ngx_vars
  • event_log_periodic_flush
  • event_log_request_arguments
  • event_log_request_body
  • event_log_request_headers
  • event_log_ssl
  • event_log_ssl_sni_host
  • event_log_ssl_verify
  • event_log_socket_proto
  • event_log_target
  • event_log_target_host
  • event_log_target_path
  • event_log_target_port
  • hook_action
  • ignore_rule
  • ignore_ruleset
  • mode
  • nameservers
  • process_multipart_body
  • req_tid_header
  • res_body_max_size
  • res_body_mime_types
  • res_tid_header
  • score_threshold
  • storage_backend
  • storage_keepalive
  • storage_keepalive_timeout
  • storage_keepalive_pool_size
  • storage_memcached_host
  • storage_memcached_port
  • storage_redis_host
  • storage_redis_port
  • storage_zone
• Gestione delle fasi
• Ruleset inclusi
• Definizioni delle regole
• Note
  • Comunità
  • Pull Request
• Roadmap
• Limitazioni
• Licenza
• Bug
• Vedi anche

Status

NOTA: lua-resty-waf è di fatto abbandonato. Questo progetto era utile in un'epoca in cui ModSecurity per Nginx non era un'opzione praticabile; non è più così. C'è stato un tentativo di rivitalizzare il progetto nel 2020, ma non ho le risorse per portarlo a termine; questo lavoro è parzialmente completato nel branch redux.

Description

lua-resty-waf è un WAF proxy inverso costruito usando lo stack OpenResty. Utilizza l'API Lua di Nginx per analizzare le informazioni delle richieste HTTP ed elaborarle secondo una struttura di regole flessibile. lua-resty-waf è distribuito con un ruleset che imita il ModSecurity CRS, oltre ad alcune regole personalizzate create durante lo sviluppo e i test iniziali, e un piccolo patchset virtuale per le minacce emergenti. Inoltre, lua-resty-waf è distribuito con strumenti per tradurre automaticamente le regole ModSecurity esistenti, consentendo agli utenti di estendere l'implementazione di lua-resty-waf senza dover imparare una nuova sintassi per le regole.

lua-resty-waf è stato inizialmente sviluppato da Robert Paprocki per la sua tesi di Master presso la Western Governor's University.

Requirements

lua-resty-waf richiede diversi moduli Lua resty di terze parti, anche se sono tutti inclusi in lua-resty-waf e quindi non devono essere installati separatamente. Si consiglia di installare lua-resty-waf su un sistema che esegua il bundle software OpenResty; lua-resty-waf non è stato testato su piattaforme costruite con pacchetti separati di sorgente Nginx e modulo Lua per Nginx.

Per ottenere prestazioni ottimali di compilazione delle regex, si consiglia di compilare Nginx/OpenResty con una versione di PCRE che supporti la compilazione JIT. Se il tuo sistema operativo non la fornisce, puoi compilare una PCRE con supporto JIT direttamente nella tua build di Nginx/OpenResty. Per farlo, fai riferimento al percorso del sorgente PCRE nel flag di configurazione --with-pcre. Per esempio:```sh

./configure --with-pcre=/path/to/pcre/source --with-pcre-jit

Puoi scaricare il sorgente PCRE dal [sito web di PCRE](http://www.pcre.org/). Vedi anche questo [post del blog](https://www.cryptobells.com/building-openresty-with-pcre-jit/) per una guida passo-passo sulla creazione di OpenResty con una libreria PCRE con JIT abilitato.

## Performance

lua-resty-waf è stato progettato pensando a efficienza e scalabilità. Sfrutta il modello di elaborazione asincrona di Nginx e un design efficiente per elaborare ogni transazione il più rapidamente possibile. I test di carico hanno mostrato che le implementazioni che utilizzano tutti i ruleset forniti, progettati per imitare la logica alla base del ModSecurity CRS, elaborano le transazioni in circa 300-500 microsecondi per richiesta; questo equivale alle prestazioni pubblicizzate dal [WAF di Cloudflare](https://www.cloudflare.com/waf). I test sono stati eseguiti su una configurazione hardware ragionevole (CPU E3-1230, 32 GB di RAM, 2 x 840 EVO in RAID 0), raggiungendo un massimo di circa 15.000 richieste al secondo. Vedi [questo post del blog](http://www.cryptobells.com/freewaf-a-high-performance-scalable-open-web-firewall) per maggiori informazioni.

Il carico di lavoro di lua-resty-waf è quasi esclusivamente vincolato alla CPU. L'impronta di memoria nella VM Lua (esclusa l'archiviazione persistente supportata da `lua-shared-dict`) è di circa 2MB.

## Installazione

È fornito un semplice Makefile:```
# make && sudo make install

In alternativa, installa via Luarocks:```

luarocks install lua-resty-waf

lua-resty-waf utilizza il gestore di pacchetti [OPM](https://github.com/openresty/opm), disponibile nelle distribuzioni moderne di OpenResty. Gli strumenti client OPM richiedono che il tool da riga di comando `resty` sia disponibile nella variabile d'ambiente `PATH` del sistema.

Si noti che per impostazione predefinita lua-resty-waf viene eseguito in modalità SIMULATE, per evitare di influenzare immediatamente un'applicazione; gli utenti che desiderano abilitare le azioni delle regole devono impostare esplicitamente la modalità operativa su ACTIVE.

## Sinossi```lua
http {
    init_by_lua_block {
        -- use resty.core for performance improvement, see the status note above
        require "resty.core"

        -- require the base module
        local lua_resty_waf = require "resty.waf"