ftw

WAFテストフレームワーク（FTW）

目的

このプロジェクトは、ModSecurityとFastlyの研究者によって作成され、WAFルールの厳格なテストを提供することを目的としています。OWASP Core Ruleset V3をベースラインとして、WAF上のルールをテストします。ルールセットの各ルールはYAMLファイルに読み込まれ、これらのルールをトリガーするHTTPリクエストを発行します。ユーザーはテスト発行後にルールの実行を検証し、攻撃から期待される応答が受信されることを確認できます。

目標/ユースケースは以下の通りです:

• 継続的インテグレーションを使用してWAFに再現可能な攻撃を発行し、WAFデプロイメントのリグレッションを発見する
• ModSecurityへの新しいルールのテストフレームワークを提供する。ルールが提出された場合、対応するポジティブテストとネガティブテストが必要です
• 共通の合意されたベースラインルールセット（OWASP）に対してWAFを評価する
• コアルールセットに含まれないカスタムWAFルールをテストおよび検証する

1.0リリースのお知らせについては、OWASP CRSブログをご覧ください。

インストール

• git clone https://github.com/coreruleset/ftw.git
• cd ftw
• virtualenv env && source ./env/bin/activate
• pip install -r requirements.txt
• py.test -s -v test/test_default.py --ruledir=test/yaml

初めてのテストの作成

FTWの中核は、拡張可能なyamlベースのテストです。このセクションでは、そのフォーマット、作成方法、使用方法に関するいくつかのリソースを紹介します。

OWASP CRSは、FTWテストの作成と実行方法を説明した素晴らしいブログ記事を執筆しています。

YAMLFormat.mdは、FTWが現在理解しているすべてのyamlフィールドの信頼できる情報源です。

これら2つのリソースを読めば、テストの作成を始めることができるはずです。ほとんどの場合、ステータスコード応答またはlog_containsディレクティブを使用したWebリクエスト応答をチェックすることになるでしょう。WAFログ内の正規表現をテストするためにFTWを統合する方法については、ExtendingFTW.mdを参照してください。

Apache+ModSecurity+OWASP CRSのプロビジョニング

WAFルールをテストするための環境が必要な場合、Apache、ModSecurity、およびOWASPコアルールセットバージョン3.0.0を使用して作成された環境があります。これは以下でデプロイできます:

• リポジトリをチェックアウト: git clone https://github.com/fastly/waf_testbed.git
• vagrant up と入力