WAFテストフレームワーク (FTW)

目的

このプロジェクトは、ModSecurityとFastlyの研究者によって作成され、WAFルールの厳格なテストを提供することを目的としています。OWASP Core Ruleset V3をベースラインとして使用し、WAF上のルールをテストします。ルールセットの各ルールはYAMLファイルに読み込まれ、これらのルールをトリガーするHTTPリクエストを発行します。

目標/ユースケースは次のとおりです。

継続的インテグレーションを使用して、WAFデプロイメントのリグレッションを発見し、WAFに対して繰り返し可能な攻撃を発行する
ModSecurityへの新しいルールのテストフレームワークを提供する。ルールが提出された場合、対応するポジティブテストとネガティブテストが必要です。
共通の合意されたベースラインルールセット（OWASP）に対してWAFを評価する
コアルールセットに含まれないWAFのカスタムルールをテストおよび検証する

インストール

git clone [email protected]:fastly/ftw.git
cd ftw
pipがインストールされていることを確認してください apt-get install python-pip
pip install -r requirements.txt

HTML contains とステータスコードチェックのみを使用したテストの実行

あなたのWebサーバー（前面にWAFがある）を指すYAMLファイルを作成します
py.test test/test_default.py --ruledir test/yaml

Apache+Modsecurity+OWASP CRSのプロビジョニング

WAFルールをテストするための環境が必要な場合は、Apache、Modsecurity、およびOWASPコアルールセットのバージョン3.0.0を使用した環境が作成されています。これは次のようにしてデプロイできます。

リポジトリをチェックアウトする: git clone https://github.com/fastly/waf_testbed.git
vagrant up と入力する

YAMLファイル内の宛先アドレスをカスタムドメインに上書きしてテストを実行する

テスト用Webサーバーを起動します
py.test test/test_default.py --ruledir=test/yaml --destaddr=domain.com --port 443 --protocol https

統合テストの実行、ローカルWebサーバー、sudoが必要な場合があります

py.test test/integration/test_logcontains.py -s --ruledir=test/integration/

ログの統合方法

必要なインポートを含む *.py ファイルを作成します。例は test/integration/test_logcontains.py に示されています。
test* で始まるすべての関数は py.test によって実行されるので、関数 def test_somewaf を作成します。
LogChecker を継承するクラスを実装します。
1. get_logs() 関数を実装します。FTWはテストの実行後にこの関数を呼び出し、self.start と self.end のdatetimeを設定します。
2. datetime変数の情報を使用して、ファイルまたはAPI呼び出しのいずれかからWAFのログを取得します。
3. ログを取得し、文字列の配列に格納して、get_logs() から返します。
py.testフィクスチャ を活用します。関数デコレータ @pytest.fixture を使用し、新しい LogChecker オブジェクトを返します。テスト内でその @pytest.fixture の名前と一致する関数引数を使用すると、オブジェクトがインスタンス化され、テストの実行が容易になります。これの例はステップ1のPythonファイルにあります。

プログラムによるHTTPリクエストの作成

YAML形式を使用してリクエストを行うことが推奨されますが、自動テストでは多くの動的リクエストを行う必要があることがよくあります。そのような場合は、py.testフレームワークを利用して、全体の一部として実行できるテストケースを生成することをお勧めします。一般的にHTTPリクエストを行うのは簡単です:

HttpUA() クラスのインスタンスを作成します
Input() クラスのインスタンスを作成し、デフォルトにしたくないパラメータを指定します
inputクラスのインスタンスを HttpUA.send_request() に提供します

例については、http統合テストを参照してください

ftw

人気