빠른 WAF "패러노이드" 진단 평가

WAFPARAN01D3

웹 애플리케이션 방화벽 패러노이아 레벨 테스트 도구.
— alt3kx.github.io에서

Paranoia Levels(패러노이아 레벨) 소개

본질적으로 Paranoia Level(PL, 패러노이아 레벨)은 Core Rule Set의 공격성을 얼마나 강하게 설정할지 정의할 수 있게 해줍니다.
참조: https://coreruleset.org/20211028/working-with-paranoia-levels/

작동 방식

• wafparan01d3.py python3 스크립트는 GET 파라미터를 기반으로 HTTP 요청의 서로 다른 부분에 배치된 인코딩된 payload를 사용하여 악성 요청을 수집하며, 평가 결과는 사용자 머신에 생성되는 디버그 리포트 파일 wafparan01d3.log에 기록됩니다.
• 기본 구성 레벨을 사용하여 다양한 공격 또는 payload를 설정하면서 각 WAF 패러노이아 레벨의 동작과 응답을 관찰합니다.
• 아래의 PoC는 기본 "Mock"을 설정하고 백엔드를 시뮬레이션하여 처음부터 기본 설치 및 구성을 제공하며, 현재 배포된 WAF를 재사용합니다.
• 사용 가능한 기본 payload는 mysql_gosecure.txt로, gosecure의 연구 "A Scientific Notation Bug in MySQL left AWS WAF Clients Vulnerable to SQL Injection"(여기 https://www.gosecure.net/blog/2021/10/19/a-scientific-notation-bug-in-mysql-left-aws-waf-clients-vulnerable-to-sql-injection/ 참조)를 기반으로 합니다. 기본 구성에서 또는 다양한 규칙/ID를 단계적이고 신속하게 비활성화하여 modsecurity를 사용하는 WAF를 서로 다른 패러노이아 레벨로 평가합니다.

접근 방식

• Pentesters: 권한 있는 "쉘"을 사용하여 WAF Linux 박스에 제한적으로 접근하는 GreyBox 범위로, DEV/STG/TEST 환경에서 다양한 payload를 전송하며 WAF Apache 구성 파일을 시작/리로드 및 편집할 수 있습니다.
  
• 보안 책임자: 조직의 각 솔루션에 적용할 WAF 패러노이아 레벨에 대한 최선의 결정을 내립니다.
  
• 블루팀: 조직에서 규칙을 집행하고, 최상의 알림을 제공하며, 오탐(false positive) 결과를 줄입니다.
  
• 통합업체: 더 깊은 트러블슈팅을 수행하고 규칙을 신속하게 커스터마이징하거나 가상 패치를 생성하여 적절한 WAF 패러노이아 레벨을 정의합니다.
  

개념 증명(PoC): Ubuntu 20.04.3 및 OWASP Core Rule Set (CRS) v3.3.2 기반

참조: https://www.inmotionhosting.com/support/server/apache/install-modsecurity-apache-module/

초기 설치

1. 소프트웨어 리포지토리 업데이트:
   

$ sudo apt update -y && sudo apt dist-upgrade -y

2. 필수 패키지 설치:
   

$ sudo apt-get install build-essential -y

3. ubuntu용 apache2 설치(설치되지 않은 경우):
   

$ sudo apt-get install apache2 -y

4. ModSecurity Apache 모듈 다운로드 및 설치:
   

$ sudo apt install libapache2-mod-security2 -y

5. ubuntu용 curl 설치(설치되지 않은 경우):
   

$ sudo apt-get install curl vim gridsite-clients net-tools -y

6. Apache 서비스 재시작:
   

$ sudo systemctl restart apache2

7. 설치된 소프트웨어 버전이 최소 2.9.x인지 확인:
   

$ sudo apt-cache show libapache2-mod-security2

ModSecurity 구성

1. 파일 복사 및 이름 변경:
   

$ sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf

다음으로 ModSecurity 감지 모드를 변경합니다. 먼저 cd /etc/modsecurity 폴더로 이동합니다.
2. vi, vim, emacs 또는 nano로 ModSecurity 구성 파일을 편집합니다.

$ sudo vim /etc/modsecurity/modsecurity.conf

3. 파일 상단 근처에 SecRuleEngine DetectionOnly가 보일 것입니다. DetectionOnly를 On으로 변경합니다.
   

원래 값: SecRuleEngine DetectionOnly
새 값: SecRuleEngine On

4. 변경 사항을 저장합니다.
   
5. Apache 재시작:
   

$ sudo systemctl restart apache2

OWASP Core Rule Set 다운로드

1. CoreRuleSet.org/installation에서 최신 CRS를 다운로드합니다.
   

$ cd ~
$ wget https://github.com/coreruleset/coreruleset/archive/refs/tags/v3.3.2.zip

2. 체크섬을 검증하고 여기 https://coreruleset.org/installation/ 에 공개된 값과 일치하는지 확인합니다.
   

$ sha1sum v3.3.2.zip && echo ProvidedChecksum
88f336ba32a89922cade11a4b8e986f2e46a97cf  v3.3.2.zip
ProvidedChecksum 

3. zip 파일의 압축을 해제합니다.
   

$ unzip v3.3.2.zip

4. 새 디렉토리의 CRS 설정 파일을 ModSecurity 디렉토리로 이동합니다:
   

$ sudo mv coreruleset-3.3.2/crs-setup.conf.example /etc/modsecurity/crs/crs-setup.conf

• (선택 사항이지만 권장) 새 디렉토리의 rules 디렉토리를 ModSecurity 디렉토리로 이동합니다:
  

$ sudo mv coreruleset-3.3.2/rules/ /etc/modsecurity/crs/

5. Apache security2.conf 파일을 편집하여 ModSecurity 규칙을 로드하도록 합니다:
   

$ sudo vim /etc/apache2/mods-enabled/security2.conf

<IfModule security2_module>
        # Default Debian dir for modsecurity's persistent data
        SecDataDir /var/cache/modsecurity

        # Include all the *.conf files in /etc/modsecurity.
        # Keeping your local configuration in that directory
        # will allow for an easy upgrade of THIS file and
        # make your life easier
        IncludeOptional /etc/modsecurity/crs-setup.conf
        IncludeOptional /etc/modsecurity/rules/*.conf

        # Include OWASP ModSecurity CRS rules if installed
        #IncludeOptional /usr/share/modsecurity-crs/*.load
</IfModule>

6. 기본 ModSecurity 구성 파일과 새 CRS 구성 파일이 모두 나열되어 있는지 확인합니다. 첫 번째 줄의 conf 파일 경로는 이미 포함되어 있을 수 있습니다. 두 번째 파일 경로는 /rules 디렉토리를 이동한 위치여야 합니다.
   
7. /etc/apache2/apache2.conf 편집
   

$ sudo vim /etc/apache2/apache2.conf

다음 코드를 복사하여 붙여넣고 저장합니다.

# Include list of ports to listen on
Include ports.conf

Include /etc/modsecurity/modsecurity.conf
Include /etc/modsecurity/crs/crs-setup.conf
Include /etc/modsecurity/crs/rules/*.conf

Apache 로드 모듈 Rewrite 및 Proxy

1. 다음 모듈을 복사합니다. Proxy 및 Rewrite 모듈을 활성화합니다.
   

$ cd /etc/apache2
$ sudo cp mods-available/proxy_http.load mods-enabled
$ sudo cp mods-available/proxy.load mods-enabled/
$ sudo cp mods-available/rewrite.load mods-enabled/

2. Apache 재시작
   

$ sudo systemctl restart apache2

테스트 "Mocks"용 Virtualhost 추가

1. 포트 추가, /etc/apache2/ports.conf 편집
   

$ sudo vim /etc/apache2/ports.conf

다음 코드를 복사하여 붙여넣고 저장합니다.

# If you just change the port or add more ports here, you will likely also
# have to change the VirtualHost statement in
# /etc/apache2/sites-enabled/000-default.conf

Listen 8080
Listen 18080

<IfModule ssl_module>
        Listen 443
</IfModule>

<IfModule mod_gnutls.c>
        Listen 443
</IfModule>

2. /etc/apache2/sites-enabled로 이동하여 001-test.conf 파일을 생성합니다.
   

$ cd /etc/apache2/sites-enabled/
$ sudo touch 001-test.conf
$ sudo vim 001-test.conf

다음 코드를 복사하여 붙여넣고 저장합니다.

<VirtualHost *:8080>
        ServerName test.domain:8080

        SecRuleEngine On

        ErrorLog ${APACHE_LOG_DIR}/test_error.log
        CustomLog ${APACHE_LOG_DIR}/test_access.log combined
        SecAuditLog ${APACHE_LOG_DIR}/test_audit.log