OpenRASP

소개

WAF와 같은 경계 제어 솔루션과 달리, OpenRASP는 애플리케이션 서버에 보호 엔진을 직접 통합하여 계측(instrumentation)을 통해 동작합니다. 데이터베이스 쿼리, 파일 작업, 네트워크 요청 등 다양한 이벤트를 모니터링할 수 있습니다.

공격이 발생하면 WAF는 악성 요청을 시그니처와 매칭하여 차단합니다. OpenRASP는 민감한 함수를 후킹(hooking)하여 전달되는 입력을 검사/차단하는 다른 접근 방식을 취합니다. 결과적으로 이 검사는 컨텍스트를 인식하고 제자리에서 이루어집니다. 다음과 같은 이점이 있습니다:

1. 성공한 공격만 경보를 발생시키므로 오탐(false positive)이 낮아지고 탐지율이 높아집니다;
2. 상세한 스택 트레이스(stack trace)가 기록되어 포렌식 분석이 용이해집니다;
3. 비정상적인 프로토콜에 영향을 받지 않습니다.

빠른 시작

자세한 설치 지침은 여기를 참조하세요

또한 OWASP TOP 10 공격에 대응하는 몇 가지 테스트 케이스를 제공합니다. 여기서 다운로드

GitBook 문서

이는 rasp.baidu.com의 원본 문서 백업으로, 사이트에 접속할 수 없을 때 제공됩니다. 다음에서 접근하세요: https://test-730.gitbook.io/openrasp-documents-old

FAQ

1. 지원되는 웹 애플리케이션 서버 목록

Linux 플랫폼에서 다음 애플리케이션 서버에서 OpenRASP를 완전히 테스트했습니다:

• Java
  • Tomcat 6-9
  • JBoss 4.X
  • Jetty 7-9
  • Resin 3-4
  • SpringBoot 1-2
  • IBM WebSphpere 8.5, 9.0
  • WebLogic 10.3.6, 12.2.1
• PHP
  • 5.3-5.6, 7.0-7.4

다른 웹 애플리케이션 서버에 대한 지원도 향후 릴리스에 곧 포함될 예정입니다.

2. 애플리케이션 서버에 미치는 성능 영향

릴리스 전에 여러 번의 강력하고 오래 지속되는 스트레스 테스트를 실행했습니다. 최악의 시나리오(후크 포인트가 지속적으로 트리거되는 경우)에서도 서버 성능은 1~4%만 저하되었습니다.

3. 기존 SIEM 또는 SOC와의 통합

OpenRASP는 JSON 형식으로 알람을 기록하며, 이는 Logstash, rsyslog 또는 Flume으로 쉽게 수집할 수 있습니다.

4. 새 플러그인 개발 방법?

플러그인은 이벤트가 발생할 때 콜백을 수신합니다. 그런 다음 현재 동작이 악성인지 여부를 판단하고 필요한 경우 관련 요청을 차단합니다.

자세한 플러그인 개발 지침은 여기에서 확인할 수 있습니다.

연락처

기술 지원:

• RASP QQ group #2: 595568655
• RASP QQ group #1 (full): 259318664
• OpenRASP Google Group

비즈니스 문의, 의견 및 보안 보고:

• 일반 이메일: openrasp-support # baidu.com