ftw

WAF 테스트를 위한 프레임워크 (FTW)

목적

이 프로젝트는 ModSecurity와 Fastly의 연구원들이 WAF 규칙에 대한 엄격한 테스트를 제공하기 위해 만들어졌습니다. OWASP Core Ruleset V3을 기준으로 WAF에서 규칙을 테스트합니다. 규칙 세트의 각 규칙은 YAML 파일에 로드되어 이러한 규칙을 트리거하는 HTTP 요청을 발행합니다. 사용자는 테스트가 발행된 후 규칙 실행을 확인하여 공격으로부터 예상된 응답이 수신되는지 확인할 수 있습니다.

목표 / 사용 사례:

• 지속적 통합을 사용하고 반복 가능한 공격을 WAF에 발행하여 WAF 배포의 회귀를 찾습니다.
• ModSecurity에 새 규칙을 위한 테스트 프레임워크를 제공합니다. 규칙이 제출되면 해당하는 긍정 및 부정 테스트가 있어야 합니다.
• 공통적이고 합의된 기준 규칙 세트(OWASP)에 대해 WAF를 평가합니다.
• 핵심 규칙 세트에 포함되지 않은 WAF에 대한 사용자 정의 규칙을 테스트하고 검증합니다.

1.0 릴리스 발표는 OWASP CRS 블로그를 확인하세요.

설치

• git clone https://github.com/coreruleset/ftw.git
• cd ftw
• virtualenv env && source ./env/bin/activate
• pip install -r requirements.txt
• py.test -s -v test/test_default.py --ruledir=test/yaml

첫 번째 테스트 작성

FTW의 핵심은 확장 가능한 yaml 기반 테스트입니다. 이 섹션에서는 형식, 작성 방법 및 사용 방법에 대한 몇 가지 리소스를 나열합니다.

OWASP CRS는 FTW 테스트 작성 및 실행 방법을 설명하는 훌륭한 블로그 게시물을 작성했습니다.

YAMLFormat.md는 현재 FTW가 이해하는 모든 yaml 필드의 기준입니다.

이 두 가지 자료를 읽은 후에는 테스트 작성을 시작할 수 있습니다. 대부분 상태 코드 응답을 확인하거나 log_contains 지시문을 사용하여 웹 요청 응답을 확인하게 됩니다. WAF 로그 내에서 정규식을 테스트하기 위해 FTW를 통합하는 방법은 ExtendingFTW.md를 참조하세요.

Apache+Modsecurity+OWASP CRS 프로비저닝

WAF 규칙 테스트를 위한 환경이 필요하다면 Apache, Modsecurity 및 OWASP 핵심 규칙 세트 버전 3.0.0으로 생성된 환경이 있습니다. 다음을 통해 배포할 수 있습니다:

• 리포지토리 체크아웃: git clone https://github.com/fastly/waf_testbed.git
• 입력: vagrant up