Статус проекта

Это обновление статуса проекта Naxsi.

Как вы, возможно, заметили, разработка Naxsi была остановлена, и репозиторий будет заархивирован по историческим причинам. Это означает, что новые обновления или исправления ошибок для этой версии выпускаться не будут.

Однако, если вы хотите обновиться до более новой версии Naxsi, мы рекомендуем использовать новый репозиторий по адресу https://github.com/wargio/naxsi. Этот репозиторий активно поддерживается и обновляется новыми функциями и исправлениями ошибок.

Мы понимаем, что эта новость может разочаровать некоторых пользователей, которые полагались на Naxsi для обеспечения безопасности своих веб-приложений. Мы хотим заверить вас, что мы стремимся предоставлять наилучшие возможные решения для ваших потребностей в безопасности и призываем вас изучить наши продукты по безопасности.

Спасибо за понимание и постоянную поддержку.

Что такое Naxsi?

NAXSI означает Nginx Anti XSS & SQL Injection.

Технически это сторонний модуль nginx, доступный в виде пакета для многих UNIX-подобных платформ. Этот модуль по умолчанию читает небольшой набор простых (и читаемых) правил, содержащих 99% известных шаблонов, участвующих в уязвимостях веб-сайтов. Например, <, | или drop не должны быть частью URI.

Будучи очень простыми, эти шаблоны могут совпадать с легитимными запросами, поэтому администратор Naxsi должен добавить конкретные правила, которые внесут легитимное поведение в белый список. Администратор может либо добавить белые списки вручную, анализируя журнал ошибок nginx, либо (рекомендуется) запустить проект с интенсивной фазой самообучения, которая автоматически сгенерирует правила белого списка на основе поведения веб-сайта.

Короче говоря, Naxsi ведет себя как брандмауэр с политикой "DROP по умолчанию", и единственная задача — добавить необходимые правила ACCEPT для правильной работы целевого веб-сайта.

Чем он отличается?

В отличие от большинства брандмауэров веб-приложений, Naxsi не полагается на сигнатурную базу, как антивирус, и поэтому его нельзя обойти с помощью "неизвестного" шаблона атаки. Naxsi — это свободное программное обеспечение (в смысле свободы) и бесплатное (как бесплатное пиво) для использования.

На чём он работает?

Naxsi должен быть совместим с любой версией nginx.

Он зависит от libpcre для поддержки регулярных выражений и, как сообщается, отлично работает на NetBSD, FreeBSD, OpenBSD, Debian, Ubuntu и CentOS.