waf-defense-rulepacks

Informazioni sul progetto

WAF Defense Rulepacks è una raccolta selezionata di regole di sicurezza ottimizzate, progettate per i Web Application Firewall più diffusi nel settore. Un WAF si trova tra gli utenti e le applicazioni web: esamina ogni richiesta HTTP e blocca quelle che corrispondono a schemi di attacco noti, come SQL injection, cross-site scripting (XSS), command injection, path traversal e altri. Questo progetto offre tre pacchetti completi di regole, ognuno ottimizzato per una specifica piattaforma WAF: ModSecurity (lo standard open source usato con Apache e Nginx), AWS WAF (il firewall cloud native di Amazon) e Cloudflare WAF (il firewall integrato nella CDN ampiamente utilizzato). Ogni pacchetto copre tutte le categorie OWASP Top 10, gli schemi di attacco specifici delle API e le moderne tecniche di elusione che aggirano le configurazioni WAF predefinite.

Perché è importante

I Web Application Firewall sono uno strato di difesa essenziale per qualsiasi applicazione esposta a Internet, ma sono efficaci solo quanto le loro regole. Le regole WAF predefinite della maggior parte dei fornitori offrono una protezione di base, ma non rilevano gli attacchi sofisticati, le moderne tecniche di elusione e le vulnerabilità specifiche delle applicazioni. Gli studi mostrano che oltre il 40% delle organizzazioni che usano WAF presenta lacune significative nella copertura delle regole. I WAF configurati male creano un falso senso di sicurezza: le organizzazioni credono di essere protette, mentre in realtà i loro WAF possono essere aggirati facilmente.

Guida passo passo

1. Seleziona il pacchetto di regole adatto alla tua piattaforma WAF (ModSecurity, AWS WAF o Cloudflare). Ogni pacchetto si trova in una directory dedicata con un README che spiega prerequisiti e requisiti di compatibilità.
2. Importa le regole con lo script di installazione automatica fornito per ciascuna piattaforma. Per ModSecurity, esegui 'install-modsec.sh'. Per AWS WAF, usa i template Terraform in /aws-waf/terraform/. Per Cloudflare, usa lo script API in /cloudflare/deploy.sh.
3. Configura le soglie di blocco e i livelli di sensibilità per il tuo ambiente. Inizia in modalità 'solo rilevamento' (logging senza blocco) impostando DETECTION_MODE=true. Monitora i falsi positivi per 1-2 settimane prima di attivare il blocco.
4. Monitora regolarmente i log del WAF e adatta le regole ai modelli di traffico legittimo. Usa gli script di analisi dei log inclusi per identificare possibili falsi positivi e creare regole di eccezione.

Tecnologie utilizzate