Иван Коробов

Привет! В прошлый раз мы рассмотрели, что представляет из себя WAF, а также изучили, как с ним работать на примере решения Open-Appsec. В рамках этой статьи познакомимся с WAF, сертифицированным в соответствии с требованиями ФСТЭК, и узнаем, в каких случаях его применение обязательно. Также разберемся, как такой инструмент можно использовать с продуктами Selectel. Коротко о WAF Сначала вспомним, что такое WAF и зачем он нужен. Почему WAF необходим В современном мире веб-приложения становятся главной целью злоумышленников, а атаки вроде SQL-инъекций и XSS остаются одними из самых популярных. Без надлежащей защиты даже небольшое приложение с уязвимостью может привести к большим финансовым и репутационным потерям. Существует особые случаи, когда требуется использовать не обычный файрвол для приложений, а сертифицированный. Разберем, что стоит за сертификацией, кто именно и как ее производит, а также рассмотрим примеры, когда без такой дополнительной меры защиты не обойтись. В РФ есть специальная служба — ФСТЭК (Федеральная служба по техническому и экспортному контролю). В ее полномочия входит проверка средств защиты информации на соответствие российским нормативам по информационной безопасности. Такая проверка и является процессом сертификации. Наличие сертификата ФСТЭК критически важно для компаний, которые обязаны соблюдать законы и другие нормативные акты, регламентирующие правила работы в сфере информационной безопасности — например приказ ФСТЭК № 17, который описывает требования к работе со сведениями в информационных системах. Для таких компаний наличие сертифицированного WAF обязательно — иначе не пройти проверку на соответствие или получить штраф за нарушение требований законодательства.Также WAF (не обязательно с сертификатом ФСТЭК) требуется для выполнения требований ФЗ‑152 и приказа ФСТЭК № 21, которые устанавливают порядок обращения с персональными данными. Процесс получения сертификата непростой, проводится специальный аудит на удовлетворение требований законодательства. Например, SolidWall WAF сертифицируется на соответствие: четвертому уровню доверия (УД) — как изложено в Требованиях по безопасности информации, утвержденных приказом ФСТЭК России от 2 июня 2020 года, № 76; профилю защиты межсетевого экрана, тип «Г» четвертого класса, описанному в методическом документе «Профили защиты межсетевых экранов» от 16 декабря 2016 года. Все средства защиты информации, получившие сертификат ФСТЭК, добавляются в специальный государственный реестр. К примеру, SolidWall WAF на данный момент имеет сертификат № 4652, действующий до 13 февраля 2028 года. Зачем нужен сертифицированный WAF Выше мы упоминали о ряде требований к WAF, устанавливаемых приказами ФСТЭК России № 17 и № 21, которые призваны обеспечить безопасность информации, обрабатываемой в ГИС или ИСПДн. Рассмотрим их подробнее — список оцениваемых критериев не маленький. Приказ ФСТЭК России № 17 от 11.02.2013 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»: УПД.3: Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами. ЗИС.17: Разбиение информационной системы на сегменты (сегментирование информационной системы) и обеспечение защиты периметров сегментов информационной системы. ЗИС.22: Защита информационной системы от угроз, направленных на отказ в обслуживании. ЗИС.23: Защита периметра информационной системы при взаимодействии с иными системами и сетями. Приказ ФСТЭК России № 21 от 18.02.2013 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»: УПД.3: Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами ЗИС.17: Разбиение информационной системы на сегменты (сегментирование информационной системы) и обеспечение защиты периметров сегментов информационной системы. Как видно, наличие сертификата у файрвола приложений гарантирует, что он должным образом фильтрует и контролирует входящий и исходящий трафик, предотвращает несанкционированный доступ и атаки с целью нарушения работы информационных систем. SolidWall WAF Возможности решения Анализ и блокировка атак, включая SQL‑инъекции, XSS, CSRF, Directory Traversal и другие. Машинное обучение для автоматической настройки под конкретное приложение минимизируют ложные срабатывания и повышают эффективность защиты. Инвентаризация бизнес-логики анализирует трафик для выявления бизнес-логики и компонентов приложения, что позволяет настраивать защиту более точно. Преимущества решения Соответствие требованиям безопасности, устанавливаемых ФСТЭК России, что подтверждается наличием сертификата. Гибкость и масштабируемость позволяет строить распределенные отказоустойчивые конфигурации, что одновременно обеспечивает и надежность, и производительность. Удобство управления благодаря веб-интерфейсу, а также поддержке командной строки и REST API для управления и настройки, что упрощает эксплуатацию и интеграцию с другими системами. SolidWall WAF — эффективный инструмент безопасности веб-приложений, который сочетает в себе технологии анализа и защиты, удобен в использовании и соответствует российским стандартам информационной безопасности. В системах, которые подлежат аттестации по требованиям Приказа ФСТЭК России № 17, должны применяться сертифицированные средства защиты информации. Инсталляции WAF в дата‑центрах тоже могут быть аттестованы. При этом обмен чувствительными данными между WAF и защищаемым приложением должен проходить по защищенному каналу связи с использованием средств криптографической защиты информации (СКЗИ) определенного класса. Последнее требование может быть ослаблено, если выделенная инсталляция сертифицируемого WAF находится в составе аттестуемой системы, то есть не выходит за пределы контролируемой зоны (КЗ). В таком случае файрвол приложений полностью управляется владельцем инфраструктуры. Из чего состоит SolidWall WAF Узел управления (WAF manager) — содержит в себе компоненты управления для настройки параметров публикации и правил анализа трафика. Узел анализа трафика (WAF analyzer) — непосредственно выявляет признаки вредоносных запросов и ответов. Стоит отметить, что SolidWall WAF можно использовать в самых разных архитектурах: от all-in-one, когда оба компонента устанавливаются на один сервер, до кластерного исполнения с разделением компонентов управления и анализа трафика. Пример использования Для иллюстрации поднимем в аттестованном облаке Selectel SolidWall WAF в All-in-one архитектуре и рассмотрим HA-вариант его инсталляции. Целевая схема. Итак, в качестве Cloud Firewall можно использовать облачный файрвол или сертифицированный виртуальный межсетевой экран, если требуется аттестация. На облачном МСЭ настраивается фильтрация входящего и исходящего трафика. WAF разворачивается на отдельной виртуальной машине. Для расшифровки HTTPS-трафика необходимо терминировать TLS-сертификат на виртуальном межсетевом экране или на WAF. В обоих случаях к приложению доходит только легитимный трафик по HTTP. Подобную схему можно также собрать на выделенных серверах в А-ЦОД, где на периметре будет аппаратный межсетевой экран. WAF представляет собой отдельный аплайнс, на котором можно терминировать TLS-сертификат. В этом случае схема будет следующей: Схема инсталляции на выделенных серверах. Установка WAF Рассмотрим процесс установки WAF. 1. Загружаем образ WAF в облако. 2. Создаем виртуальную машину (ВМ) со следующими параметрами: 4 x vCPU, 8 ГБ RAM, 200 ГБ SSD; источник загрузки — загруженный образ WAF. Создание виртуальной машины в панели управления. Необходимо добавить два сетевых интерфейса: один на этапе создания ВМ, второй — для связности с защищаемым приложением через локальную сеть. 3. После создания ВМ дожидаемся окончания загрузки, выбираем язык (English). 4. Запускаем установку Ubuntu + WAF: Установка обычно занимает не более 10 минут. 5. Авторизуемся в консоли с учетной записью WAF. 6. При standalone-инсталляции выбираем Yes. 7. Будут доступны три режима установки: Reverse proxy Passive traffic capture Hybrid mode (both components) Выбираем Reverse proxy, так как нам необходимо завести приложение за WAF: 8. Далее необходимо указать IP‑адрес хоста с защищаемым приложением: 9. Также порт, на котором защищаемое приложение находится: Дожидаемся установки компонентов приложения. 10. Настало время задать пароль для учетной записи WAF, а также настроить сетевые интерфейсы в Netplan. 11. После можно получить доступ к веб-интерфейс WAF, набрав в адресной строке браузера: Веб‑интерфейс WAF. Интерфейс WAF В интерфейсе управления есть несколько разделов. Кратко ознакомимся с их предназначением. Обзор В данном разделе для каждого приложения можно увидеть график блокировок, различные категории запросов, в том числе отфильтрованных по значению статуса. События Раздел содержит список событий в разрезе приложений. Правила По умолчанию доступен некоторый набор правил, подходящих для общего случая. Для каждого приложения можно добавлять правила, создавая граф: Источники, списки, цели Для каждого приложения можно создавать уникальные источники данных, а также задавать общие источники, списки и цели. Приложения Раздел, в котором осуществляется управление приложениями. Создадим для примера приложение juiceshop.test: Как видим, в разрезе отдельного приложения доступен ряд настроек и дашбордов. Настройки В настройках есть следующие разделы. 1. Управление анализаторами: Можно добавлять и удалять анализаторы, управлять их отдельными модулями. 2. Управление доступом В разделе управления доступом пользователям можно задать одну из трех ролей: «Администратор», «Аналитик» или «Только для чтения». 3. Подавление аномалий: Здесь добавляются правила подавления аномалий, настроенные по определенным условиям выявления. 4. Настройки панели управления: Здесь доступны настройки парольной политики, почты, языка интерфейса и LDAP. 5. Журнал Лог событий управления WAF. 6. Конфигурация модулей: Доступна кастомизация параметров модуля ModSecurity. 7. Отслеживание сессий: 8. Настройки аутентификации через nginx: Можно указать логин и пароль для baseauth nginx.Отчеты В этом разделе можно настроить, например, экспорт отчетов по использованию RPS на почту. Помощь Здесь находится информация о версиях компонентов WAF. На данном этапе установка завершена и необходимо выполнить настройку для защиты сервера. Однако прежде установим тестовое приложение. Установка приложения за WAF 1. Создадим еще одну виртуальную машину в локальной сети WAF согласно исходной схеме. 2. Установим Docker: 3. Скачаем и запустим контейнер с уязвимым приложением: 4. Отредактируем файл /etc/hosts/ на локальном хосте, добавив запись: Приложение доступно: Настройка WAF 1. Создадим правило reverse-proxy для solidwall-nginx, добавив следующий код в новый файл /etc/solidwall-nginx/sites-available/juiceshop: Создадим в системе ссылку на правило выше: Перезагрузим службу solidwall-nginx: 2. В веб-интерфейсе создаем новое приложение, а для его настройки указываем имя juiceshop.test: 3. Теперь если в /etc/hosts заменить IP-адрес для имени juiceshop.test на белый адрес WAF и обратиться снаружи на http://juiceshop.test, то откроется страница уязвимого приложения: В списке транзакций будут видны запросы, по каждой из них можно посмотреть детальную информацию: Приложение заведено за WAF. Внешнее сканирование уязвимостей 1. Воспользуемся nikto для сканирования тестового приложения. Выполним следующую команду на удаленном хосте: SolidWall WAF в режиме реального времени отображает запросы, каждый из которых можно открыть и увидеть в «разобранном» виде: На основе выявленной в запросе аномалии можно сразу принять решение о подавлении подобных случаев: Также можно увидеть решение WAF относительно пропуска запроса к защищаемому приложения и список правил, на основе которых оно было принято: Правила можно сразу же посмотреть и отредактировать при необходимости: Даже на основе правил по умолчанию SolidWall WAF при сканировании обнаружил большое количество атак, распределив их по типам: Можно посмотреть запросы, соотносящиеся с определенным типом: Также видны и ответы сервера: Такая детализация позволяет видеть все части HTTP-запроса и ответа, что дает возможность подготавливать правила для WAF более эффективно. Теперь переключим SolidWall WAF в активный режим, чтобы он блокировал вредоносные запросы. На сервере с приложением запишем дамп входящего трафика: Чтобы проанализировать, какие именно запросы WAF пропустил к приложению, снова запустим nikto. Видно, что WAF заблокировал все запросы, не относящиеся к типу GET, поскольку посчитал их вредоносными на основе предусмотренных правил.. Исключением стал один POST-запрос, который был пропущен. Бо́льшая часть GET-запросов также была заблокирована: По результатам сканирования пропущенными оказались следующие запросы: Обратите внимание, что мы не делали никаких настроек для приложения. Под пропущенные запросы можно также дописать правила блокировки аномалий в случае необходимости. Тестирование обхода WAF Как и в статье про WAF Open-appsec, воспользуемся утилитой waf_bypass для проверки возможности обхода файрвола. 1. Клонируем репозиторий и запускаем решение локально: 2. Запускаем waf-bypass (IP для juiceshop.test предварительно добавим в /etc/hosts): 3. Проведем тестирование в режиме активной защиты: Тест в режиме активной защиты. Как видим из отчета, BYPASSED равен 3,47%. Это довольно хороший результат, который можно улучшить путем тонкой настройки правил WAF. HA-архитектура Как было сказано ранее, возможны также кластерные архитектуры WAF. Рассмотрим кратко, каким может быть алгоритм инсталляции в облаке. Схема архитектуры. 1. На облачном (или виртуальном сертифицированном) МСЭ настраивается фильтрация входящего трафика. 2. Трафик пробрасывается на облачный балансировщик нагрузки (БН), который в данном случае указан в варианте с резервированием. 3. WAF разворачивается на нескольких ВМ (нод анализа трафика). TLS-сертификат публикуется на WAF. 4. Очищенный трафик отправляется на балансировщик нагрузки, который распределяет его по нескольким инсталляциям приложений. В качестве второго БН может быть как облачный БН, так и отдельные инсталляции, например HAProxy. 5. Легитимный трафик направляется к приложению по HTTP. Выводы В современном мире, где веб-приложения становятся ключевой частью бизнеса и инфраструктуры, защита от киберугроз — это необходимость, а не опция. Файрвол веб‑приложений играет важнейшую роль в обеспечении безопасности, предотвращая атаки, которые могут приводить к утечке данных, финансовым и репутационным потерям. Использование сертифицированных WAF, таких как SolidWall WAF, позволяет не только эффективно защищать приложения от распространенных уязвимостей, но и соответствовать требованиям законодательства — например, приказы ФСТЭК № 17 и № 21. Сертифицированный WAF также гарантирует, что ваше решение отвечает высоким стандартам безопасности и может применяться даже в критически важных системах. Спасибо за внимание!

Иван Коробов

Материалы автора

Список опасных портов и чек-лист по закрытию лазеек

Краткое пособие по безопасной работе с портами