如何打造一款可靠的WAF

之前写了一篇《WAF防御能力评测及工具》 ，是站在安全运维人员选型WAF产品的角度来考虑的(优先从测试角度考虑是前职业病，毕竟当过3年游戏测试!)。本篇文章从WAF产品研发的角度来YY如何实现
一款可靠的WAF，灵感来自ModSecurity等，感谢开源。本片文章包括三个主题(1) WAF实现WAF包括哪些组件,这些组件如何交互来实现WAF防御功能(2)WAF规则(策略)维护规则(策略)如何维护，包括
获取渠道，规则测试方法以及上线效果评测(3) WAF支撑WAF产品的完善需要哪些信息库的支撑一、WAF实现WAF一句话描述，就是解析HTTP请求(协议解析模块)，规则检测(规则模块)，做不同的防御动作(动作模块)，并将防御过程(日志模块)记录下来。 不管硬件款，软件款，云款，核心都是这个，而接下来
围绕这句话来YY WAF的实现。 WAF的实现由
五个模块(配置模块、协议解析模块、规则模块、动作模块、错误处理模块)组成1. 配置模块设置WAF的检测粒度，按需开启,如图所示498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="WAF的实现 - 碳基体 - 碳基体" width="700" height="749" src="http://s6.51cto.com/wyfs02/M00/57/04/wKioL1SPmHSxkh4UAADM1b-kzk4567.jpg" />2. 协议解析模块(
重点)协议解析的输出就是下一个模块规则检测时的操作对象，解析的粒度直接影响WAF防御效果。对于将WAF模块寄生于web 服务器的云WAF模式，一般依赖于web 服务器的解析能力。498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="WAF的实现 - 碳基体 - 碳基体" width="640" height="765" src="http://s5.51cto.com/wyfs02/M00/57/04/wKioL1SPmHSDkhtfAAEDqP_8PRw138.jpg" />3. 规则模块(重点)重点来了，这块是WAF的核心，我将这块又细分为三个子模块。(1) 规则配置模块IP黑白名单配置、 URL黑白名单配置、以及挑选
合适的规则套餐。498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="WAF的实现 - 碳基体 - 碳基体" width="627" height="887" src="http://s8.51cto.com/wyfs02/M00/57/07/wKiom1SPl9biZZhCAAEEHegi3D0682.jpg" />(2)规则解析模块主要作用是解析具体的规则文件，规则
最好采用统一的规则描述语言，便于提供给第三方定制规则，ModSecurity这方面做得非常优秀。规则文件由四部分组成，分为变量部分、操作符部分，事务函数部分与动作部分。498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="WAF的实现 - 碳基体 - 碳基体" width="587" height="795" src="http://s2.51cto.com/wyfs02/M00/57/07/wKiom1SPl9aBi5uyAADeY6Iubio659.jpg" />498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="WAF的实现 - 碳基体 - 碳基体" width="700" height="609" src="http://s8.51cto.com/wyfs02/M01/57/04/wKioL1SPmHWDoggBAAB7n4-e9gk387.jpg" />(3)规则检测模块上一步我们设置了各种变量，接下来就是按照一定的逻辑来做加减乘除了。498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="WAF的实现 - 碳基体 - 碳基体" width="523" height="750" src="http://s5.51cto.com/wyfs02/M01/57/04/wKioL1SPmHmiBYMkAAB_iJ-LAQs334.jpg" />4. 动作模块(重点)通过规则检测模块，我们识别了请求的好恶，接下来就是做出响应，量刑处理，不仅仅是拦截。498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="WAF的实现 - 碳基体 - 碳基体" width="518" height="678" src="http://s9.51cto.com/wyfs02/M01/57/07/wKiom1SPl9qhJb0UAAC0IiIpEZg840.jpg" />5. 日志模块(重点)日志处理，非常重要，也非常火热，内容
丰富到完全可以从WAF独立出来形成单独的安全产品(e.g.日志宝)而采用提供接口的方式来支撑WAF。对于数据量巨大的云WAF，都会有单独的大数据团队来支撑架构这一块，包括数据存储(e.g. hdfs) ，数据传输(kafka)，数据离线分析(hadoop/spark)，数据实时分析(storm)，数据关联分析(elasticsearch)等等，以后另开一篇单独说明。498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="WAF的实现 - 碳基体 - 碳基体" width="393" height="196" src="http://s2.51cto.com/wyfs02/M01/57/07/wKiom1SPl9vxjFa6AAAwrAv0IYQ299.jpg" />6. 错误处理模块以上模块运行错误时的异常处理二、WAF规则(策略)维护498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="WAF的实现 - 碳基体 - 碳基体" width="700" height="652" src="http://s1.51cto.com/wyfs02/M02/57/04/wKioL1SPmHrByavKAACqHe5p-Ec502.jpg" />三、WAF支撑信息库498)this.width=498;' onmousewheel = 'javascript:return big(this)' alt="WAF的实现 - 碳基体 - 碳基体" width="699" height="565" src="http://s8.51cto.com/wyfs02/M02/57/04/wKioL1SPmHvB7acMAAC0UdmGWk8882.jpg" />以上支撑库几乎所
有的安全人员都在重复地做，而资源没有共享的原因，一是内部不可说;二是没有采取统一的描述语言无法汇合，唉，安全从业人员的巴别塔。四、补充知识(包括文章与代码)想想写了这么多文章，自我感觉萌萌哒!WAF相关WAF防御能力评测及工具ssdeep检测webshellModSecurity相关文章(我就是ModSecurity的死忠粉)[科普文]ubuntu上安装Apache2+ModSecurity及自定义WAF规则ModSecurity SecRule cheatsheetsModSecurity CRS 笔记、WAF防御checklist,及WAF架构的一些想法ModSecurity 晋级-如何调用lua脚本进行防御快速入门ModSecurity 白名单设置指纹识别Web应用指纹识别FingerPrintIP相关使用免费的本地IP地理库来定位IP地理位置-GeoIP lookup获得IP的地理位置信IP Geolocation及IP位置可视化IP地理信息离线获取脚本IP地理信息在线获取脚本识别搜索引擎脚本判断使用哪家CDN脚本代理类型判断脚本 Proxy探测脚本与HTTP基本认证暴力破解脚本CDN架构网站负载均衡技术读书笔记与站长产品的一点想法正则优化NFA引擎正则优化TIPS、Perl正则技巧及正则性能评测方法HTTP发包工具HTTP.pl——通过HTTP发包工具了解HTTP协议HTTP发包工具 -HTTPieWAF实现的思维导图参考：《 ModSecurity Handbook 》第八、九、十，十一我是反复看，每次都有新的灵感，第14、15章是当成新华字典看的，以免遗忘。《 Web Application Defenders Cookbook Battling Hackers and Protecting Users 》 (红宝书，还在看)原文地址：http://danqingdani.blog.163.com/blog/static/1860941952014101723845500/【编辑推荐】 浅析WAF市场中常见的检测技术 WAF指纹探测及识别技术 四措施避免Web应用防火墙配置错误 为什么要部署Web应用防火墙?【责任编辑：蓝雨泪 TEL：（010）68476606】 原文：如何打造一款可靠的WAF 返回网络安全首页