Web 應用防火墻（WAF）在保障 Web 應用安全方面起著至關重要的作用。開源 WAF 以其免費、可定制的特點，受到了眾多開發(fā)者和企業(yè)的青睞。然而，在不同的服務器環(huán)境下部署開源 WAF 可能會面臨一些挑戰(zhàn)。本文將詳細介紹如何在常見的服務器環(huán)境中部署開源 WAF。
一、常見開源 WAF 介紹
在開始部署之前，我們需要了解一些常見的開源 WAF。
1. ModSecurity：它是一個開源的 Web 應用防火墻引擎，可作為 Apache、Nginx 等 Web 服務器的模塊使用。ModSecurity 具有強大的規(guī)則引擎，能夠檢測和阻止各種 Web 攻擊，如 SQL 注入、跨站腳本攻擊（XSS）等。
2. NAXSI：是一個基于 Nginx 的開源 WAF。它采用了白名單和黑名單相結合的方式進行規(guī)則匹配，具有較高的性能和較低的誤報率。
3. OpenResty WAF：基于 OpenResty（一個基于 Nginx 與 Lua 的高性能 Web 平臺）實現(xiàn)的 WAF。它利用 Lua 腳本進行靈活的規(guī)則編寫和處理，能夠快速響應各種安全需求。
二、在 Linux 服務器（以 Ubuntu 為例）上部署 ModSecurity
1. 安裝依賴包
首先，我們需要安裝一些必要的依賴包，以確保 ModSecurity 能夠正常編譯和運行。打開終端，執(zhí)行以下命令：
sudo apt-get update sudo apt-get install build-essential libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4-openssl-dev
2. 下載和編譯 ModSecurity
從 ModSecurity 的官方 GitHub 倉庫下載最新版本的源碼，并進行編譯安裝：
git clone https://github.com/SpiderLabs/ModSecurity.git cd ModSecurity git submodule init git submodule update ./build.sh ./configure make sudo make install
3. 配置 Apache 與 ModSecurity
如果你使用的是 Apache 服務器，需要安裝 ModSecurity 的 Apache 模塊。安裝完成后，編輯 Apache 的配置文件，啟用 ModSecurity 模塊：
sudo apt-get install libapache2-mod-security2 sudo nano /etc/apache2/mods-enabled/security2.conf
在配置文件中，你可以根據需要調整 ModSecurity 的規(guī)則和參數。
4. 啟用規(guī)則集
ModSecurity 提供了一些默認的規(guī)則集，你可以下載并啟用它們：
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs.git sudo cp -r owasp-modsecurity-crs /etc/modsecurity/ sudo nano /etc/modsecurity/modsecurity.conf
在配置文件中添加規(guī)則集的引用：
Include /etc/modsecurity/owasp-modsecurity-crs/crs-setup.conf Include /etc/modsecurity/owasp-modsecurity-crs/rules/*.conf
5. 重啟 Apache 服務器
完成上述配置后，重啟 Apache 服務器使配置生效：
sudo systemctl restart apache2
三、在 Nginx 服務器上部署 NAXSI
1. 安裝 Nginx 和 NAXSI
可以通過源碼編譯的方式安裝 Nginx 并啟用 NAXSI 模塊。首先，下載 Nginx 和 NAXSI 的源碼：
wget http://nginx.org/download/nginx-1.21.6.tar.gz git clone https://github.com/nbs-system/naxsi.git
解壓 Nginx 源碼并進行編譯安裝：
tar -zxvf nginx-1.21.6.tar.gz cd nginx-1.21.6 ./configure --add-module=../naxsi/naxsi_src make sudo make install
2. 配置 NAXSI
編輯 Nginx 的配置文件，啟用 NAXSI 模塊并配置規(guī)則：
sudo nano /usr/local/nginx/conf/nginx.conf
在配置文件中添加以下內容：
include /path/to/naxsi_config/naxsi_core.rules;
server {
listen 80;
server_name example.com;
location / {
# Enable NAXSI
SecRulesEnabled;
# Check rules
CheckRule "$SQL >= 8" BLOCK;
CheckRule "$XSS >= 8" BLOCK;
root /var/www/html;
index index.html index.htm;
}
}3. 重啟 Nginx 服務器
保存配置文件后，重啟 Nginx 服務器：
sudo /usr/local/nginx/sbin/nginx -s reload
四、在 OpenResty 環(huán)境下部署 OpenResty WAF
1. 安裝 OpenResty
可以從 OpenResty 的官方網站下載最新版本的源碼，并進行編譯安裝：
wget https://openresty.org/download/openresty-1.21.4.1.tar.gz tar -zxvf openresty-1.21.4.1.tar.gz cd openresty-1.21.4.1 ./configure make sudo make install
2. 下載和配置 OpenResty WAF
從 OpenResty WAF 的 GitHub 倉庫下載源碼，并將其配置到 OpenResty 中：
git clone https://github.com/p0pr0ck5/lua-resty-waf.git sudo cp -r lua-resty-waf /usr/local/openresty/lualib/
編輯 OpenResty 的配置文件，啟用 WAF 功能：
sudo nano /usr/local/openresty/nginx/conf/nginx.conf
在配置文件中添加以下內容：
lua_package_path "/usr/local/openresty/lualib/lua-resty-waf/?.lua;;";
init_by_lua_block {
local waf = require "waf"
waf.init()
}
server {
listen 80;
server_name example.com;
access_by_lua_block {
local waf = require "waf"
waf.run()
}
location / {
root /var/www/html;
index index.html index.htm;
}
}3. 重啟 OpenResty 服務器
保存配置文件后，重啟 OpenResty 服務器：
sudo /usr/local/openresty/nginx/sbin/nginx -s reload
五、部署后的測試與優(yōu)化
1. 測試 WAF 功能
部署完成后，需要對 WAF 的功能進行測試?？梢允褂靡恍┏Ｒ姷?Web 攻擊測試工具，如 SQLMap、XSSer 等，對 Web 應用進行模擬攻擊，檢查 WAF 是否能夠正確檢測和阻止這些攻擊。
2. 優(yōu)化規(guī)則集
根據測試結果，對 WAF 的規(guī)則集進行優(yōu)化?？梢哉{整規(guī)則的閾值、添加或刪除規(guī)則，以降低誤報率和提高檢測準確率。
3. 監(jiān)控和日志分析
定期查看 WAF 的日志文件，分析攻擊事件的類型、來源和頻率。根據分析結果，及時調整 WAF 的配置和規(guī)則，以應對不斷變化的安全威脅。
六、總結
在不同的服務器環(huán)境下部署開源 WAF 需要根據具體的服務器類型和需求進行選擇和配置。通過本文的介紹，你可以了解到如何在 Linux 服務器（以 Ubuntu 為例）、Nginx 服務器和 OpenResty 環(huán)境下部署常見的開源 WAF。部署完成后，還需要進行測試、優(yōu)化和監(jiān)控，以確保 WAF 能夠有效地保護 Web 應用的安全。
以上文章詳細介紹了在不同服務器環(huán)境下部署開源 WAF 的方法，希望對你有所幫助。在實際部署過程中，你可以根據自己的需求和服務器環(huán)境進行適當的調整。
