waf-defense-rulepacks

אודות הפרויקט

WAF Defense Rulepacks הוא אוסף אוצר של כללי אבטחה מותאמים, שנועדו ל-Web Application Firewalls הנפוצים ביותר בתעשייה. Web Application Firewall ‏(WAF) יושב בין משתמשים ליישומי ווב, בודק כל בקשת HTTP וחוסם בקשות התואמות לדפוסי תקיפה מוכרים — כגון SQL injection, cross-site scripting ‏(XSS), command injection, path traversal ועוד. פרויקט זה מספק שלושה סטי כללים מלאים, כל אחד מותאם לפלטפורמת WAF ספציפית: ModSecurity (הסטנדרט open-source המשמש עם Apache ו-Nginx), AWS WAF (החומה native לענן של Amazon), ו-Cloudflare WAF (החומה המשולבת ב-CDN הנפוצה). כל סט כללים מכסה את כל קטגוריות הפגיעויות של OWASP Top 10, דפוסי תקיפה ספציפיים ל-API (broken authentication, excessive data exposure, mass assignment), וטכניקות עקיפה מודרניות העוקפות תצורות WAF ברירת מחדל. כל כלל כולל הערות מפורטות המסבירות איזו תקיפה הוא מזהה, כיצד דפוס הזיהוי עובד, תרחישי false positive אפשריים והמלצות לכיוונון. הכללים מאורגנים לפי קטגוריית תקיפה ורמת חומרה, מה שמקל על צוותי אבטחה להפעיל הגנות בהדרגה — החל מכללים עם ביטחון גבוה והוספה הדרגתית של זיהוי אגרסיבי יותר ככל שהם מכוונים אותו ליישום הספציפי שלהם. הפרויקט כולל גם חבילת בדיקות מקיפה עם דוגמאות בקשות known-good ו-known-bad, המאפשרת לצוותים לאמת את יעילות הכללים ולמדוד שיעורי false positive לפני פריסה לייצור.

למה זה חשוב

Web Application Firewalls הם שכבת הגנה קריטית לכל יישום החשוף לאינטרנט, אך היעילות שלהם תלויה לחלוטין בתצורת הכללים. כללי ברירת המחדל מרוב הספקים מספקים הגנה בסיסית אך מחמיצים התקפות מתוחכמות, טכניקות עקיפה מודרניות ופגיעויות ספציפיות ליישום. מחקרים מראים כי מעל 40% מהארגונים המשתמשים ב-WAFs סובלים מפערים משמעותיים בכיסוי הכללים, מה שהופך אותם לפגיעים למרות פריסת WAF. WAFs עם תצורה שגויה יוצרים תחושת ביטחון שקרית ומסוכנת — ארגונים מאמינים שהם מוגנים כאשר בפועל ה-WAF שלהם נעקף בקלות. פרויקט זה מטפל בפער הזה באמצעות אספקת כללים שנבחנו מול תעבורת תקיפה מהעולם האמיתי, שוכללו על בסיס שנות ניסיון באבטחת יישומי ווב ותועדו ביסודיות כך שצוותי אבטחה יבינו בדיוק מה כל כלל עושה ולמה. עבור ארגונים הכפופים לתאימות PCI-DSS, SOC 2 או GDPR, WAF מוגדר היטב עם כללים מתועדים הוא לעיתים דרישה רגולטורית. חבילות הכללים הללו מספקות הן את ההגנה הטכנית והן את תיעוד הביקורת הנדרש לתאימות.

מדריך שלב-אחר-שלב

1. בחרו את חבילת הכללים המתאימה לפלטפורמת ה-WAF שלכם (ModSecurity, AWS WAF, או Cloudflare). כל חבילה נמצאת בספרייה משלה עם README המסביר תנאים מוקדמים ודרישות תאימות. ודאו שגרסת ה-WAF שלכם עומדת בדרישות המינימום המפורטות.
2. ייבאו את הכללים באמצעות סקריפט ההתקנה האוטומטי שסופק עבור כל פלטפורמה. עבור ModSecurity, הריצו 'install-modsec.sh' אשר ישים את הכללים בספרייה הנכונה ויעדכן את התצורה שלכם. עבור AWS WAF, השתמשו בתבניות Terraform שבתיקיית /aws-waf/terraform/ כדי ליצור קבוצות כללים. עבור Cloudflare, השתמשו בסקריפט ה-API ב-/cloudflare/deploy.sh.
3. הגדירו ספי חסימה ורמות רגישות עבור הסביבה שלכם. התחילו במצב 'detection-only' (רישום ללא חסימה) על ידי הגדרת DETECTION_MODE=true. עקבו אחר false positives במשך 1-2 שבועות לפני מעבר למצב חסימה פעיל. מדריך הכיוונון ב-/docs/tuning.md מספק הוראות שלב-אחר-שלב.
4. נטרו את לוגי ה-WAF באופן סדיר והתאימו את הכללים על בסיס דפוסי התעבורה הלגיטימיים של היישום שלכם. השתמשו בסקריפטים לניתוח הלוגים המצורפים כדי לזהות false positives פוטנציאליים וליצור כללי חריגה עבור בקשות known-good. עברו על עלוני העדכון הרבעוניים עבור כללים חדשים המתייחסים לטכניקות תקיפה מתפתחות.

טכנולוגיות בשימוש