apache日志 waf_开发架构之开源WAF延申

其实网上开源WAF是有很多的，搭建方式比较简单，但只限于搭建，而没有分析调整的后续使用方法，这一点其实是实际使用中大家最关心也是最迫切需要的，下面就分享一下我的开源WAF构建与使用。

一、选用

其实在选用方面是需要进行多方面对比的，有业务需求方面的，有安全本身的，出于我们业务和架构的考虑，在这里我们使用的是modsecurity V3作为主体WAF框架，OWASP TOP 10作为主要策略，同时还覆盖自定义策略，当然这里就不放开了。

二、评估

评估modsecurity主要是评估服务器性能、安全性、速率、误报率。

服务器性能方面由于WAF的特性是需要串联到链路中的，所以在这里是放在nginx代理服务器上，4核8G的服务器，对于量不大的nginx来说已经是高配了。

从安全性角度来说，为什么使用V3，而不是V2.9，实际上我在搭建的时候V3是才推出的，稳定性来说是V2.9更胜一筹，但是考虑到V2.9本身的漏洞(I/O DoS)以及后期日志分析(不支持json)，最终是使用了V3。

从速率的角度考虑，由于是挂在nginx的模块，所以速率方面不需要太担心。

从误报率的角度来说，任何的WAF都会存在误报，但是modsecurity的高自由调整策略是我特别习惯的一个特性。

综上选用modsecurity V3作为WAF主体。

在这里每位安全工程师、架构师都应该根据自己业务特性、业务逻辑、自身需求去选用WAF，不要盲从。我写这篇文章只是想给没有任何思路做开源安全的人一些思路。

三、搭建

搭建环节我就不再阐述了，请大家仔细阅读GitHub：

https://github.com/SpiderLabs/ModSecurity

四、分析

这块是我重点想说的，由于modsecurity原先是apache的组件，后应广大网友要求，增加了nginx版的modsecurity，但是原先的waffle(效果展示)却并没有适配nginx，我曾研究过nginx的waffle，虽然最终可以使用，但是体验并不是特别好，在这里我将介绍我的日志分析体系构建。

1.了解modsecurity日志记录机制

Modsecurity V3的日志支持分布式日志记录和集中式日志记录，支持json格式的记录，详见GitHub。

2.选用日志传输工具

由于需要传输json日志，并考虑性能问题，这里使用filebeat作为日志传输工具。

3.选用日志展示工具

由于考虑到性能问题，这里采用分布式部署ELK(elasticsearch、logstash、kibana)作为展示工具

4.落实

首先调整Modsecurity V3记录分布式json日志，代码如下：

# -- Audit log configuration ------------------------------------------------- # Log the transactions that are marked by a rule, as well as those that# trigger a server error (determined by a 5xx or 4xx, excluding 404, # level response status codes).#SecAuditEngine OnSecAuditLogRelevantStatus "^[0-9]+"#SecAuditLogRelevantStatus "^(?:5|4(?!04))"# Log everything we know about a transaction.SecAuditLogParts ABCDEFGHIJKZSecAuditLogFormat JSON# Use a single file for logging. This is much easier to look at, but# assumes that you will use the audit log only ocassionally.#SecAuditLogType ConcurrentSecAuditLog /opt/modsecurity/audit.log# Specify the path for concurrent audit logging.SecAuditLogStorageDir /opt/modsecurity/data

详细解释每个参数：

SecAuditEngine //日志引擎，on为开启日志记录，off为关闭日志记录SecAuditLogRelevantStatus //日志状态记录，”^[0-9]+”为记录所有响应码的日志，"^(?:5|4(?!04))"为只记录400-599响应码的日志，不包括404日志SecAuditLogParts //日志体，详见githubSecAuditLogFormat //日志格式，这里启用json格式，如果记录普通格式删除该参数SecAuditLogType //日志存储类型，concurrent为分布式存储SecAuditLogStorageDir //分布式日志存储路径SecAuditLog //集中式存储路径

之后我们安装ELK，详细安装方法与介绍详见：

https://www.jianshu.com/p/e7362ccfe7e3?tdsourcetag=s_pctim_aiomsg

将filebeat传输指向logstash集群服务器，通过logstash筛选规则放入elasticsearch中，通过kibana查询展示WAF日志：

Filebeat配置参数：

filebeat.prospectors: # Each - is a prospector. Most options can be set at the prospector level, so# you can use different prospectors for various configurations.# Below are the prospector specific configurations.- input_type: log   # Paths that should be crawled and fetched. Glob based paths. paths: - /opt/modsecurity/data/*/*/* json.keys_under_root: true encoding: utf-8 document_type: mod_security close_eof: true scan_frequency: 5s clean_*: true

详细解释每个参数：

input_type //输入类型为logPaths //传输的日志路径json.keys_under_root //json值放于根节点上Encoding //编码类型，这里UTF-8到日志展示时基本不会出现乱码，如果为GBK极有可能出现乱码情况document_type //文档类型，这里自定义close_eof //关闭文件处理程序scan_frequency //配置扫描文件频率clean_* //清除缓存

将日志传输到logstash服务器。

Logstash配置：

这里使用3个配置文件，input是定义输入，output是定义输出，filter是定义日志过滤，我们先从input看：

Input定义很简单，只是单纯监听本机5044端口作为logstash的输入口，与filebeat传输配置中的端口对应。

Output中设置elasticsearch服务器的信息与主键的定义，在这里特别提示，主键名称要带logstash-，因为kibana展示中如果要展示ip定位的话，只有开头带logstash的键才可以用这个功能。

Filter文件中定义message为json格式，定义geoip(用于展示ip定位)

传递到kibana展示效果如下：

5.根据机制分析日志

自带的kibana日志比较乱，这时候我们自己搭建日志的分析模板，选择上图左侧参数可以只展示参数值，全部建立好模板后如下：

其中几个参数需要进行解释：

Time //传输时间geoip.city_name //ip定位城市名geoip.country_name //IP定位国家transaction.host_ip //访问者iptransaction.host_port //访问端口transaction.messages //触发阻断规则信息transaction.request.body //请求体(POST)transaction.request.headers.Host //访问域名或IPtransaction.request.method //请求方式transaction.request.uri //请求URItransaction.response.http_code//响应码

6.建立展示模板

建立一个dashboard，详细见Kibana使用：

五、监控告警

Kibana可以接收邮件告警与zabbix告警联动，因为我的zabbix告警绑定了企业微信与微信，zabbix触发告警内容时微信会收到消息，比邮件告警更加直接，所以采用的是kibana zabbix联动告警的方式，详细配置见：https://github.com/Yelp/elastalert

触发告警搜索规则：

transaction.messages:* //有告警信息transaction.messages:* & transaction.response.http_code:403 //有阻断信息

以上是我的搭建分析分享。后期带来关于自动化安全扫描的分享。