Детальная информация

Целью работы является повышение точности выявления атак на веб-приложения за счёт применения контекстно-осведомлённого WAF, использующего знания о маршруте запроса и семантике его параметров. Предмет исследования — методы повышения точности выявления атак посредством учёта контекста HTTP-запроса при работе WAF. Задачи, решаемые в ходе исследования: 1. Исследование подходов к защите веб-приложений при помощи Web Application Firewall. 2. Проведение сравнительного анализа архитектур межсетевых экранов веб-приложений с точки зрения доступной им контекстной информации о HTTP-запросе. 3. Разработка тестового стенда — намеренно уязвимого веб-приложения на языке Go, охватывающего семь классов уязвимостей OWASP Top 10, и формирование воспроизводимого корпуса атакующих и легитимных запросов. 4. Проведение сравнительного эксперимента между тремя конфигурациями защиты (teler-waf, Coraza WAF, BunkerWeb) по метрикам доли обнаруженных атак, доли ложных срабатываний и латентности обработки запросов. 5. Разработка и оценка подхода на базе контекстно-осведомленного WAF. 6. Формулирование практических рекомендаций по выбору архитектурного уровня WAF и методам снижения доли ложных срабатываний в производственной среде. В ходе работы были исследованы методы обнаружения веб-атак с применением межсетевых экранов уровня приложений, а также разработан тестовый стенд с намеренно уязвимым веб-приложением на языке Go, охватывающее ключевые классы уязвимостей OWASP Top 10. В результате работы был разработан контекстно-осведомлённый слой над сигнатурным WAF, реализующий позитивную модель безопасности с маршрутными схемами параметров и семантической проверкой входных данных. Полученные результаты могут быть использованы при проектировании систем защиты веб-приложений в организациях, в частности, для снижения доли ложных срабатываний при сохранении высокого уровня обнаружения атак. Для достижения поставленных результатов было разработано программное обеспечение на языке Go: намеренно уязвимое веб-приложение, моделирующее ключевые классы уязвимостей OWASP Top 10, а также контекстно-осведомлённый слой wafctx и гибридная конфигурация WAF. В качестве исследуемых средств защиты использовались библиотека teler-waf, OWASP Coraza WAF и BunkerWeb, функционирующие на основе набора правил OWASP Core Rule Set v4. Развёртывание изолированного и воспроизводимого тестового стенда выполнено с применением технологий контейнеризации Docker и docker-compose; в роли обратного прокси-сервера использовались веб-серверы Caddy и Nginx. Для проведения нагрузочных испытаний и измерения метрик точности обнаружения и латентности применялись средства генерации HTTP-трафика и встроенный механизм бенчмаркинга стандартной библиотеки Go (пакет testing).

The purpose of the study is to improve the accuracy of web application attack detection based on a context-aware WAF that leverages knowledge of the request route and parameter semantics. The object of the work is modern methods of web application protection against OWASP Top 10 attacks deployed at different architectural levels. The research set the following goals: 1. Studying approaches to web application protection using a Web Application Firewall. 2. Comparative analysis of Web Application Firewall architectures with respect to the contextual information about the HTTP request available to them. 3. Development of a test bench — an intentionally vulnerable Go web application covering key web application vulnerabilities — and assembling a reproducible corpus of malicious and legitimate requests. 4. Comparative experiment across reverse-proxy (Coraza+Caddy, BunkerWeb) and middleware (teler-waf) protection configurations by attack detection rate, false positive rate, and request processing latency. 5. Development and evaluation of an approach based on a context-aware WAF. 6. Formulation of practical recommendations on the choice of WAF architectural level and methods for reducing the false positive rate in production. During the work, methods of web attack detection using application-layer firewalls were studied. A test bench with an intentionally vulnerable Go web  application covering key web application vulnerabilities was developed, and the protection configurations were compared. The work resulted in development of a context-aware layer over a signature-based WAF, implementing a positive security model with route-bound parameter schemas and semantic input validation. The layer substantially reduced the false positive rate while raising the average detection rate under realistic traffic, and the hybrid configuration reached the highest detection rate among all the studied configurations. The results could be used in the design of web application protection systems, for reducing false positives while maintaining a high level of attack detection. To achieve these results, software was developed in the Go programming language: an intentionally vulnerable web application, the wafctx context-aware layer, and a hybrid WAF configuration. The teler-waf library, OWASP Coraza WAF, and BunkerWeb running on the OWASP Core Rule Set v4 were used as the protection tools under study. An isolated, reproducible test bench was deployed using Docker and docker-compose containerization, with Caddy and Nginx web servers as the reverse proxy. Load testing and measurement of detection accuracy and latency were performed using HTTP traffic generation tools and the built-in benchmarking mechanism of the Go standard library (the testing package).