# Занятие 4. Web Application Firewall Настройки виртуальных машин WAF ![](https://i.imgur.com/XUyjv47.png) ![](https://i.imgur.com/IaxNz7C.png) Сервер ![](https://i.imgur.com/wrWZ0Xm.png) 1) Используя стенд первой практической работы - изменить инфраструктуру в соответсвии со схемой. Главное условие - чтобы машинка с WAF была проксей для WEB-сервера, развернутого во время первой практической работы При подключении к WAF видим сервер ![](https://i.imgur.com/5mDJdUM.png) 2) Установить WAF (ModSecurity 3) на машинку c названием WAF, продемонстрировать что ранее развернутый web-сайт открывается при коннекте на машинку с WAF Устанавливаем PPA ![](https://i.imgur.com/Eg9ZJdX.png) Устанавливаем Nginx ![](https://i.imgur.com/ZIkLWCn.png) Добавляем исходный код Nginx в репозиторий ![](https://i.imgur.com/HCLymMb.png) Устанавливаем GIT ![](https://i.imgur.com/BqL4kPq.png) Клонируем GIT-репозиторий ![](https://i.imgur.com/JHTec30.png) Создаем среду ModSecurity ![](https://i.imgur.com/80SVR2D.png) Компилируем среду с помощью команды make ![](https://i.imgur.com/vrPFhEc.png) Запускаем команду установки ![](https://i.imgur.com/EUlnMc2.png) Клонируем репозиторий ModSecurity-nginx с Github ![](https://i.imgur.com/KsOsxDw.png) Устанавливаем зависимости ModSecurity-nginx ![](https://i.imgur.com/AZjmjUP.png) Компилируем модуль ModSecurity ![](https://i.imgur.com/6Ym1pJV.png) Создем динамические модули ![](https://i.imgur.com/49qd1Dt.png) Перемещаем динамический модуль ![](https://i.imgur.com/2ryw7EA.png) Включаем ModSecurity в nginx.conf ![](https://i.imgur.com/gkH95py.png) Тестируем дополнения к Nginx ![](https://i.imgur.com/DhwXpkN.png) 3) Настроить WAF c детектом OWASP top 10 Устанавливаем архив OWASP CRS 3.3.2 ![](https://i.imgur.com/Lcbq8Pb.png) Разархивируем файл ![](https://i.imgur.com/YZABz0E.png) Настраиваем конфиги и проверяем nginx ![](https://i.imgur.com/rhZW4E0.png) 4) Провести 3 атаки из списка OWASP top 10 и продемонстрировать работоспособность WAF (должны быть сработки правил WAF) SQL инъекция ![](https://i.imgur.com/csIxCMJ.png) ![](https://i.imgur.com/K6gD3Mo.png) XSS ![](https://i.imgur.com/NiRthcA.png) ![](https://i.imgur.com/hLYQ9dn.png) local file inclusion attack ![](https://i.imgur.com/gWIOHU8.png) ![](https://i.imgur.com/uZvLh77.png)