---
# System prepended metadata

title: Занятие 4. Web Application Firewall

---

# Занятие 4. Web Application Firewall

Настройки виртуальных машин
WAF

![](https://i.imgur.com/XUyjv47.png)

![](https://i.imgur.com/IaxNz7C.png)

Сервер

![](https://i.imgur.com/wrWZ0Xm.png)

1) Используя стенд первой практической работы - изменить инфраструктуру в соответсвии со схемой. Главное условие - чтобы машинка с WAF была проксей для WEB-сервера, развернутого во время первой практической работы


При подключении к WAF видим сервер

![](https://i.imgur.com/5mDJdUM.png)

2) Установить WAF (ModSecurity 3) на машинку c названием WAF, продемонстрировать что ранее развернутый web-сайт открывается при коннекте на машинку с WAF

Устанавливаем PPA

![](https://i.imgur.com/Eg9ZJdX.png)

Устанавливаем Nginx

![](https://i.imgur.com/ZIkLWCn.png)

Добавляем исходный код Nginx в репозиторий

![](https://i.imgur.com/HCLymMb.png)

Устанавливаем GIT

![](https://i.imgur.com/BqL4kPq.png)

Клонируем GIT-репозиторий

![](https://i.imgur.com/JHTec30.png)

Создаем среду ModSecurity

![](https://i.imgur.com/80SVR2D.png)

Компилируем среду с помощью команды make

![](https://i.imgur.com/vrPFhEc.png)

Запускаем команду установки

![](https://i.imgur.com/EUlnMc2.png)

Клонируем репозиторий ModSecurity-nginx с Github

![](https://i.imgur.com/KsOsxDw.png)

Устанавливаем зависимости ModSecurity-nginx

![](https://i.imgur.com/AZjmjUP.png)

Компилируем модуль ModSecurity

![](https://i.imgur.com/6Ym1pJV.png)

Создем динамические модули

![](https://i.imgur.com/49qd1Dt.png)

Перемещаем динамический модуль

![](https://i.imgur.com/2ryw7EA.png)

Включаем ModSecurity в nginx.conf

![](https://i.imgur.com/gkH95py.png)

Тестируем дополнения к Nginx

![](https://i.imgur.com/DhwXpkN.png)


3) Настроить WAF c детектом OWASP top 10

Устанавливаем архив OWASP CRS 3.3.2

![](https://i.imgur.com/Lcbq8Pb.png)

Разархивируем файл

![](https://i.imgur.com/YZABz0E.png)

Настраиваем конфиги и проверяем nginx

![](https://i.imgur.com/rhZW4E0.png)

4) Провести 3 атаки из списка OWASP top 10 и продемонстрировать работоспособность WAF (должны быть сработки правил WAF)

SQL инъекция

![](https://i.imgur.com/csIxCMJ.png)

![](https://i.imgur.com/K6gD3Mo.png)

XSS

![](https://i.imgur.com/NiRthcA.png)

![](https://i.imgur.com/hLYQ9dn.png)

local file inclusion attack

![](https://i.imgur.com/gWIOHU8.png)

![](https://i.imgur.com/uZvLh77.png)