# Занятие 4. Web Application Firewall Настройки машинок WAF ![](https://i.imgur.com/lMhXBwo.png) ![](https://i.imgur.com/CSfjrVL.png) сервер ![](https://i.imgur.com/vDwmoT2.png) ## 1) Используя стенд первой практической работы - изменить инфраструктуру в соответсвии со схемой. Главное условие - чтобы машинка с WAF была проксей для WEB-сервера, развернутого во время первой практической работы При подключении к WAF видим сервер ![](https://i.imgur.com/uG8Iczj.png) ## 2) Установить WAF (ModSecurity 3) на машинку c названием WAF, продемонстрировать что ранее развернутый web-сайт открывается при коннекте на машинку с WAF Устанавливаем PPA ![](https://i.imgur.com/dbkgvBC.png) Устанавливаем Nginx ![](https://i.imgur.com/awvvADT.png) Добавляем исходный код Nginx в репозиторий ![](https://i.imgur.com/O3AeMX6.png) Устанавливаем GIT ![](https://i.imgur.com/oD3Dkj4.png) Клонируем GIT-репозиторий ![](https://i.imgur.com/zkeYZiP.png) Создаем среду ModSecurity ![](https://i.imgur.com/7HQaPyb.png) Компилируем среду с помощью команды make ![](https://i.imgur.com/6IQREck.png) Запускаем команду установки ![](https://i.imgur.com/ART3yHC.png) Клонируем репозиторий ModSecurity-nginx с Github ![](https://i.imgur.com/eneb21G.png) Устанавливаем зависимости ModSecurity-nginx ![](https://i.imgur.com/BFjSKP5.png) Компилируем модуль ModSecurity ![](https://i.imgur.com/VDiUBps.png) Создем динамические модули ![](https://i.imgur.com/1HUHkrI.png) Перемещаем динамический модуль ![](https://i.imgur.com/9NZh2cP.png) Включаем ModSecurity в nginx.conf ![](https://i.imgur.com/9px0lPV.png) Тестируем дополнения к Nginx ![](https://i.imgur.com/aJiNCRq.png) ## 3) Настроить WAF c детектом OWASP top 10 Устанавливаем архив OWASP CRS 3.3.2 ![](https://i.imgur.com/JAkiGJk.png) Разархивируем файл ![](https://i.imgur.com/RTwP8JB.png) Настраиваем конфиги и проверяем nginx ![](https://i.imgur.com/U0oilDN.png) ## 4) Провести 3 атаки из списка OWASP top 10 и продемонстрировать работоспособность WAF (должны быть сработки правил WAF) SQL инъекция ![](https://i.imgur.com/QXqMzuK.png) ![](https://i.imgur.com/4h5kpmv.png) XSS ![](https://i.imgur.com/ZhO1AcS.png) ![](https://i.imgur.com/hg4tucG.png) local file inclusion attack ![](https://i.imgur.com/okaP1mK.png) ![](https://i.imgur.com/yTcOlBP.png)