---
# System prepended metadata

title: Занятие 4. Web Application Firewall

---

# Занятие 4. Web Application Firewall
Настройки машинок
WAF
![](https://i.imgur.com/lMhXBwo.png)
![](https://i.imgur.com/CSfjrVL.png)
сервер
![](https://i.imgur.com/vDwmoT2.png)
## 1) Используя стенд первой практической работы - изменить инфраструктуру в соответсвии со схемой. Главное условие - чтобы машинка с WAF была проксей для WEB-сервера, развернутого во время первой практической работы
При подключении к WAF видим сервер
![](https://i.imgur.com/uG8Iczj.png)
## 2) Установить WAF (ModSecurity 3) на машинку c названием WAF, продемонстрировать что ранее развернутый web-сайт открывается при коннекте на машинку с WAF
Устанавливаем PPA 
![](https://i.imgur.com/dbkgvBC.png)
Устанавливаем Nginx
![](https://i.imgur.com/awvvADT.png)
Добавляем исходный код Nginx в репозиторий
![](https://i.imgur.com/O3AeMX6.png)
Устанавливаем GIT
![](https://i.imgur.com/oD3Dkj4.png)
Клонируем GIT-репозиторий
![](https://i.imgur.com/zkeYZiP.png)
Создаем среду ModSecurity
![](https://i.imgur.com/7HQaPyb.png)
Компилируем среду с помощью команды make
![](https://i.imgur.com/6IQREck.png)
Запускаем команду установки
![](https://i.imgur.com/ART3yHC.png)
Клонируем репозиторий ModSecurity-nginx с Github
![](https://i.imgur.com/eneb21G.png)
Устанавливаем зависимости ModSecurity-nginx
![](https://i.imgur.com/BFjSKP5.png)
Компилируем модуль ModSecurity
![](https://i.imgur.com/VDiUBps.png)
Создем динамические модули
![](https://i.imgur.com/1HUHkrI.png)
Перемещаем динамический модуль
![](https://i.imgur.com/9NZh2cP.png)
Включаем ModSecurity в nginx.conf
![](https://i.imgur.com/9px0lPV.png)
Тестируем дополнения к Nginx
![](https://i.imgur.com/aJiNCRq.png)
## 3) Настроить WAF c детектом OWASP top 10
Устанавливаем архив OWASP CRS 3.3.2
![](https://i.imgur.com/JAkiGJk.png)
Разархивируем файл
![](https://i.imgur.com/RTwP8JB.png)
Настраиваем конфиги и проверяем nginx
![](https://i.imgur.com/U0oilDN.png)
## 4) Провести 3 атаки из списка OWASP top 10 и продемонстрировать работоспособность WAF (должны быть сработки правил WAF)
SQL инъекция
![](https://i.imgur.com/QXqMzuK.png)

![](https://i.imgur.com/4h5kpmv.png)

XSS
![](https://i.imgur.com/ZhO1AcS.png)

![](https://i.imgur.com/hg4tucG.png)

local file inclusion attack
![](https://i.imgur.com/okaP1mK.png)

![](https://i.imgur.com/yTcOlBP.png)
