雷池WAF主动化实现安全运营实操案例终极篇
免责声明 本教程仅为合法的教学目的而准备，严禁用于任何情势的违法犯罪运动及其他商业行为，在利用本教程前，您应确保该行为符合当地的法律法规，继续阅读即表现您需自行承担所有操纵的后果，如有异议，请立即停止本文章阅读。配景 作为一个小型网站的站长，往往面临资源有限(没有RMB)、人手不敷的情况(没人就本身)，根本都是1个人负责运营一个或多个网站。
为了提拔运维服从及网站的安全性，我们需要解决以下题目：
制止频繁的切换安全体系查察日记 制止人工封禁IP的傻瓜式操纵 将供给详情及告警处置及时关照给网站管理者 减少因网络安全产生的运维题目 本文重要介绍雷池WAF、钉钉联动的场景，但是实际情况下，大概会产生更多的联动结果，好比：雷池主动化拦截关照告警、蜜罐捕捉告警关照等。
媒介 在上一期雷池WAF主动化安全运营实操案例中，我们通过日记文本的方式记录WAF告警，并结合inotify-tools监控日记文件的变化来触发钉钉告警关照。然而，这种方法大概会引发一些题目，例如日记提取非常、日记内容截断等。别的，我更希望直接获取完备的攻击payload，以便复现攻击并验证其是否乐成。
雷池WAF还提供了频率限制的黑名单功能，例如通过限制频繁访问或攻击来封禁IP。为了进步运营服从，我希望可以大概通过钉钉、飞书等工具实时获取封禁IP的关照，而不是手动登录WEB页面查察。
上篇实操案例中，我们利用了多个shell脚本，流程略显繁琐。因此，我开发了一套主动化程序，直接从雷池WAF数据库提取数据，不再依赖日记存储。同时，该程序可以大概主动推送攻击告警和频繁限制的黑名单告警，简化了整个安全运营过程。
软件介绍
雷池社区版 雷池（SafeLine）是长亭科技耗时近 10 年倾情打造的WAF，核心检测能力由智能语义分析算法驱动，现在分为社区版、专业版和企业版。
SafeLine_Push 雷池WAF推送小助手，可以主动化实现WAF告警日记推送、频繁限制告警IP推送(相当于解开了付费版的部分封印)
预计实现结果 原来的结果 https://img-blog.csdnimg.cn/img_convert/3f2ebe6242e0edb1646a23e517c8b457.png
想要实现的结果 https://img-blog.csdnimg.cn/img_convert/570e55b494d11112c44fe8b9904a3976.png
要想可以大概实现将完备的请求包截取到的情况，那么就需要对WAF数据库的别的一个表下手，这个表为PUBLIC.MGT_DETECT_LOG_DETAIL
原来我只是对PUBLIC.MGT_DETECT_LOG_BASIC这个表举行查询操纵，上篇中已经提到了，此时有2个方法，一种为在原有数据库中举行查询，或者是将数据库的这两个表举行迁徙，迁徙到新的数据库中来举行操纵。
雷池WAF中频繁限制的告警结果预计如下：
https://img-blog.csdnimg.cn/img_convert/018997c4c9f9fb40888f04bf2d1061ea.png
前置工作 映射雷池WAF数据库端口
#!/bin/bash
# 运行安装/更新脚本
bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/upgrade.sh)"
# 进入 /data/safeline 目录
cd /data/safeline || { echo "/data/safeline not found!"; exit 1; }
# 检查 compose.yaml 是否存在并备份
if [ -f compose.yaml ]; then
echo "Backing up the current compose.yaml"
cp compose.yaml compose.yaml.bak
else
echo "compose.yaml not found in /data/safeline!"
exit 1
fi
# 检查是否已经存在端口映射
if grep -q "5433:5432" compose.yaml; then
echo "PostgreSQL port mapping already exists."
else
# 使用 sed 插入 ports 字段到 postgres 服务中
sed -i '/container_name: safeline-pg/a\ ports:\n - 5433:5432' compose.yaml
echo "PostgreSQL port mapping added to 5433:5432."
fi
# 重新启动容器，应用更改
docker compose down --remove-orphans && docker compose up -d
echo "Containers restarted with the updated compose.yaml"
这个脚本实用于每次更新时，重新映射数据库端口，如果已经最新版，可以解释掉更新脚本下令。
设置数据库设置文件 通过cat /data/safeline/.env | grep POSTGRES_PASSWORD | tail -n 1 | awk -F ‘=’ ‘{print $2}‘查察数据库密码
然后在/var/scripts/.pgpass中写入如下代码，然后给这个文件添加600的权限。
localhost:5433:safeline-ce:safeline-ce:abcd #把abcd替换成第2步中获取到的密码
消息推送设置 从GitHub中下载文件
git clone https://github.com/Fiary-Tale/SafeLine_Push
从上述下载的为源代码及已编译的版本(存放于mark文件夹中)。
设置文件 VulConfig.json 该设置文件映射了雷池WAF数据库中部分字段数据，用于告警推送中的触发规则，这个设置文件可按照需求自行填写，现在并未完全覆盖全部触发规则(本人在数据库中没有找到与之相对应的中文触发规则)
注意：这个文件肯定要放入到/var/scripts/VulConfig.json
{ “replacements”: { “m_sqli”: “SQL注入”, “m_xss”: “跨站脚本攻击”, “m_csrf”: “跨站请求伪造”, “m_cmd_injection”: “下令实行” } } config.yaml 该设置文件为消息推送时利用的token及推送方法，现在只编写了钉钉和Server酱，其他可自行补充!
注意：这个文件肯定要放入到/var/scripts/config.yaml
token: “xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx” method: “dingtalk” # 可以是 “dingtalk” 或 “serverchan”
GeoLite2-City.mmdb 该文件非设置文件，为开源的Geo数据库，但为必须文件，这个文件用于查询IP的归属地，某些方面无法与雷池WAF数据库自身的归属地相比，但查询数据库中的归属地有些繁琐，因此接纳Geo查询归属地。
注意：归属地GeoLite2-City.mmdb文件肯定要与程序在同一目次
注意：在钉钉推送的安全设置中，我设置的是自定义关键词：入侵检测变乱
build.bat 我是于Windows的情况中开发的，因此我编写了一个bat文件，如果有需要大家可以自行编译，记得安装golang开发情况哟!
现在已实现结果 攻击告警推送 https://img-blog.csdnimg.cn/img_convert/9ba12ad0edbad999c77042337fed0dbc.png
频繁限制处理推送
https://img-blog.csdnimg.cn/img_convert/549d5ddfefc2b4b8b34592de2bdaf01e.png
设置开机自启动 在/etc/rc.local中追加nohup /var/scripts/SafeLine_Push_linux_amd64 > /dev/null 2>&1 &
跋文 在测试中发现，频繁的告警有些烦人，好比:我为了产生短时间内同一IP大量攻击，进入频繁限制的封禁告警推送，开始频繁攻击后，收到了大量的攻击告警推送以及其他一些题目待修复!
互相探究及待修复 短时间大量的攻击，告警推送如何处理？ IP归属地的优化 频繁告警推送中触发规则及拦截结果优化 主动化保留频繁攻击的IP并上传威胁情报
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]