À l'ère numérique d'aujourd'hui, il existe une gamme éblouissante d'outils de création de sites Web sur Internet, tels que WordPress, Halo, etc. Vous pouvez facilement déployer votre site Web préféré sur le réseau public en un seul clic de commande. Cependant, cela cache de nombreux risques en matière de sécurité réseau.
Dans les endroits sombres d’Internet, il y a toujours des personnes malveillantes qui fouinent sur votre site. En général, ils ne détruisent pas directement le site Web, mais volent des données et les vendent à des gangs de fraudeurs, ou sont chargés par des concurrents de lancer des attaques DDoS, rendant impossible l'accès au site Web pour les utilisateurs normaux. Il existe également une méthode plus secrète, qui consiste à utiliser les vulnérabilités des outils open source pour injecter des scripts ou même utiliser des serveurs pour le minage. La plupart des outils de création de sites Web open source ne sont pas parfaits en termes de sécurité réseau, nous devons donc accroître notre sensibilisation à la prévention. Avant d'utiliser des outils open source, recherchez leurs évaluations des risques de sécurité et essayez d'éviter les versions et les projets de développement secondaires présentant des risques de sécurité. Pour le code critique pour l’entreprise, la sécurité des données doit être prise au sérieux. Par exemple, dans un projet de site Web de commerce électronique, il a été constaté que l'auteur original n'avait pas réussi à intercepter les évaluations et les accès non autorisés, ce qui a permis au compte du magasin B d'obtenir les données opérationnelles du magasin A en modifiant l'identifiant du magasin dans le poster une demande. De telles violations de données, si elles sont révélées, peuvent non seulement nuire à la marque d'une entreprise et à la confiance des clients, mais également exposer l'entreprise à une responsabilité juridique. On voit que la sécurité du réseau est très importante et qu’il n’y a pas de place pour la négligence.
Étant donné que de nombreuses personnes ne comprennent pas le codage et manquent d’expérience pertinente, il est inévitable d’utiliser des outils professionnels pour assurer la sécurité du réseau. Aujourd'hui, je voudrais vous recommander un artefact WAF national qui se classe au premier rang sur GitHub - Leichi WAF. C'est aussi un outil que j'utilise. Son adresse GitHub contient une introduction détaillée du projet et des types d'attaques de défense. Examinons ensuite les étapes d'installation : les utilisateurs chinois disposent d'une méthode d'installation distincte, proposant une installation automatique et une installation manuelle. Nous choisissons l'installation automatique et copions la commande de la version LTS sur la console pour exécution. L'installation prend environ deux à trois minutes. Ensuite, vous devez configurer les règles de publication pour le port 9443, en prenant Alibaba Cloud comme exemple. D'autres serveurs cloud fonctionnent de la même manière. Une fois l'installation terminée, accédez au panneau de gestion Leichi dans votre navigateur, puis configurez les sites qui doivent être protégés. Vous pouvez ajouter un ou plusieurs sites en fonction de la situation réelle. Ce qu'il faut noter ici, c'est que si vous souhaitez que le pool Thunder et le site Web soient sur le même serveur, le port du pool Thunder doit être défini sur 80 ou 443, et le port du site Web professionnel devra peut-être être modifié s'ils le sont. sont sur des serveurs différents, il n'y a pas de problème d'occupation du port et le port peut être défini à volonté. Le diagramme schématique fourni par le site officiel montre clairement que Leichi intervient sous la forme d'un proxy inverse, reçoit le trafic avant le serveur du site Web commercial, détecte et nettoie le comportement d'attaque, et enfin transmet le trafic nettoyé au serveur du site Web commercial. Les responsables recommandent que les pools miniers et les sites Web commerciaux soient déployés séparément pour éviter toute influence mutuelle.
Une fois la configuration terminée, nous avons effectué une série de tests sur le pool minier. Le premier est la demande d'injection SQL, qui a été interceptée avec succès par Leichi, et la page interceptée présentait un style spécifique ; les attaques de script JS ont également été interceptées ; le comportement courant des scanners extrayant les données du site Web est également dans la plage d'interception de Leichi ; Les attaques de vol CSRF qui identifient et envoient des requêtes illégales, ainsi que les attaques de désérialisation Java qui exploitent les vulnérabilités de désérialisation pour implanter des codes ou des commandes malveillants, ont été interceptées avec succès par Leichi. En raison du temps limité, seuls les effets d’interception de certaines attaques sont présentés ici. Lei Chi peut intercepter une variété d'attaques et continuera d'être mis à niveau et amélioré à l'avenir. Il est recommandé d’expérimenter vous-même davantage de stratégies de protection.
Pour les entreprises ou les utilisateurs ayant des exigences plus élevées, Leichi propose une version professionnelle. En plus des fonctions de la version open source, la version professionnelle dispose également de nombreux gameplay avancés. Par exemple, grâce à des fonctions statistiques avancées, les utilisateurs peuvent visualiser l'état de la protection WAF dans différentes dimensions temporelles, et les indicateurs affichés sont plus abondants et professionnels. Des pages d'interception personnalisées peuvent être téléchargées selon différents scénarios d'interception, améliorant considérablement l'expérience utilisateur. Par exemple, une page 404 peut être utilisée pour héberger un enfant disparu. Informations, interface d'interaction homme-machine ou page de codes de vérification glissante, etc. il existe également une fonction d'équilibrage de charge en amont pour protéger le site que la version open source ne possède pas. Lorsque les serveurs backend sont distribués et qu'il existe de nombreux nœuds, vous pouvez configurer un algorithme d'équilibrage de charge pour répartir uniformément le trafic et améliorer efficacement la capacité de débit globale. En termes de mode de performance du moteur de détection, la version communautaire a un QPS maximum de 2000 et ne peut être qu'un seul thread, tandis que la version professionnelle prend en charge le multi-threading. Théoriquement, plus la configuration est élevée, plus le QPS qu'elle peut se permettre est élevé, soit des dizaines de milliers.
Afin de donner à chacun l'opportunité d'expérimenter la version professionnelle du Lei Chi, l'auteur a contacté les étudiants de Changting et leur a demandé si un lot de quotas d'expérience (CJ) pouvait être distribué sous la forme d'une loterie. De manière inattendue, Changting a facilement accepté. Si vous avez actuellement des besoins dans ce domaine, vous souhaiterez peut-être profiter de cette opportunité pour participer. La manière de participer est très simple, il suffit de laisser un message « Leichi Professional Edition » dans la zone commentaire. Les résultats de la loterie seront annoncés de manière dynamique. Bonne chance à tous par avance. Dans le même temps, j'espère également que les amis qui l'utilisent pourront fournir des avis plus précieux, ce qui est crucial pour le développement de Leichi et même du WAF national.
J'espère que grâce à l'introduction ci-dessus, chacun pourra avoir une compréhension plus complète de Leichi WAF, prêter attention à la sécurité du réseau et protéger ses propres sites Web. Si vous avez d'autres questions sur la sécurité du réseau ou sur Leichi WAF, veuillez laisser un message dans la zone de commentaires pour en discuter. N'oubliez pas de partager cet article pour permettre à davantage de personnes de prêter attention à la sécurité des réseaux.
Partager sur Twitter Partager sur Facebook
Indie123
commentaires
Il n'y a actuellement aucun commentaire