Поддержка WAF Naxsi

Angie
1

Для nginx существует прекрасный WAF Naxsi.

Начинался как проект компании nbs-systems, теперь поддерживается независимым разработчиком wargio.

Безсигнатурный WAF, работает по принципу whitelist. По умолчанию запрещены почти все подозрительные данные в запросе, для приложения собирается whitelist, в каких локациях/типах запроса/переменных что разрешить.

Мой опыт использования положительный. Периодически прилетающие попытки сканирования на уязвимости хорошо видно в логах заблокированного. Мы с ним успешно прошли аудит безопасности.

В данный момент он собирается и работает с Angie. Но сейчас это проект одного разработчика, который поддерживает его в нерабочее время(ну плюс кто-то иногда патчи присылает).

Не хотели бы вы начать поддерживать его официально и добавить в портфель решений вашей компании?

1 Like
2

Naxsi is a great product, of course, but what happens in the backend
software updates? Do you need to update your whitelist after any update?

Thanks!

3

If backaend software changed its API, introducing new request locations or variables that can contain potentially dangerous content, you will have to update whitelist rules.

It is easier than it sounds: this can be integrated in CI/CD and testing process.

4

Thanks for the confirmation. Yes CI/CD integration can be a good option.

Regards!