[发明专利]一种基于Nginx的新型WAF设计方法

说明书

本发明公开了一种基于Nginx的新型WAF设计方法，包括：步骤S100：配置业务源站和镜像源站，所述业务源站用于线上业务，所述镜像源站用于对所述线上业务进行镜像形成镜像业务，将WAF部署在Nginx服务器中，并且部署在所述线上业务和镜像业务的前端；步骤S200：WAF采用通用规则拦截攻击，并阻塞难检测请求；步骤S300：WAF将所述难检测请求转发到所述镜像业务，并根据镜像业务返回的响应，进行检测并判断对所述难检测请求是拦截还是停止阻塞。本发明提供一种基于Nginx的新型waf设计方法，可以有效的降低传统WAF的漏报、误报，防止传统WAF被绕过和0day攻击。可实时对用户请求进行检测，防止各种网络攻击。

技术领域

本发明涉及信息安全技术领域，具体的说，是一种基于Nginx的新型WAF设计方法。

背景技术

随着计算机技术的不断发展，web应用越来越广泛。Nginx作为一款轻量级的Web服务器，具有高性能的HTTP处理能力和反向代理功能，被广泛用作WAF部署服务器。WAF是Web应用的安全保障，WAF通过执行一系列针对HTTP/HTTPS的安全策略来专门为web应用提供保护。较早的传统WAF大多都是基于规则策略，通过判断请求是否与规则匹配来检测请求是否带有攻击行为。目前，一些WAF还加入了机器学习等算法，通过大量机器学习建立模型，从而从大量的请求中筛选出异常请求进行拦截。由于传统WAF都是根据攻击行为来制定规则，所以这些waf都有一些共同的缺点，即存在误报漏报，漏报，绕过，并且无法防止0day攻击。

发明内容

本发明的目的在于提供一种基于Nginx的新型WAF设计方法，用于解决现有技术中WAF根据攻击行为来指定规则，存在误报、漏报和绕过异常的问题。

本发明通过下述技术方案解决上述问题：

一种基于Nginx的新型WAF设计方法，包括：

步骤S100：配置业务源站和镜像源站，所述业务源站用于线上业务，所述镜像源站用于对所述线上业务进行镜像形成镜像业务，将WAF部署在Nginx服务器中，并且部署在所述线上业务和镜像业务的前端；

步骤S200：WAF采用通用规则拦截攻击，并阻塞难检测请求；

步骤S300：WAF将所述难检测请求转发到所述镜像业务，并根据镜像业务返回的响应，进行检测并判断对所述难检测请求是拦截还是停止阻塞。

Original location采用下面的配置代码：

在Original中配置业务源站，当需要添加镜像模块时，只需要在原本的业务源站配置中添加original配置代码。当确定正常的URL匹配到original location时，Nginx会按正常的流程处理请求，对于用户和业务源站来说，没有任何变化。只是当请求匹配originallocation时，Nginx后台会通过mirror指令将请求复制一份到指定的镜像业务源站，镜像业务源站的响应返回会被Nginx忽略，所以通过这种部署方式，镜像业务源站不会对线上的业务源站造成影响。当不确定请求到达时，则需要暂时阻塞请求，然后将请求镜像至镜像业务。当镜像请求到达Mirror location时，nginx会将该请求转发到镜像业务，根据镜像业务的响应，由Nginx中的特殊规则判断请求是否合法，如果不合法直接拦截，否则停止用户请求的阻塞，将请求转发到线上业务。由于镜像业务是对线上业务的模拟，因此可以保证响应特征的相似性，从而准确的判断是否为正常请求，并且检测过程中不会对线上业务造成特别大的影响。

进一步地，所述步骤S300具体包括：

步骤S310：Nginx的ngx_http_mirror_modulek模块，将所述难检测请求进行镜像并转发到所述镜像业务；

步骤S320：镜像业务根据所述难检测请求做出响应并返回WAF，所述响应与线上业务相同；