Giới thiệu

Tường lửa ứng dụng web (WAF) đóng vai trò quan trọng trong việc bảo vệ các trang web và API bằng cách lọc và giám sát lưu lượng HTTP. Với nhiều lựa chọn mã nguồn mở hiện có, làm thế nào để bạn biết được cái nào thực sự hiệu quả nhất?

Gần đây, tôi đã tiến hành một bài kiểm tra có kiểm soát trên một số WAF mã nguồn mở để đo lường độ chính xác phát hiện, tỷ lệ dương giả và độ trễ hiệu suất. Dưới đây là cách tôi đã thử nghiệm, những gì tôi đã phát hiện và lý do tại sao SafeLine nổi bật hơn cả.

Phương Pháp Thử Nghiệm

Để đảm bảo tính công bằng, tôi chỉ sử dụng các công cụ và môi trường mã nguồn mở. Tất cả các WAF được thử nghiệm với cấu hình mặc định, để không có điều chỉnh của nhà cung cấp hay quy tắc tùy chỉnh nào tạo ra lợi thế không công bằng cho một trong số chúng.

Các chỉ số được đánh giá:

• Tỷ lệ phát hiện: WAF chặn lưu lượng tấn công hiệu quả như thế nào?
• Tỷ lệ dương giả: Nó thường xuyên chặn các yêu cầu hợp lệ bao nhiêu lần?
• Tỷ lệ chính xác: Sự cân bằng giữa phát hiện và dương giả.
• Độ trễ phát hiện: WAF xử lý các yêu cầu dưới tải nhanh như thế nào?

Cách Tính Toán Các Chỉ Số

Áp dụng từ phân loại dự đoán trong thống kê:

• TP (Dương thật): Các cuộc tấn công bị chặn chính xác.
• TN (Âm thật): Các yêu cầu hợp lệ được cho phép chính xác.
• FN (Dương giả): Các cuộc tấn công đã lọt qua.
• FP (Âm giả): Các yêu cầu hợp lệ bị chặn sai.

Công thức sử dụng:

• Tỷ lệ phát hiện = TP / (TP + FN)
• Tỷ lệ dương giả = FP / (TP + FP)
• Tỷ lệ chính xác = (TP + TN) / (TP + TN + FP + FN)

Để giảm thiểu sự ngẫu nhiên, tôi cũng chia nhỏ hiệu suất thành độ trễ trung bình 90% và độ trễ trung bình 99%.

Mẫu Thử Nghiệm

Lưu lượng được thu thập trong 10 giờ bằng Burp Suite:

• Mẫu trắng (lưu lượng bình thường):

  • 60,707 yêu cầu HTTP, 2.7 GB dữ liệu
  • Lướt diễn đàn, hành vi lướt web thực tế

• Mẫu đen (lưu lượng tấn công):

  • 600 yêu cầu HTTP
  • 4 loại tấn công:
    • Các lỗ hổng DVWA đơn giản
    • Payload từ thư viện tấn công chính thức của PortSwigger
    • PoCs VulHub chống lại các CVE cổ điển
    • Kịch bản tấn công chế độ bảo mật DVWA

Cài Đặt Thử Nghiệm

• Máy chủ mục tiêu: Nginx trả về phản hồi 200 tĩnh cho mỗi yêu cầu

location / {
    return 200 'hello WAF!';
    default_type text/plain;
}

• Yêu cầu công cụ thử nghiệm:
  • Phân tích xuất Burp
  • Đóng gói lại lưu lượng HTTP đúng cách
  • Xóa cookie (để chia sẻ mã nguồn mở)
  • Thay đổi tiêu đề host cho định tuyến
  • Xác định việc chặn dựa trên phản hồi HTTP 200
  • Trộn đều lưu lượng tấn công và bình thường
  • Tự động tính toán các chỉ số

Kết Quả

SafeLine WAF

Coraza

ModSecurity

Baota WAF

nginx-lua-waf

Bảng So Sánh

Kết Luận Chính

• SafeLine WAF: Cân bằng tổng thể tốt nhất với tỷ lệ dương giả và dương thật thấp nhất. Phát hiện mạnh mẽ mà không phá vỡ lưu lượng bình thường.
• Coraza & ModSecurity: Tỷ lệ phát hiện cao nhưng gặp khó khăn với nhiều dương giả, điều này có thể làm frustrate người dùng cuối trong sản xuất.
• Các WAF khác: Hữu ích trong các tình huống ngách nhưng thua kém trong độ chính xác hoặc hiệu suất.

⚠️ Hãy nhớ rằng: Các mẫu và phương pháp thử nghiệm khác nhau có thể tạo ra những kết quả khác nhau. Luôn điều chỉnh thử nghiệm theo môi trường và mô hình lưu lượng thực tế của bạn.

Bài kiểm tra này cung cấp cái nhìn sâu sắc, nhưng lựa chọn cuối cùng của bạn nên phụ thuộc vào nhu cầu riêng, hạ tầng và mô hình đe dọa của bạn.

Tham Gia Cộng Đồng SafeLine

Nếu bạn tiếp tục gặp vấn đề, hãy liên hệ với bộ phận hỗ trợ SafeLine để được trợ giúp thêm.

• Kho GitHub
• Tài liệu chính thức
• Cộng đồng Discord