深信服社区»版块 安全类 下一代防火墙NGAF WEB应用防火墙WAF8.0.42发现有代码注入“(带)(基)复方氨 ...

WEB应用防火墙WAF8.0.42发现有代码注入“(带)(基)复方氨基酸”

查看数: 1717 | 评论数: 14 | 收藏 0
关灯 | 提示:支持键盘翻页<-左 右->
    组图打开中,请稍候......
发布时间: 2025-1-27 14:39

正文摘要:

每天有很多这样的安全日志,看数据包为正常数据,虽然策略里是检测到放行,但想以后不出现这样的误报,请问怎么处理? 感觉好像就是包含( )( )两个括号就报代码注入,不知道是不是这样,是不是可以添加自定义规则提 ...

回复

网泰王晓庆 发表于 2025-2-6 15:35
检查数据包:
既然已经确认数据包为正常数据,那么需要仔细分析这些数据包的具体内容,特别是它们是否包含任何可能被WAF误认为是攻击特征的元素。
在本例中,可以重点检查是否所有包含“( )( )”两个括号的请求都被误报了。
理解WAF检测机制:
WAF通常基于预定义的规则集来检测恶意流量。这些规则集可能包括针对常见攻击模式的正则表达式或特征码。
如果WAF的某个规则与正常数据中的某个部分匹配,就可能导致误报。
新手981388 发表于 2025-2-1 14:07
可以按照以下步骤进行设置:

    规则名称和描述:首先,您需要为您的规则设置一个名称和描述,以便于后续管理和识别。

    规则类型:选择自定义Web应用防护规则。

    危险等级:根据您的需求选择高、中、低三个级别中的一个。

    动作:选择您希望对匹配到的数据包采取的动作,可以选择“启用,检测后拦截”、“启用,检测后放行”或“禁用”。

    字符串或正则表达式:
        如果您使用字符串匹配,可以直接输入“(带)(基)”。
        如果您使用正则表达式,可以使用相应的正则表达式来匹配这两个词,例如:\(带\)\(基\)。

    匹配方向:设置匹配方向,可以选择请求或响应。

以下是自定义Web应用防护规则库的界面示例,供您参考:

在设置完成后,确保保存您的规则,以便它能够生效
向上吧,少年 发表于 2025-1-31 20:38
根据您的问题,为您推荐如下答案:

截止标准版本AF8.0.95,AF不支持单独的恶意代码库;AF可通过安全规则库中的APT僵尸网络规则库和IPS漏洞特征识别库来识别防护恶意代码攻击。



APT僵尸网络配置:

①以标准版本AF7.4-AF8.0.95版本操作路径示例:在【对象】-【安全策略模版】-【僵尸网络】中配置模版,然后在【策略】-【安全策略】-【安全防护策略】里配置业务防护策略以及用户防护策略②以标准版本AF7.3版本操作路径示例:在【IPS】-【IPS】中配置策略

②以标准版本AF7.3版本操作路径示例:在【防火墙】-【僵尸网络】中配置策略





IPS入侵防御系统配置:

1、保护客户端,源区域选择内网电脑所在的内网区域,目的区域选择外网区域

2、保护服务器,源区域选择攻击发起方所在的外网区域,目的区域选择需要防护的服务器所在的内网区域

3、保护服务器不能选择【恶意软件】

4、保护客户端不能选择【口令暴力破解】

①以标准版本AF7.4-8.0.85版本操作路径示例:在【对象】-【安全策略模版】-【漏洞攻击防护】中配置模版,然后在【策略】-【安全策略】-【安全防护策略】里配置业务防护策略以及用户防护策略

②以标准版本AF7.3版本操作路径示例:在【防火墙】-【IPS】中配置策略
池鱼故渊 发表于 2025-1-30 20:55
检查数据包:
既然已经确认数据包为正常数据,那么需要仔细分析这些数据包的具体内容,特别是它们是否包含任何可能被WAF误认为是攻击特征的元素。
在本例中,可以重点检查是否所有包含“( )( )”两个括号的请求都被误报了。
理解WAF检测机制:
WAF通常基于预定义的规则集来检测恶意流量。这些规则集可能包括针对常见攻击模式的正则表达式或特征码。
如果WAF的某个规则与正常数据中的某个部分匹配,就可能导致误报。
朱墩2 发表于 2025-1-28 20:57
定期更新和维护:
定期更新WAF软件和规则集,以确保WAF能够防御最新的威胁。
定期审查和调整WAF策略,以适应业务变化和安全需求的变化。
加强安全培训和意识:
对开发团队和安全团队进行定期培训,提高他们的安全意识和对WAF工作原理的理解。
鼓励团队成员报告任何可疑的安全事件或误报问题。
建立反馈机制:
建立一个有效的反馈机制,以便在出现误报问题时能够迅速响应和解决。
与WAF厂商保持联系,及时报告任何已知的误报问题,并获取更新或补丁。
综上所述,针对WAF出现的误报问题,可以通过分析误报原因、调整WAF规则、配置WAF策略、监控和日志分析以及预防未来误报等措施来解决。在处理此类问题时,需要谨慎操作以确保不会引入新的安全风险。
唐三平 发表于 2025-1-28 20:52
检查数据包:
既然已经确认数据包为正常数据,那么需要仔细分析这些数据包的具体内容,特别是它们是否包含任何可能被WAF误认为是攻击特征的元素。
在本例中,可以重点检查是否所有包含“( )( )”两个括号的请求都被误报了。
理解WAF检测机制:
WAF通常基于预定义的规则集来检测恶意流量。这些规则集可能包括针对常见攻击模式的正则表达式或特征码。
如果WAF的某个规则与正常数据中的某个部分匹配,就可能导致误报。
乘风飘霖 发表于 2025-1-28 20:38
预防未来误报
定期更新和维护:
定期更新WAF软件和规则集,以确保WAF能够防御最新的威胁。
定期审查和调整WAF策略,以适应业务变化和安全需求的变化。
加强安全培训和意识:
对开发团队和安全团队进行定期培训,提高他们的安全意识和对WAF工作原理的理解。
鼓励团队成员报告任何可疑的安全事件或误报问题。
虾米没有虾 发表于 2025-1-27 20:11
建立反馈机制:
建立一个有效的反馈机制,以便在出现误报问题时能够迅速响应和解决。
与WAF厂商保持联系,及时报告任何已知的误报问题,并获取更新或补丁。
综上所述,针对WAF出现的误报问题,可以通过分析误报原因、调整WAF规则、配置WAF策略、监控和日志分析以及预防未来误报等措施来解决。在处理此类问题时,需要谨慎操作以确保不会引入新的安全风险。
池鱼故渊 发表于 2025-1-27 20:01
预防未来误报
定期更新和维护:
定期更新WAF软件和规则集,以确保WAF能够防御最新的威胁。
定期审查和调整WAF策略,以适应业务变化和安全需求的变化。
加强安全培训和意识:
对开发团队和安全团队进行定期培训,提高他们的安全意识和对WAF工作原理的理解。
鼓励团队成员报告任何可疑的安全事件或误报问题。