Руководство по установке и вводу в эксплуатацию компонентов Немезида ВАФ | Немезида ВАФ

Доступ к внешним ресурсам

Для корректной работы всех компонентов Немезида ВАФ на каждом сервере, где они установлены, необходимо предоставить доступ к внешним ресурсам:

• https://nemesida-security.com;
• https://nw-auth-extra.nemesida-security.com;
• http(s)://geoip.nemesida-security.com.

# apt install postgresql

# setenforce 0

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of three two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected.
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

# dnf update
# dnf install postgresql-devel postgresql-server
# postgresql-setup initdb
# sed -i "s|host    all             all             127.0.0.1/32            ident|host    all             all             127.0.0.1/32            md5|" /var/lib/pgsql/data/pg_hba.conf
# sed -i "s|host    all             all             ::1/128                 ident|host    all             all             ::1/128                 md5|" /var/lib/pgsql/data/pg_hba.conf
# systemctl start postgresql
# systemctl enable postgresql

После установки СУБД:

• Создайте базу данных для компонентов Nemesida WAF API и Личный кабинет:
  
  Nemesida WAF API

  # su - postgres -c "psql -c \"CREATE DATABASE waf;\""
  # su - postgres -c "psql -c \"CREATE ROLE nw_api PASSWORD 'YOUR_PASSWORD';\""
  # su - postgres -c "psql -c \"GRANT ALL ON DATABASE waf TO nw_api;\""
  # su - postgres -c "psql -c \"ALTER ROLE nw_api WITH LOGIN;\""
  # su - postgres -c "psql waf -c \"GRANT ALL ON ALL TABLES IN SCHEMA public TO nw_api;\""
  # su - postgres -c "psql waf -c \"GRANT ALL ON ALL SEQUENCES IN SCHEMA public TO nw_api;\""
  # su - postgres -c "psql waf -c \"GRANT CREATE ON SCHEMA public TO nw_api;\""
  

  YOUR_PASSWORD — пример пароля, не рекомендуется для использования.

  Личный кабинет

  # su - postgres -c "psql -c \"CREATE DATABASE cabinet;\""
  # su - postgres -c "psql -c \"CREATE ROLE nw_cabinet PASSWORD 'YOUR_PASSWORD';\""
  # su - postgres -c "psql -c \"GRANT ALL ON DATABASE cabinet TO nw_cabinet;\""
  # su - postgres -c "psql -c \"ALTER ROLE nw_cabinet WITH LOGIN;\""
  # su - postgres -c "psql cabinet -c \"GRANT ALL ON ALL TABLES IN SCHEMA public TO nw_cabinet;\""
  # su - postgres -c "psql cabinet -c \"GRANT ALL ON ALL SEQUENCES IN SCHEMA public TO nw_cabinet;\""
  # su - postgres -c "psql cabinet -c \"GRANT CREATE ON SCHEMA public TO nw_cabinet;\""
  

  YOUR_PASSWORD — пример пароля, не рекомендуется для использования.

• Предоставьте доступ для внешних подключений компонентов, внеся изменения в файл конфигурации pg_hba.conf:
  
  Пример:

  # IPv4 local connections:
  host    all             all             10.1.1.0/24            md5
  

• Предоставьте доступ к внешним ресурсам для корректной работы компонента;
• Установите компонент, следуя руководству по установке.

После завершения настройки перезапустите сервисы:

# systemctl restart nw-api rldscupd nginx memcached
# systemctl status nw-api rldscupd nginx memcached

• Предоставьте доступ к внешним ресурсам для корректной работы компонента;
• Установите компонент, следуя руководству по установке;
• Произведите интеграцию компонента с Nemesida WAF API.

После завершения настройки перезапустите сервисы:

# systemctl restart nginx cabinet cabinet_ipinfo cabinet_attack_notification cabinet_cleaning_db cabinet_rule_update memcached
# systemctl status nginx cabinet cabinet_ipinfo cabinet_attack_notification cabinet_cleaning_db cabinet_rule_update memcached

• Предоставьте доступ к внешним ресурсам для корректной работы компонента;
• Установите компонент, следуя руководству по установке;
• Произведите интеграцию компонента с Nemesida WAF API.

После завершения настройки перезапустите сервисы:

# systemctl restart nginx rabbitmq-server memcached nwaf_update mla_main api_firewall
# systemctl status nginx rabbitmq-server memcached nwaf_update mla_main api_firewall

• Предоставьте доступ к внешним ресурсам для корректной работы компонента;
• Установите компонент, следуя руководству по установке;
• Произведите интеграцию компонента с фильтрующей нодой;
• Произведите интеграцию компонента с Nemesida WAF API.

После завершения настройки перезапустите сервисы:

# systemctl restart mlc_main rabbitmq-server memcached
# systemctl status mlc_main rabbitmq-server memcached

1. Отправьте тестовый запрос на сервер фильтрующей ноды с тестовой сигнатурой nwaftest:

# curl -i http://WAF_SERVER/nwaftest

и убедитесь, что сервер фильтующей ноды возвращает код ответа 403, а в логе /var/log/nginx/error.log появилась запись о блокировке:

Nemesida WAF: the request ... blocked by rule ID 1 in zone URL, ...

Если запрос не блокируется, то выполните действия из соответствующего раздела руководства.

2. Перейдите в Личный кабинет и убедитесь, что на странице появилась запись о заблокированном запросе.

Если запрос блокируется, но не отображается на странице атак, то выполните действия из соответствующего раздела руководства.

1. Активируйте параметры режима мониторинга (пассивный режим) работы фильтрующей ноды в Личном кабинете:

• Активация режима мониторинга анализа запросов для IP-адреса:
  
• Активация режима мониторинга анализа запросов для виртуального хоста:
  

Режим мониторинга (пассивный режим) предназначен для предотвращения блокировок запросов на период настройки. Активация режима мониторинга для IP-адреса применяется в случаях, когда необходимо исключить блокировки при обращении с определенного списка IP-адресов (как правило, с IP-адресов, принадлежащих отделу IT, выполняющих настройку компонентов), а активация режима мониторинга для виртуального хоста — исключает блокировки запросов для всех клиентов веб-приложения.

2. Выполните настройку работы фильтрующей ноды в качестве обратного прокси, используя соответствующий раздел руководства;

3. Переопределите соответствие IP-адреса и доменного имени таким образом, чтобы запросы поступали на фильтрующую ноду (например, с помощью редактирования A-записи DNS).

После завершения настройки компонентов параметры активации режима мониторинга необходимо деактивировать и убедиться, что защита активна, отправив тестовый запрос на фильтрующую ноду:

# curl -i http://YOUR_SERVER/nwaftest

• Создайте список виртуальных хостов, для которых будет создана и применена поведенческая модель:

  

Для активации механизма выявления атак методом перебора/флуда/DDoS модулем машинного обучения Nemesida AI выполните следующие действия в Личном кабинете:

• Активируйте параметры выяления DDoS-атак:

  

• Активируйте параметры выяления атак методом перебора/флуда:

  

В случае возникновения проблем, связанных с обработкой запросов модулем машинного, выполните шаги из соответствующего раздела руководства:

• После завершения обучения не происходит анализа запросов модулем машинного обучения;
• Модуль машинного обучения блокирует легитимные запросы.