Jinyiシールド：オープンソースのWebアプリケーションファイアウォールの導入

xwaf（絹の服とシールドが）にすることはできません、次世代のWebアプリケーションファイアウォールを開発するために、元のビジネスロジック保護エンジンと機械学習エンジンが効果的にビジネスセキュリティリスクを保護することができ、従来のWAFのセキュリティサービスを解くopenresty（nginxのの+のLUA）に基づいています保護痛みのポイント。
jxwaf

DjangoPython3

jxwaf（絹の服とシールド）は、次世代のWebアプリケーションファイアウォールを開発するopenresty（nginxのの+のLUA）に基づいており、本来のビジネスロジック保護エンジンと機械学習エンジンは、効果的にビジネスセキュリティリスクを保護することができ、ビジネスには、伝統的なWAFを解決することはできませんセキュリティ保護の痛みのポイントを行っています。検出の精度向上させながら、内蔵の機械学習エンジンとセマンティック分析エンジンは、速度低下の問題で従来のWAFルールオーバーレイにあまりにも多くの結果を避けるために（低偽陽性を、偽陰性が低いです）。
フィーチャー機能

        ベース攻撃からの保護
            SQLインジェクション攻撃、
            XSS攻撃
            、ディレクトリトラバーサルの脆弱性
            コマンドインジェクション攻撃を
            防御アップロードウェブシェル
            スキャナの攻撃を...
        機械学習
            サポートベクトルマシン（SVM）
        意味解析
            SQLインジェクション意味解析の
            XSS攻撃意味解析
        、ビジネスロジックの脆弱性の保護
            登録の保護は、
            保護を上陸させました
            抗アクティビティブラシ
            SMS爆弾保護
            越権脆弱性保護の
            保護をバイパスするSMS確認コードは、チェック...
        シニアCC攻撃からの保護
            異なるURLに利用できるが、個別に異なる変数の保護異なるパラメータ設定を要求する
            CAPTCHA
        クッキーセキュリティ
        フロントエンドのパラメータ暗号化保護
            AES暗号化および復号化をサポートするために
            サポートDESプラス復号化
            RSAの暗号化と復号化のためのサポート
        動的パスワード機能の透明展開は
            オフィスシステムやウェブサイトをバックアップするために、動的パスワード（OTP）を提供し、ユーザーの特徴
        検出キャッシュ機能を
            WAFで検出効率を向上させるためにMD5要求のキャッシングを検出された
        プロトコルをサポートするために
            HTTP / HTTPS
        パフォーマンス＆信頼性を
            1ミリ秒未満要求処理のミリ秒の応答時間
            マスタ-スレーブ配置、故障の単一点
            クラスタリバースプロキシモードの展開は、大規模なデータ・トラフィック・プロセスができ
            、元のネットワークトポロジーを変更することなく、埋め込まれた配備をサポートする
            クラウドパターン展開サポートする
        管理機能を
            基本構成
            規則設定は、
            報告ショーの
            アラーム設定

アーキテクチャアーキテクチャ

jxwaf jxwafとjxwaf管理センターによる（Jinyiシールド）：

    jxwaf：基づきopenresty（nginxの+ LUA）開発
    jxwaf管理センター：HTTP：//www.jxwaf.com

環境環境

    jxwaf
        CentOSに7
        Openresty 32 1.11.2.4

インストールをインストールし

、次のように、tmpディレクトリ、ファイル操作jxwaf_install.shは/ opt / jxwafディレクトリにインストールjxwaf /にコードをダウンロードするには：

        $のCDを/ tmp
        $ Gitのクローンhttps://github.com/jx -sec / jxwaf.git
        $のCDのjxwaf
        $のSHのinstall_waf.sh

        インストール後は、すなわち成功したインストールの下に示されている

        構文/opt/jxwaf/nginx/conf/nginx.conf設定ファイルは次のとおりです。nginxの OK

        nginxの：コンフィギュレーション・ファイル/opt/jxwaf/nginx/conf/nginx.confテストが成功し
        http://www.jxwaf.com登録アカウント訪問、WAFのルール管理- >彼らのニーズに合わせて公式ルールページのロードセットルールをチェックし、 "WAFAPIKEY"のために> WAFグローバル設定ページ- WAFのルール設定後に

        自分のアカウント"wAF_API_KEY"のための"waf_api_key"で/opt/jxwaf/nginx/conf/jxwaf/jxwafconfig.jsonを変更し

        ます。$ / opt / jxwaf / nginxの/ sbinに/ nginxのopenresty開始し、自動的に起動時にユーザーが設定したルールに引っ張ったり、リロードする管理センターをjxwafするopenresty

ドキュメントの文書

    jXWAF命令を
    openrestyは、ビジネスセキュリティ達成に基づく
    動的パスワード機能に基づくopenrestyの透明展開が達成
    のクッキーWAFの開発をセキュリティ

貢献者の貢献

    chenjc安全エンジニア
    jiongriziフロントエンドの開発エンジニア

BUG＆要件BUG＆需要の

    質問を提出するgithubのか、必要BUGの
    QQグループ730 947 092
    Eメール[email protected]

その他その他

現在、オープンソース版は、通常の使用であった、基本的な機能と公式ルールは、中小企業は、基本的な保護のニーズを満たすために、テストの基礎が完成されています。

しかし、機能がないすべての行にある、一部の機能のみをライン攻撃からの保護、クッキーのセキュリティ機能や意味解析に基づいて、今、オープンソース版をリリースするラインから移行しなかったがあります。その他の機能は、時間の外にスナップすることができ、フロントエンドの進捗状況に応じて、行に継続し、全体の年は、完成し得ることができるようにすることが期待されています。

これらは、実行するには、いくつかの下に記載されている株式の機能、以下のとおりです。

    ルール構成を介してデータクリーニング機械学習、特徴抽出、モデルのトレーニングを達成するために、それは単に軽量トレーニング機械学習である-アプリケーション・プラットフォームは、ユーザーがコア機能に焦点を当てることができます機械学習の適用のためのしきい値を減らし、プラットフォームを解決するために取得、他の「一生懸命悪い言語」。現在、コア機能は、内の他の既存の機能統合と、開発されました。
    コマンド実行、意味解析ライブラリ開発コード実行
    のための公式ルール
    に統合するサードパーティ製のセキュリティアプリケーションインタフェース
    ビジネスセキュリティシナリオ開発
    レポートのアラーム音
    クラウドWAFシステム開発

Githubの住所：//github.com/jx-sec/jxwaf：HTTPSを

JXWAF管理センター：のhttp：//www.jxwaf.com/

アイデアの非常に最初からこのプロジェクトは現在、7788、ほぼ一年を開発します。、ピットあまりにも多くのライブホールド、私は唯一のWAFの浸透を行うことができないことがわかっ使用のModSecurityの深ため、ほとんどが書くためにいくつかの時間のために、特に、そのため職業病の、キャリア変更を開発し、このプロジェクトに従事し始めました簡単このWAFの利点と考えることができるコードのすべての面で具現、ローカルフォーカスを迂回。

そして、このパフォーマンスの話を、現在のテストの結果は1ms以下、およそ0.001msでコアモジュールの処理時間、ほとんど影響ルールを追加していないluajit技術のおかげです。同時言葉、単一2G 1核実験5000で仮想マシンを上下に、私は何のリソースを持っていない興味を持っている問題はないはず以上の10Kに達し、物理マシン良好なパフォーマンスの設定をテストすることができます。億以下は、どのようなパフォーマンスの問題と考えられていないだろう一日のPVはなく、「豊かな生活」の経験をModSecurityのに合わせて、「金持ち病」とみなさなかったでしょう 状況については大幅にクラスタまたは缶自己学習上のトラフィックによって複雑。

次のターゲットユーザーの概要：

    セキュリティ人/セキュリティ予算がなかった
    WAF WAFの予算を持っているが、企業のセキュリティ担当者を要求していなかった
    オンラインネットワーク/アプリケーションへの二次検証
    機械学習の保護のニーズは
    ビジネスのセキュリティニーズを持っています
    WAFボックスが運ぶことができなかった、ではない/クラウドクラウドたくなかった
    高いカスタムルールを持っている/会社の機能要件

の記事は、マップ、および必要www.jxwaf.com鑑賞に値していない

最後のおかげで、JSP、クローズドベータ中に歓迎しBUG＆需要を提出あなたはバグ＆要望を提出し、必須ピットがあります。
特別コラム