关于安全:RASP实践分析

一、RSAP 简介

1. Waf

简介: 它采纳申请特色检测攻击方式,waf 和防火墙就好比方一座大厦门口的保安，你要进入大厦,waf 和防火墙就会在你进入大厦时进行安检，查看到你携带刀枪炸药、鸦片大麻，就会把你拦挡下来，如果没有那就放你进入，至于你进入大厦后所做的一些行为就不会再去检测。

最近几年，攻打伎俩开始变得复杂，攻击面也越来越广。传统的平安防护伎俩，WAF、IDS(入侵检测零碎)，大多是基于规定，曾经不能满足企业对平安的根本需要。对所有的申请都匹配规定，拖慢服务器性能。

产品状态: 硬件、软件、云。

2. RASP

简介: 好比给每个进入大厦的人都配了一名私人保镖，不仅仅是在入口处设置保安检测, 当你进入这座大厦后, 你的一举一动都会被它监测到, 当你要挥起拳头, 下一步筹备打人时, 他就会在你挥拳时把你拦挡下来。

只对要害的申请点检测, 不是所有申请都匹配所有规定，

产品状态: 软件，运行在应用程序外部，应用程序融为一体，实时监测、阻断攻打，使程序本身领有自爱护的能力。

二、性能清单

1. RASP 能够检测那些破绽

 攻打类型                  RASP 反对               WAF 反对 
跨站脚本（XSS）✔                          ✔ 
命令注入                        ✔                         ✔ 
ShellShock                     ✔                         ✔ 
未经解决的异样                 ✔                        ❌ 
短少内容类型                 ✔                         ✔ 
短少 Accept 标头                 ✔                        ✔ 
不受反对的办法               ✔                         ✔ 
破绽扫描                        ✔                        ✔ 
办法调用失败                   ✔                        ❌ 
敏感数据泄露                   ✔                         ❌ 

三、竞品剖析

调研了一些国内做 RASP 的厂商, 详情如下图:

四、搭建流程

搭建 OpenRASP 做个小测试, 先搭建一个用于测试的靶场,

1. 搭建测试环境

1、为了简化装置，应用 docker 形式进行

    curl -sSL https://get.daocloud.io/docker | sh

2、dockers 装置 mysql 数据库

    docker run --name mysqlserver -e MYSQL_ROOT_PASSWORD=123 -d -i -p 3309:3306  mysql:5.6

3、此环境曾经上传 docker，无需提前下载间接运行即可。

    docker run --name permeate_test --link mysqlserver:db  -d -i  -p 8888:80 –p 8086:8086 daxia/websafe:latest    

4、通过浏览器拜访 http://localhost:8888，便能够关上装置协定页面，点击我批准此协定，填写装置配置，设置数据库地址为 db，装置 MySQL 数据库时咱们曾经设置明码为 123，这里也填写 123，参考页面如下：

2. 装置 OpenRASP

1、装置 ES 服务

    docker run --name elasticsearch -d -p 9200:9200 -p 9300:9300 elasticsearch:5.6

2、装置 mongodb

    docker run -itd --name mongo -p 27017:27017 mongo 

3、下载 rasp-cloud

    wget https://packages.baidu.com/app/openrasp/release/latest/rasp-cloud.tar.gz

4、批改配置文件，把 127.0.0.1 更换为本机 IP

    vim rasp-cloud-2021-02-07/conf/app.conf

5、启动后盾管理系统

    ./rasp-cloud-2021-02-07/rasp-cloud -d

6、拜访后盾

    http://172.26.81.233:8086/

7、点击增加主机, 而后抉择你对应的语言去下载安装包, 我这里是 PHP, 所以抉择 PHP 服务器.

下载 PHP 安装包

curl https://packages.baidu.com/app/openrasp/release/1.3.6/rasp-php-linux.tar.bz2 -o rasp-php-linux.tar.bz2  
tar -xvf rasp-php-linux.tar.bz2  
cd rasp-\*/

install.php 进行装置

./install.php

默认装置门路为 /opt/rasp，可替换为其余门路

php install.php -d /opt/rasp --heartbeat 90 --app-id c0c523ce311cef92c6f3e9eee306777c99010ce7 --app-secret 0njm1mPafaCGV3cyY15BnOauu4BeqqlC62auGpU8uJk --backend-url http://172.26.81.223:8086/

重启 PHP-FPM 或者 Apache 服务器

service php-fpm restart

apachectl -k restart

五、实际案例

咱们的靶场曾经增加胜利了, 当初模仿黑客伎俩攻打靶场, 检测一下 OpenRASP 的防护能力, 这里我用工具 burp suite 去扫描我的靶场, 能够看到下图扫到了 XSS 跨站脚本, 明码明文传输,SQL 注入

OpenRASP 的攻打事件中记录了 3334 条记录,

破绽列表中能够看到它拦挡到的破绽,

默认是只装置防护插件, 还能够下载 iast 交互式扫描插件,

作者: 陈婷

公布工夫:2021 年 3 月 21 日