2024年值得关注的几款开源或免费的web应用防火墙
2024年,随着ChatGPT的强势崛起,人工智能必将改造各行业并且成为新一轮经济发展的动力,所以无论私有服务器还是云厂商如Cloudflare、阿里云、腾讯云等都把web应用防火墙(WAF)向智能化方向发展,并闷声发大财。
但市场上商业web应用防火墙(WAF)基本都是闭源,开源WAF虽多,但能免费部署的极少,笔者花费大量时间整理出下面几款能部署的web应用防火墙给大家参考。
1、EBHTTPS
ebhttps是一款基于eBPF技术的开源web应用防火墙,由国产优秀开源厂商AIHTTPS倾力打造,最大的优点是零配置、不需要导入SSL证书、不中断生产环境等。
eBPF是一项革命性的技术,可以追踪任何应用和内核导出的函数,实现hook效果。ebhttps通过uprobe、kprobe等技术hook OpenSSL的SSL_read、SSL_write函数,直接从内存获取HTTPS明文请求数据做攻击检测。
开源地址:https://github.com/qq4108863/ 或https://gitee.com/httpwaf/
2、Nginx系列
Nginx是一款非常优秀的web服务器,也可以用于负载均衡和安全网关,于是很多公司在上面二次开发成web应用防火墙模块,如unixhot、openresty、openwaf、verynginx等。优点是Nginx并非高、速度快。缺点:底层nginx修改非常复杂,在人工智能算法、智能语义解析上实现很难和其他生态相比,github上大多是技术研究型的半成品,离商业级的实战产品还需要大量技术和人力投入。
开源地址https://github.com/nginx/
3、ModSecurity
ModSecurity是WAF界的先驱,历史影响力很大,其专门针对apache和nginx编写由防护模块,并且安全社区OWASP很早就开发和维护着一套免费的保护规则,(又称ModSecurity的核心规则集),其优点是:规则对抗已知漏洞尚可。缺点是:无法对抗未知漏洞,且某些环境误报率很高,在人工智能时代稍微显得有些落伍了。
开源地址:https://github.com/owasp-modsecurity/
4、Cloudflare
Cloudflare是非常良心的CDN加速、内容分发厂商,其很多基础防护功能都是免费的,互联网黑白两道都在大量使用,为各类网站提供基础的安全和保护。
项目地址:https://www.cloudflare.com/
5、HTTPWAF
httpwaf是一款目前极其少有带web管理后台,提供永久免费版本的web应用防火墙。可以直接在生产环境部署的,支持自定义规则和未知漏洞检测。优点是使用简单,1分钟就可以完成部署,非常适合私有化环境。缺点是:为了安全不联网,升级等只能手动进行。
项目地址:https://github.com/httpwaf/ 或者 :https://gitee.com/httpwaf/
总结:
总体来说,2024年网络安全界出现了明显的变化,那就是eBPF技术的应用落地。主要原因是eBPF要求内核版本在4.10以上,也就是存量市场的CentOS7并不支持,但随着今年CentOS7到期停服,像ebhttps这类基于eBPF的web防火墙会越来越多,不需要配置复杂的SSL证书、用户体验也会越来越好,并且一定会向智能化方向发展。