Web-sovelluspalomuurin käyttöönotto - NGINX WAF

Abstract

Opinnäytetyön tavoitteena oli testata ja käyttöönottaa web-sovelluspalomuuri SaaS-palveluita tarjoavalle yritykselle. Yrityksen SaaS-palvelut toimivat Internetin välityksellä verkkoselaimia hyödyntäen. Uhka-analyysin perusteella tavoitteena oli tuoda lisäsuojakerros suojaamaan ja raportoimaan SaaS-palveluun kohdistetuista sovelluskerroksen hyökkäyksistä. Opinnäytetyö on yleistetty ja antaa suojatun kuvauksen tehdyistä toimenpiteistä ja ympäristöstä. Käytännön osuudessa toimeksiantajan ympäristössä testattiin, käyttöönotettiin sekä dokumentoitiin tuotantokelpoinen High Availability -pari NGINX WAF -web-sovelluspalomuureja. Web-sovelluspalomuurit ovat erikoistuneet web-sovellusten suojaamiseen, ja ne eriyttävät suojaamistoimia yleisemmiltä palomuurilta tehokkaasti. Web-sovellukset ovat monen yrityksen kriittisiä toimintoja ja liiketuoton kanavia. Niille on perusteltua hankkia web-sovelluspalomuuri, joka voi keskittyä tämän kriittisen komponentin suojaamiseen. Opinnäytetyössä käytiin yksityiskohtaisesti lävitse sovelluspalomuurin käyttöönotto sekä testaus. Oletusarvona asennuksessa käytettiin Debian-jakelua Linux-käyttöjärjestelmästä. Sellaisenaan se sopii NGINX WAF:in käyttöönottoa suunnitteleville tutustumiseksi. Kattavan kuvan antamiseksi käytiin lävitse niin avoimen lähdekoodin NGINX WAF:in asennus kuin maksullisen version asennus. Molempiin laitettiin sääntökerrokseksi Owaspin CRS-säännöstö. Tuloksena oli tuotantoon tuleva web-sovelluspalomuuri, jonka keräämää tietoa voidaan käyttää kehittämään yrityksen palveluita. Tietoturvallisuus on monien tekijöiden summa. Silloin kun organisaation ydintoiminnot muodostuvat Internetiin tarjottavasta web-sovelluksesta, SaaS-palvelusta, on sovelluspalomuuri tarpeen osana laajempaa tietoturvatekijöiden kokonaisuutta. Tässä työssä kuvataan perustelut, miksi näin on.

The objective of this Bachelor’s thesis was to test and deploy a web application firewall by the make and model of NGINX WAF for a company offering SaaS services. The services of the said company work via Internet and make extensive use of web browsers. This drove the threat analysis findings which emphasised the need for a defense in depth-strategy with added component of WAF. WAF could protect and report on the attempted attacks targeting OSI layer 7. The thesis is abstracted, and where deemed suitable, also obfuscated. This concerns actions undertaken, and any descriptions of underlying infrastructure. In the practical part of the thesis, the web application firewall was tested, deployed and documented for production use as a High Availability-pairing of NGINX WAFs. Web Application Firewalls are specialized in shielding web applications and they provide division from general shielding capabilities of regular firewalls. Web applications are critical functions of many busi-nesses and sources of revenue. It is prudent to provision them with a WAF which can dedicate itself to shielding this critical component. In the thesis, the deployment instructions and testing bits are extensively covered. By default, it was opted to use Debian distribution of the Linux operating system for base installation of the system. As it is this work delivers value to those contemplating the deployment of NGINX WAF in their environments. The the-sis covers both Open Source installation of NGINX WAF as well as the paid version installation. Their de-ployment is with OWASP CRS ruleset. Result was a production deployment WAF which can provide data for the improvement of the company services. Information Security is the sum of many factors. When the core functions of an organisation are formed based on SaaS application offered out to the Internet a web application firewall needs to be deployed as a part of a larger framework of information security components. The thesis aimed to clarify why this is so.