request-shield vor einer öffentlichen Website #

Diese Seite richtet sich an Administratorinnen und Administratoren sowie Hosting-Teams öffentlicher Websites. Öffentliche Websites erhalten jeden Tag Scanner, Angriffe auf Zugangsdaten und Scraper. request-shield ist eine kleine Web Application Firewall für PHP, die über jede Anfrage entscheidet, bevor der Kernel von Exponential startet: Sie weist Scanner und fehlerhafte Anfragen ab, bremst Fluten, verlangt von verdächtigen Clients eine unsichtbare Browserprüfung und kann die Administration einschränken (Sicherheitshärtung: Ein vorgeschalteter Schutz).

Inhalt #

1. Was es ist und was nicht
2. Klassifizierung und Schutz nebeneinander
3. Einführen
4. Hinweise zu Beschaffung und Steuerung
5. Verwandte Seiten

Was es ist und was nicht #

• Eine eigenständige Bibliothek: https://github.com/cjw-network/request-shield, MIT-Lizenz, vom CJW Network.
• Nicht Teil der composer.json von Exponential; Sie fügen es mit composer require cjw-network/request-shield hinzu oder als Checkout außerhalb des Document-Root.
• Es kann ein richtiges Passwort nicht von einem falschen unterscheiden: Kontosperre und zweistufige Anmeldung bleiben Aufgabe von Exponential.
• Es sieht keine statischen Dateien, die der Webserver selbst ausliefert.

Klassifizierung und Schutz nebeneinander #

Wo sie sich überschneiden, verwenden beide dieselben Regelnamen, sodass sich eine Zeile des einen im anderen finden lässt.

Einführen #

1. Installieren Sie die Bibliothek; kopieren Sie die Beispielregeln für Exponential aus ihrem Verzeichnis examples/exponential/ in ein Verzeichnis, das der Webserver nie ausliefert (die Bibliothek schlägt settings/request-shield/ vor).
2. Wählen Sie die Hauptdatei: exponential-admin-uri.rules (Administration unter /admin auf demselben Host) oder exponential-admin-host.rules (Administration auf eigenem Host).
3. Schalten Sie es für jede Anfrage ein: mit PHP-FPM ein Aufruf von Shield::protectFile() am Anfang von config.php oder auto_prepend_file; unter Velocity die Datei, die in der Konstante EXP_REQUEST_PREPEND_FILE genannt ist (seit 6.0.15).
4. Zuerst der Beobachtungsmodus (set mode monitor, wie die Beispiele ausgeliefert werden): Lesen Sie das Protokoll einige Tage lang, während die Redaktion arbeitet.
5. Passen Sie die website-spezifischen Zeilen an (Siteaccesses, Module von Erweiterungen, die Formulare annehmen, Hostnamen, Load Balancer).
6. Prüfen und testen Sie nach jeder Änderung: bin/request-shield check <main file>, bin/request-shield test <main file>, bin/request-shield trace <main file> "GET https://www.example.gov/...".
7. Wechseln Sie zu set mode enforce; beobachten Sie die Sperr- und strengen Regeln, bis ihr Protokoll sauber ist.
8. Zum Abschalten verwenden Sie set mode off, statt das Include zu entfernen.

Hinweise zu Beschaffung und Steuerung #

• Es ist Open-Source-Software eines Dritten: Führen Sie es mit Lizenz und Version in Ihrem Softwareverzeichnis und verfolgen Sie seine Releases wie bei jeder Abhängigkeit.
• Sein Protokoll enthält Adressen von Besuchern; nehmen Sie es in Ihr Verzeichnis von Verarbeitungstätigkeiten und seine Aufbewahrung in Ihren Aufbewahrungsplan auf.
• Die Beispielregeln beschränken System-URLs und Administrationsmodule auf der öffentlichen Website, was auch die Angriffsfläche für Scanner verkleinert.

Verwandte Seiten #

• Sicherheitshärtung
• Anfrageprotokolle
• request-shield und Anfrageregeln für Hoster
• Freie Dokumentation: Diese Seite darf unter der GNU FDL 1.3 frei kopiert, übersetzt und verbessert werden.