Geekflare est soutenu par son public. Nous pouvons percevoir des commissions d'affiliation sur les liens d'achat présents sur ce site.
En Sécurité Dernière mise à jour : 16 septembre 2023
Partager sur :
Invicti Web Application Security Scanner - la seule solution qui offre une vérification automatique des vulnérabilités avec Proof-Based Scanning™.

Protégez vos applications web avec le pare-feu

Milliers d'euros les sites web sont piratés chaque jour en raison d'une mauvaise configuration ou d'un code vulnérable. Le Web Application Firewall (WAF) est l'un des meilleurs moyens de protéger votre site web contre les menaces en ligne.

Si votre site web est disponible sur Internet, vous pouvez utiliser outils en ligne permettant d'analyser la vulnérabilité d'un site web pour vous faire une idée du degré de sécurité de votre site web. Ne vous inquiétez pas s'il s'agit d'un site intranet ; vous pouvez utiliser Scanner web Nikto source ouverte.

WAF commercial peut être coûteux, et si vous cherchez une solution gratuite pour protéger votre site web à l'aide d'un WAF, le Web Application Firewall open-source suivant peut vous être utile.

ModSecurity

ModSecurity de TrustWave est l'un des pare-feu d'application web les plus populaires, et il prend en charge Apache HTTP, Microsoft IIS & Nginx.

Les règles gratuites de ModSecurity vous seront utiles si vous recherchez les protections suivantes.

  • Scripts intersites
  • Cheval de Troie
  • Fuite d'informations
  • Injection SQL
  • Attaques courantes sur le web
  • Activité malveillante

ModSecurity n'a pas d'interface graphique, et si vous êtes à la recherche d'une telle interface, vous pouvez envisager d'utiliser WAF-FLE. Il vous permet de stocker, de rechercher et de visualiser l'événement dans une console.

waf-fle

NAXSI

NAXSI est Nginx Anti-XSS & SQL Injection. Comme vous pouvez le deviner, il s'agit uniquement du serveur web Nginx et vise principalement à protéger contre les attaques de type cross-site scripting et SQL injection.

NAXSI ne filtre que les requêtes GET et PUT, et la configuration par défaut agit comme un firewall DROP-by-default, vous devez donc ajouter la règle ACCEPT pour que cela fonctionne correctement.

WebKnight

WebKnight WAF est destiné à Microsoft IIS. Il s'agit d'un filtre ISAPI qui sécurise votre serveur web en bloquant les mauvaises requêtes. WebKnight est utile pour sécuriser les éléments suivants.

  • Débordement de mémoire tampon
  • Répertoire transversal
  • Codage des caractères
  • Injection SQL
  • Bloquer les mauvais robots
  • Lien direct
  • La force brute
  • Et bien d'autres choses encore...
chevalier du web

Dans une configuration par défaut, toutes les demandes bloquées sont enregistrées, mais vous pouvez les personnaliser en fonction de vos besoins. WebKnight 3.0 dispose d'une interface web d'administration qui permet de personnaliser les règles et d'effectuer des tâches d'administration, y compris des statistiques.

Daemon de l'ombre

Daemon de l'ombre détecte, enregistre et prévient les attaques web en filtrant les requêtes à partir de paramètres malveillants. Il est livré avec une interface propre où vous pouvez effectuer l'administration et la gestion de ce WAF. Il supporte les langages PHP, Perl et Python.

Il peut détecter les attaques suivantes.

  • Injection SQL
  • Injection XML
  • Injection de code
  • Injection de commande
  • XSS
  • Accès par la porte dérobée
  • Inclusion de fichiers locaux/éloignés

L'open source est gratuit, mais vous ne bénéficiez pas de support, ce qui signifie que vous devez compter sur votre expertise et sur le soutien de la communauté. Si vous recherchez un WAF commercial, vous pouvez donc vous référer au suivant.

  • Cloudflare (en nuage)
  • Incapsula (en nuage)
  • F5 ASM
  • Règles commerciales de TrustWave ModSecurity
  • Chemin d'accès
  • SUCURI (basé sur le cloud)

J'espère que cela vous aidera à vous faire une idée des pare-feux d'application web open source pour les différentes plateformes.

  • Chandan Kumar
    Auteur
Merci à nos sponsors
Autres lectures sur la sécurité
Alimentez votre entreprise
Quelques outils et services pour aider votre entreprise à se développer.
  • Invicti utilise le Proof-Based Scanning™ pour vérifier automatiquement les vulnérabilités identifiées et générer des résultats exploitables en quelques heures seulement.
    Essayez Invicti
  • Web scraping, proxy résidentiel, proxy manager, web unlocker, search engine crawler, et tout ce dont vous avez besoin pour collecter des données web.
    Essayez Brightdata
  • Monday.com est un système d'exploitation tout-en-un qui vous aide à gérer vos projets, vos tâches, votre travail, vos ventes, votre CRM, vos opérations, vos flux de travail et bien plus encore.
    Essayez le lundi
  • Intruder est un scanner de vulnérabilité en ligne qui détecte les faiblesses de votre infrastructure en matière de cybersécurité, afin d'éviter des violations de données coûteuses.
    Essayer l'intrus