鐵人檔案
使用開源系統的資安人員重心應該在資安而非開源系統的安裝-維護-整合上，這系列用我寫的工具一鍵盤安裝立即能用，然後直接從操作，調整參數，修改程式等方面來深入了解資安系統，避免光是安裝就卡住，影響學習意願。
前面七篇裡 nftables 一直是配角：第 2 篇說它是「kernel 防火牆、只看 IP」，第 6 篇說封鎖決策會落到它身上，第 7 篇說它的 allowl...
這篇WAF是由三個repo組成，會分五篇說明，偏重與BeakPlatform的關係 防禦節點（主機 B）上那個叫 waf-nginx 的容器裡裝的是什麼、它在整...
nginx、ModSecurity v3、OWASP CRS 三層各做什麼；容器啟動時設定檔怎麼疊起來；一個請求的「異常分數」怎麼算出來、門檻是多少；Paran...
從 nginx 接到請求，到回 403 或轉給被保護網站、再把回應送回去，中間有五個檢查階段。本篇說明每個階段看什麼、在哪一點決定攔下、放行時往後端帶了什麼標頭...
WAF 不會呼叫任何 API、不會送 webhook。它與整套架構的接點只有一個檔案：audit.log。本篇說明這個檔案什麼時候會多一行、一行裡有什麼、Vec...
安裝包裡與 WAF 有關的參數只有幾個；誤判時要改的是哪個檔案、怎麼寫、怎麼讓它生效；怎麼確認 WAF 真的在擋而不只是在轉發；WAF 或後端掛掉時整條鏈會發生...
總覽的圖 0-1 用三種線型畫資料流。第一次看的人常把它讀成一條由外到內的串列：封包過了 nftables 到 WAF，過了 WAF 到 Suricata、Cr...
昨天講到防禦主機的處理流程中的第一個路口，有兩條線可前進，今天先把證明這兩條去向講清楚，後天把下個處理的repo[verification]也簡介，方便沒接觸過...
五、線外回程：六項 回程要證明的是：不該封的封不了、該封的在幾秒內真的落到 kernel 與清單、到期之後真的消失。前面的 TEST- 案件就是這一節的起點。...
先講結論。WAF 站在請求路徑上，只看經過它的 HTTP，看到攻擊就當場擋。Suricata 站在主機 B 的實體網卡旁邊，抄一份所有進出的封包，什麼協定都看，...
