การตั้งค่า Sangfor NGFW/NSF WAF เพื่อบล็อก Path ที่มีความเสี่ยงบนเซิร์ฟเวอร์ภายใน

ขั้นตอนการใช้ Web Application Firewall (WAF) บนอุปกรณ์ Sangfor Next-Generation Firewall (NGFW/NSF) เพื่อป้องกันเซิร์ฟเวอร์ภายใน โดยการบล็อกการเข้าถึง Path หรือ URL ที่มีความเสี่ยง เช่น https://yourURL/xmlrpc.php ของ WordPress ซึ่งอาจถูกใช้เป็นช่องทางการโจมตีแบบ Denial of Service (DoS) ได้

วัตถุประสงค์: ป้องกันการเข้าถึง Path ที่อันตรายจากผู้ใช้งานทั้งจากภายนอก (Internet) และภายใน (LAN) ไปยังเซิร์ฟเวอร์ที่อยู่ในเครือข่ายของเรา

ข้อควรทราบที่สำคัญ: สำหรับการรับส่งข้อมูลที่เป็น HTTPS อุปกรณ์ NGFW/NSF จะต้องทำการถอดรหัส (SSL Decryption) สำหรับเซิร์ฟเวอร์ดังกล่าวก่อน จึงจะสามารถตรวจสอบและบังคับใช้นโยบายนี้ได้

กระบวนการตั้งค่าประกอบด้วย 3 ขั้นตอนหลัก:

1. สร้าง WAF Template และกำหนดค่า URL Access Control เพื่อบล็อก Path เป้าหมาย
2. สร้าง Security Policy เพื่อนำ WAF Template ไปบังคับใช้กับเซิร์ฟเวอร์

3. ตรวจสอบ Log เพื่อยืนยันว่าการบล็อกทำงานถูกต้อง

ขั้นตอนที่ 1: สร้าง WAF Template และกำหนดค่า URL Access Control

ในขั้นตอนนี้ เราจะสร้างแม่แบบของ WAF เพื่อระบุกฎการบล็อก Path ที่ต้องการ

1. ไปที่เมนู Objects > Security Policy Template > Web App Firewall.
2. คลิก Add เพื่อสร้าง Template ใหม่

   

3. ในหน้าต่าง Add Web App Firewall Template ให้ตั้งชื่อ Template ให้สื่อความหมาย เช่น Block-WP-XMLRPC.

   

4. ไปที่ส่วน Privilege Control และค้นหา URL Access.
5. คลิกที่ Settings ข้างๆ URL Access.

   

6. ในหน้าต่าง URL Access ที่ปรากฏขึ้นมา ให้คลิก Add.

   

7. กำหนดค่ากฎการควบคุม URL ดังนี้:
   • Action: เลือก Deny เพื่อบล็อกการเข้าถึง
   • URL: ระบุ Path ที่ต้องการบล็อก ในตัวอย่างนี้คือ /xmlrpc.php
   • Description: ใส่คำอธิบาย (เช่น "Block WordPress XML-RPC vuln path")
   • คลิก OK เพื่อบันทึก

     

8. คลิก Save ที่หน้าต่าง URL Access.

   

9. สุดท้าย คลิก Save อีกครั้งที่หน้า Add Web App Firewall Template เพื่อบันทึก Template.
   

   

   

   
   

ขั้นตอนที่ 2: การนำ Policy ไปใช้งานกับเซิร์ฟเวอร์

หลังจากสร้าง WAF Template แล้ว เราจะนำไปใช้กับ Security Policy เพื่อให้มีผลกับ traffic ที่วิ่งไปยังเซิร์ฟเวอร์เป้าหมาย

1. ไปที่เมนู Policies > Network Security > Policies
   

   

2. คลิก Add และเลือก Policy for Server Scenario.

   

3. ในหน้า Basics ให้กำหนดค่าดังนี้:
   • Name: ตั้งชื่อ Policy ให้สื่อความหมาย เช่น Protect-Internal-WebServer.
   • Source:
     • Src Zone: เลือกโซนที่มาของ traffic ที่ต้องการควบคุม เช่น ภายใน (lan) และภายนอก (wan)
     • Src Address: เลือก All
   • Destination:
     • Dst Zone: เลือกโซนที่เซิร์ฟเวอร์ของคุณตั้งอยู่ เช่น dmz

     • Dst Address: ระบุ IP Address ของเซิร์ฟเวอร์ที่ต้องการป้องกัน
       

       

4. ใน Tap Protection ในส่วน Basic Protection (For Server Scenario), ให้ทำเครื่องหมายถูกที่ Web App Firewall.
5. เลือก WAF Template ที่เราสร้างไว้ในขั้นตอนที่ 1 จากเมนู Dropdown (เช่น Block-WP-XMLRPC).

   

    
6. คลิก Next ไปยังขั้นตอน Detection and Response.
7. ในส่วน Response (For All Scenarios) ให้เปิดใช้งาน IP Blocking

   

8. ตรวจสอบให้แน่ใจว่าได้เลือก Log events เพื่อให้ระบบบันทึก Log.

9. คลิก Save เพื่อบันทึกและบังคับใช้ Policy.
   

   

ขั้นตอนที่ 3: การตรวจสอบ Log เพื่อยืนยันการทำงาน

หลังจากที่นโยบายมีผลบังคับใช้ ให้ทดลองเข้าถึง Path ที่ถูกบล็อก และตรวจสอบ Log เพื่อยืนยันว่าการตั้งค่าทำงานถูกต้อง

1. ไปที่เมนู Monitor > Logs > Security Logs.
2. ในแท็บ Security Logs, ให้ใช้ตัวกรอง (Filter) เพื่อค้นหา Log ที่เกี่ยวข้อง
3. ในช่อง Type, ให้เลือก Web App Firewall.

   

4. มองหา Log ที่มี Action เป็น Deny และ Description มีข้อความที่เกี่ยวข้องกับ "URL Access" หรือชื่อกฎที่คุณตั้งไว้

   

5. เมื่อพบ Log ดังกล่าว แสดงว่ามี traffic พยายามเข้าถึง /xmlrpc.php และถูก WAF บล็อกตามนโยบายที่ตั้งไว้เรียบร้อยแล้ว

   

6. คุณสามารถคลิกที่ไอคอน View เพื่อดูรายละเอียดเพิ่มเติมของการเชื่อมต่อที่ถูกบล็อกได้