Nginx リバースプロキシにおける HTTP リクエストスニッフィング防御方法-Nginx-php.cn

Nginx リバースプロキシにおける HTTP リクエストスニッフィング防御方法

王林

リリース： 2023-06-11 08:12:09

オリジナル

1668 人が閲覧しました

インターネットの発展に伴い、Web サーバーとアプリケーションはますます複雑になり、セキュリティ攻撃も徐々に増加しています。Nginx は、Web サーバーと負荷分散テクノロジで最も広く使用されているツールの 1 つです。 Nginx のリバースプロキシメカニズムは、Nginx を信頼できるアプリケーションサーバーにすることができますが、広範囲に攻撃されるターゲットでもあります。この記事では、Nginx リバースプロキシで HTTP リクエストスニッフィング攻撃を防御する方法について説明します。

HTTP リクエストスニッフィング攻撃とは何ですか?

HTTP リクエストスニッフィング攻撃は、一般的なネットワーク攻撃手法であり、攻撃者はネットワークデータパケット内の HTTP リクエストを傍受し、データを分析および処理して、ターゲットサイトの機密情報を取得します。つまり、攻撃者はクライアントからサーバーに送信された HTTP リクエストを傍受し、ヘッダーとパラメーターを分析します。この情報を分析することで、攻撃者はサーバーの実際の IP アドレスを取得し、実際のアプリケーションサーバーを推測し、ユーザーのログイン資格情報、ビジネスデータ、セッション ID などを含む重要な機密データを取得することができます。 HTTP リクエストスニッフィング攻撃は、Web アプリケーションの脆弱性を特定し、これらの脆弱性を攻撃するためにも使用できます。

Nginx リバースプロキシにおける HTTP リクエストスニッフィング攻撃の防御方法

1. HTTPS プロトコルを有効にする

HTTPS プロトコルは、HTTP リクエストスニッフィング攻撃を効果的に防止できる暗号化通信プロトコルです。 HTTPS プロトコルを有効にするには、有効な SSL 証明書のインストールが必要です。現在、より一般的な SSL 証明書には、無料の Let's Encrypt や有料の Symantec、DigiCert などがあります。 Nginx リバースプロキシで HTTPS プロトコルを有効にするには、次の構成を使用します:

server {
    listen 443;
    server_name example.com;
    ssl on;
    ssl_certificate /path/to/cert.crt;
    ssl_certificate_key /path/to/cert.key;

    location / {
        proxy_pass http://backend;
        proxy_set_header Host $http_host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

ログイン後にコピー

上記の構成では、SSL ハンドシェイクプロセスをハイジャックし、クライアントを暗号化されていない HTTP プロトコルに強制的にダウングレードすることで攻撃を実行できます。 SSL ストリッピング攻撃の場合、Nginx サーバーの構成で SSL 証明書バインディングを有効にする必要があります:

server {
    listen 80;
    server_name example.com;
    return 301 https://$server_name$request_uri;
}

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate /path/to/cert.crt;
    ssl_certificate_key /path/to/cert.key;

    if ($ssl_protocol = "") {
        return 403;
    }

    location / {
        proxy_pass http://backend;
        proxy_set_header Host $http_host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

ログイン後にコピー

2. HTTP リクエストヘッダーの設定

HTTP リクエストヘッダーを設定します。 Nginx サーバーは、HTTP リクエストスニッフィング攻撃を効果的に防止できます。 HTTP リクエストヘッダーを設定するには、Nginx サーバー構成ファイルを変更する必要があります。通常、Nginx 構成ファイルの http ブロックに次の設定を追加できます:

add_header X-Frame-Options SAMEORIGIN;
add_header X-XSS-Protection "1; mode=block";
add_header X-Content-Type-Options nosniff;

ログイン後にコピー

上記の構成により、ブラウザーの CSP ポリシーをより安全にすることができ、 HTML をダウンロードする必要があるため、応答を解析しないようブラウザーにプロンプトを表示しますが、攻撃者が要求を傍受することが不可能になるわけではありません。

3. ファイアウォールと Web アプリケーションファイアウォールを使用する

ファイアウォールと Web アプリケーションファイアウォールは、リクエストを検査およびフィルタリングして、HTTP リクエストスニッフィング攻撃を検出および防止できます。ファイアウォールは、セキュリティを強化するためのルールを有効にすることができます。例:

クライアントに特定の IP アドレスまたはネットワークアクセスサービスの使用のみを許可する
異なるリクエストやタイムアウトしたリクエストを含む HTTP リクエストヘッダーをブロックする

4. IP/ポートバインディングの使用

IP/ポートバインディングの使用は、スニッフィング攻撃による負荷を防ぐ簡単な方法です。バランスの失敗。 Nginx サーバーの負荷分散構成では、IP アドレスを使用してクライアントのアクセスを制限し、クライアントが Nginx サーバー上の特定のポートにアクセスすることを制限することもできます。例:

upstream backend {
    ip_hash;
    server backend1.example.com:80;
    server backend2.example.com:80;
}

server {
    listen 192.0.2.1:80;
    server_name example.com;
    location / {
        proxy_pass http://backend;
        proxy_set_header Host $http_host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

ログイン後にコピー

上記の構成により、クライアントはNginx サーバーにアクセスするには 192.0 .2.1:80 ポートのみを渡すため、スニッフィング攻撃を効果的に防止できます。

概要

Nginx リバースプロキシでの HTTP リクエストスニッフィング攻撃は一般的な攻撃方法であり、HTTPS プロトコルを有効にし、HTTP リクエストヘッダーを設定し、ファイアウォールと Web アプリケーションファイアウォールのファイアウォールと IP を使用することで実現できます。 /ポートバインディングおよびその他の防御方法。上記の方法によりアプリケーションのセキュリティを向上させることができますが、実際のアプリケーションでは、アプリケーションのセキュリティと安定性を確保するために、アプリケーションの実情に応じてより適切な防御方法を選択する必要があります。

以上がNginx リバースプロキシにおける HTTP リクエストスニッフィング防御方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。