jShield: Uma Solução Open Source para Segurança de Aplicações Web

• Márcio Macêdo UFPE
• Ricardo Queiroz CEUT
• Julio Damasceno UFPE

DOI: https://doi.org/10.5753/sbsi.2010.14715

Resumo

O propósito deste artigo é descrever uma solução para segurança de aplicações web baseada em um firewall de aplicações que é implementado usando o modelo de proxy reverso. O firewall de aplicações proposto emprega tanto o modelo de filtragem negativo, quanto o modelo de filtragem positivo, para além de prover as aplicações com mais segurança, evitar a ocorrência de falsos-positivos, o que poderia filtrar pacotes autênticos das aplicações. Dessa forma, o firewall agrega de forma eficiente a facilidade de configuração do modelo de segurança negativo com a melhor segurança provida pelo modelo positivo.

Palavras-chave: jShield, Open Source, Safety, Web Applications

Referências

Aqtronix (2009). WebKnight - Application Firewall for Web Server. http://www.aqtronix.com/?PageID=99. Novembro.

Bace, R., Mell, P. (2001). Intrusion Detection Systems. NIST - National Institute of Standards and Technology. http://www.snort.org/docs/nist-ids.pdf.

Ceron, J, et al. (2008). Vulnerabilidades em Aplicações Web: uma Análise Baseada nos Dados Coletados nos honeypots. VIII Simposio Brasileiro de Segurança. http://sbseg2008.inf.ufrgs.br/proceedings/data/pdf/st06_02_resumo.pdf.

CERT.BR (2009). Estatísticas dos Incidentes Reportados ao CERT.br. http://www.cert.br/stats/incidentes/index.html, Novembro.

IISteam, (2009). Using URLScan. http://learn.iis.net/page.aspx/473/using-urlscan/,Novembro.

JMeter (2009). JMETER: Uma Aplicação desktop projetada para testes de carga e medidas de performance. http://jakarta.apache.org/jmeter/. Novembro.

Jones, K. J., Bejtlich, R., Rose, C. W. (2006). Real Digital Forensics – Computer Security and Incident Response, Addison-Wesley.

Microsoft (2009). UrlScan Security Tool. http://technet.microsoft.com/enus/security/cc242650.aspx. Novembro.

ModSecurity (2009). ModSecurity: open source web application firewall. http://www.modsecurity.org. Novembro.

OWASP (2010). The ten most critical web application security vulnerabilities. Open Web Application Security Project - OWASP. http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202010.pdf.

WAFEC (2006). Web Application Firewall Evaluation Criteria. Web Application Security Consortium. http://www.webappsec.org/projects/wafec/v1/wasc-wafec-v1.0.pdf.