Configuring Web Application Firewalls Based On Static Analysis of Applications Vulnerable to XXE attacks

Angrep på web baserte applikasjoner og skyleverandører er en økende trussel. En av angrepsvektorene som kan brukes til dette formålet er XML External Entity (XXE). OWASP introduserte denne trusselen til deres oversikt i 2017. Den gikk da rett inn på fjerdeplass over mest kritiske sikkerhetsrisikoer. Dette angrepet kan gi tilgang til filer, tjenestenektangrep eller kjøring av scripts. En av metodene som brukes for å beskytte webapplikasjoner og webservere er en webapplikasjonsbrannmur (web application firewall). Dette brukes for å gjennomføre et skann av innkommende forespørsler for farlig aktivitet. Basert på hva webapplikasjonsbrannmuren finner, så vil den enten blokkere eller akseptere forespørselen. Lite forskning har blitt gjort på webapplikasjonsbrannmurens effektivitet mot forskjellige angrep. For XXE-angrep har det ikke blitt gjennomført noe forskning i det hele tatt. Det har heller ikke blitt gjennomført mye forskning som har fokusert på autokonfigurasjon av webapplikasjonsbrannmurene. Denne masteroppgaven ønsker å bidra til å øke denne kunnskapen. Dette gjøres ved å utforske en metodologi for autokonfigurasjon av regelsett for å beskytte en WAF mot XXE angrep. For å oppnå dette utvikles et verktøy for statisk analyse av kode ved bruk av abstrakte syntaks trær. Hvis verktøyet finner manglende sikkerhetsfunksjoner i koden, vil det legge til nye WAF-regler. For å teste reglene gjennomføres det testing på webapplikasjonsbrannmuren ModSecurity. Forskningen vil bidra med en ny metodologi for oppdagelse av XXE angrep i kildekode, et nytt verktøy for autokonfigurasjon av WAF basert på metodologien og et nytt datasett for WAF testing av XXE angrep. Fra testing av verktøyet så viser det en presisjon på 100% og en recall på 95.2% i verktøyets evne til å korrekt si om applikasjonen det tester mangler sikkerhetsfunksjoner eller ikke. Reglene satt av verktøyet hadde en presisjon og en recall på 100% når det kom til å beskytte mot XXE angrep. Oppgaven ser også nærmere på svakhetene i metodologien og svakheter i den nåværende beskyttelsen mot XXE angrep i ModSecurity