Category:OWASP WeBekci Project/es

Clic aquí para regresar a la pagina de proyectos de OWASP.
Clic aqui para ver (y editar) la plantilla

PROJECT IDENTIFICATION
Project Name	WeBekci
Short Project Description	WeBekci tries to provide an admin panel that ModSecurity, which is an open source web application firewall that runs as an Apache module, lacks. Web application firewalls (WAF) are gaining importance among the information security technologies designed to protect web sites from attack. WAF solutions prevent attacks that network firewalls and intrusion detection systems can't and they require no modification of application source code. ModSecurity is an embeddable web application firewall and it provides protection from a range of attacks against web applications. It is an open source project available to everyone; it however does not come with an admin panel.
Email Contacts	Project Leader Bünyamin Demir	Project Contributors Bedirhan Urgun Christophe Vandeplas Eduardo Jorge	Mailing List/subscribe Mailing List/Use	First Reviewer Alex Fry Profile	Second Reviewer Stefano Di Paola Profile	OWASP Board Member (if applicable) Name&Email

PROJECT MAIN LINKS
WeBekci is a web based ModSecurity 2.x management tool and written in PHP with it's backend powered by MySQL. It can be found at WeBekci. (If appropriate, links to be added)

SPONSORS & GUIDELINES
Sponsor - OWASP Summer of Code 2008	Sponsored Project/Guidelines/Roadmap

ASSESSMENT AND REVIEW PROCESS
Review/Reviewer	Author's Self Evaluation (applicable for Alpha Quality & further)	First Reviewer (applicable for Alpha Quality & further)	Second Reviewer (applicable for Beta Quality & further)	OWASP Board Member (applicable just for Release Quality)
50% Review	Objectives & Deliveries reached? Yes/No (To update) --------- See&Edit: 50% Review/Self-Evaluation (A)	Objectives & Deliveries reached? Yes/No (To update) --------- See&Edit: 50% Review/1st Reviewer (C)	Objectives & Deliveries reached? Yes/No (To update) --------- See&Edit: 50%Review/2nd Reviewer (E)	X
Final Review	Objectives & Deliveries reached? Yes/No (To update) --------- What status has been reached? Season of Code - (To update) --------- See&Edit: Final Review/SelfEvaluation (B)	Objectives & Deliveries reached? Yes/No (To update) --------- What status has been reached? Season of Code - (To update) --------- See&Edit: Final Review/1st Reviewer (D)	Objectives & Deliveries reached? Yes/No (To update) --------- What status has been reached? Season of Code - (To update) --------- See&Edit: Final Review/2nd Reviewer (F)	X

Que es WeBekci?

WeBekci es una herramienta basada en Web de administración para ModSecurity 2.x. WeBekci esta escrito en PHP, su backend es MySQL y el frontend por el framework XAJAX. Es un proyecto OWASP.

Que es ModSecurity para Apache?

Con mas del 70% de todos los ataques sucediendo a través de la capa de aplicación Web, las organizaciones necesitan toda la ayuda que puedan obtener para hacer sus sistemas seguros. Los cortafuegos de aplicación Web son desplegados para establecer una capa externa de seguridad que incremente la seguridad, detecte y prevenga ataques antes de que alcancen las aplicaciones Web (ModSecurity).

Objetivos

Removerá los problemas de administración de ModSecurity 2.x. Usted puede configurar modsecurity.conf, agregar reglas especiales y ver los registros del sistema, apache modsecurity (solo si guardianlog ha sido implementado en esta versión).

Características

Cubre el 90 por ciento de las configuraciones de ModSecurity 2.x. Administración de reglas manual y basado en GUI son soportadas. Permite agregar reglas de argumento simple y cubre el 70 por ciento de los parámetros de acción. Puede ser usado para monitorear los registros del sistema, apache y ModSecurity guardian. En esta versión la utilidad de monitoreo es básica y da alguna información acerca del sistema.

Desarrollo futuro

• Configuración  : La mayoría de los parámetros de configuración serán administrados a través de la interfaz Web
• Generador de reglas  : Reglas básicas serán generadas usando la interfaz Web
• Integración de reglas centrales: Reglas centrales serán agregadas a la base de datos para su uso
• Registro y reportes: El registro de errores de Apache y modsec_audit serán analizados y presentados al usuario a través de la interfaz Web
• Soporte de base de datos  : MySQL

Requerimientos

• Linux/Unix,
• Apache + ModSecurty 2.x
• Php
• Mysql

Noticias

Proyecto OWASP WeBekci Liberado! – Marzo 31 2007 

Instalación

Dirección para descarga: http://sourceforge.net/projects/webekci/

 # tar –zxvf webekci-1.0.tar.gz
 # mv webekci /usr/local/www/
 # cd /usr/local/www/webekci

Principalmente, crear los archivos .htaccess y .htpasswd. Son requeridos por WeBekci. Editar archivo .htaccess:

 # vi .htaccess 

En el archivo .htaccess, introduzca la ruta correcta para el archivo .htpasswd en la linea AuthUserFile de acuerdo con su propia configuración:

 AuthUserFile /usr/home/bunyamin/.htpasswd
 AuthType Basic
 AuthName "Owasp-WeBekci Screet Area"
 <LIMIT GET POST>
 require valid-user
 </LIMIT>

Ahora edite el archivo .htpasswd:

 # vi .htpasswd

Si el usuario va a ser “webekci” y la contraseña “1234”, entonces introduzca:

 webekci:cwc9eWGIM9r5M

Puede introducir su propio UID y contraseña.

Ahora, necesita definir “directory” en el archivo httpd.conf.

 Alias /webekci/ "/usr/local/www/webekci/"
 <Directory "/usr/local/www/webekci/">
    Options None
    AllowOverride All
    Order Allow,Deny
    Allow from all
 </Directory>

Nota: Si esta usando mod_rewrite, entonces introduzca “AllowOverride All” para que el archivo .htaccess pueda ser leído. De otra forma introduzca “AllowOverride None”.

 # apachectl restart

Haga las modificaciones necesarias en el archivo config.php. Agregue la siguiente línea:

$config['modsecurity_conf']='/usr/local/etc/apache22/extra/mod_security.conf';

Es importante crear el archivo mod_security.conf e incluir su ruta al archivo httpd.conf. Agreguemos la siguiente línea en su archivo httpd.conf. Cambie la ruta de acuerdo a su distribución, de ser necesario.

 Include etc/apache22/extra/mod_security.conf

Para darle permisos de lectura y escritura al usuario www:

 # chown www /usr/local/etc/apache22/extra/mod_security.conf

Nota: el usuario www es el usuario donde apache se ejecuta. Por favor consulte las siguientes entradas en httpd.conf:

User www

Group www

Algunas distribuciones pueden tener diferente usuario y/o grupo.

Después de configurar WeBekci necesita reiniciar apache. Haga esto con estas configuraciones de sudo: $config['apache_config_test'] = '/usr/local/bin/sudo /usr/local/sbin/httpd -t';

$config['apache_restart']='/usr/local/bin/sudo /usr/local/sbin/httpd -k restart';

También altere su config.php de acuerdo a su distribución. Edite el archivo sudoers:

 # vi /usr/local/etc/sudoers

Introduzca estas líneas:

 www ALL=NOPASSWD:/usr/local/sbin/httpd -k restart
 www ALL=NOPASSWD:/usr/local/sbin/httpd -t

Ahora el usuario www puede hacer operaciones de pruebas de configuración (“config test”) y reiniciar(“restart”). Reiniciar apache sin tener que introducir una contraseña.

Por favor asegúrese de que introdujo los cambios relacionados a MySQL en su archivo config.php; y Explorer su sitio y ejecute el archivo install.php:

http://www.site.com/webekci/install.php

No olvide eliminar el archivo install.php después.

 # rm install.php

Un recordatorio: El usuario www debe tener permisos de lectura-escritura para auditar, depurar y proteger los archivos de registro. Por ejemplo, si el archivo de registro de Guardian tiene la ruta como “/var/log/modsec_guardian.log” , entonces necesitamos introducir este comando:

 # chown www /var/log/modsec_guardian.log

Ahora el registro de guardian puede ser visto en el programa. Tiene que hacer chown para otros archivo de registro también.

Expreso mi gratitud hacia aquellos que me ayudaron con esta escritura.

Contribuidor del proyecto

El líder del proyecto es * Bunyamin Demir (bunyamin~owasp.org)

Lista de correo: owasp-webekci~lists.owasp.org

Documentos

ModSecurity 2.1.0 documentación de referencia (Ingles) (Turco)

documentación de WeBekci (Ingles) (Turco)

Patrocinador del proyecto

Si desea ayudar al desarrollo del proyecto WeBekci, siéntase libre de contactar al líder del proyecto.