Nginx リバースプロキシにおける HTTP リクエストスニッフィング防御方法

インターネットの発展に伴い、Web サーバーとアプリケーションはますます複雑になり、セキュリティ攻撃も徐々に増加しています。Nginx は、Web サーバーと負荷分散テクノロジで最も広く使用されているツールの 1 つです。 Nginx のリバース プロキシ メカニズムは、Nginx を信頼できるアプリケーション サーバーにすることができますが、広範囲に攻撃されるターゲットでもあります。この記事では、Nginx リバース プロキシで HTTP リクエスト スニッフィング攻撃を防御する方法について説明します。

HTTP リクエスト スニッフィング攻撃とは何ですか?

HTTP リクエスト スニッフィング攻撃は、一般的なネットワーク攻撃手法であり、攻撃者はネットワーク データ パケット内の HTTP リクエストを傍受し、データを分析および処理して、ターゲット サイトの機密情報を取得します。つまり、攻撃者はクライアントからサーバーに送信された HTTP リクエストを傍受し、ヘッダーとパラメーターを分析します。この情報を分析することで、攻撃者はサーバーの実際の IP アドレスを取得し、実際のアプリケーション サーバーを推測し、ユーザーのログイン資格情報、ビジネス データ、セッション ID などを含む重要な機密データを取得することができます。 HTTP リクエスト スニッフィング攻撃は、Web アプリケーションの脆弱性を特定し、これらの脆弱性を攻撃するためにも使用できます。

Nginx リバース プロキシにおける HTTP リクエスト スニッフィング攻撃の防御方法

1. HTTPS プロトコルを有効にする

HTTPS プロトコルは、HTTP リクエスト スニッフィング攻撃を効果的に防止できる暗号化通信プロトコルです。 HTTPS プロトコルを有効にするには、有効な SSL 証明書のインストールが必要です。現在、より一般的な SSL 証明書には、無料の Let's Encrypt や有料の Symantec、DigiCert などがあります。 Nginx リバース プロキシで HTTPS プロトコルを有効にするには、次の構成を使用します:

server {
    listen 443;
    server_name example.com;
    ssl on;
    ssl_certificate /path/to/cert.crt;
    ssl_certificate_key /path/to/cert.key;

    location / {
        proxy_pass http://backend;
        proxy_set_header Host $http_host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

上記の構成では、SSL ハンドシェイク プロセスをハイジャックし、クライアントを暗号化されていない HTTP プロトコルに強制的にダウングレードすることで攻撃を実行できます。 SSL ストリッピング攻撃の場合、Nginx サーバーの構成で SSL 証明書バインディングを有効にする必要があります:

server {
    listen 80;
    server_name example.com;
    return 301 https://$server_name$request_uri;
}

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate /path/to/cert.crt;
    ssl_certificate_key /path/to/cert.key;

    if ($ssl_protocol = "") {
        return 403;
    }

    location / {
        proxy_pass http://backend;
        proxy_set_header Host $http_host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

2. HTTP リクエスト ヘッダーの設定

HTTP リクエスト ヘッダーを設定します。 Nginx サーバーは、HTTP リクエスト スニッフィング攻撃を効果的に防止できます。 HTTP リクエスト ヘッダーを設定するには、Nginx サーバー構成ファイルを変更する必要があります。通常、Nginx 構成ファイルの http ブロックに次の設定を追加できます:

add_header X-Frame-Options SAMEORIGIN;
add_header X-XSS-Protection "1; mode=block";
add_header X-Content-Type-Options nosniff;

上記の構成により、ブラウザーの CSP ポリシーをより安全にすることができ、 HTML をダウンロードする必要があるため、応答を解析しないようブラウザーにプロンプ​​トを表示しますが、攻撃者が要求を傍受することが不可能になるわけではありません。

3. ファイアウォールと Web アプリケーション ファイアウォールを使用する

ファイアウォールと Web アプリケーション ファイアウォールは、リクエストを検査およびフィルタリングして、HTTP リクエスト スニッフィング攻撃を検出および防止できます。ファイアウォールは、セキュリティを強化するためのルールを有効にすることができます。例:

• クライアントに特定の IP アドレスまたはネットワーク アクセス サービスの使用のみを許可する
• 異なるリクエストやタイムアウトしたリクエストを含む HTTP リクエスト ヘッダーをブロックする

4. IP/ポート バインディングの使用

IP/ポート バインディングの使用は、スニッフィング攻撃による負荷を防ぐ簡単な方法です。バランスの失敗。 Nginx サーバーの負荷分散構成では、IP アドレスを使用してクライアントのアクセスを制限し、クライアントが Nginx サーバー上の特定のポートにアクセスすることを制限することもできます。例:

upstream backend {
    ip_hash;
    server backend1.example.com:80;
    server backend2.example.com:80;
}

server {
    listen 192.0.2.1:80;
    server_name example.com;
    location / {
        proxy_pass http://backend;
        proxy_set_header Host $http_host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

上記の構成により、クライアントはNginx サーバーにアクセスするには 192.0 .2.1:80 ポートのみを渡すため、スニッフィング攻撃を効果的に防止できます。

概要

Nginx リバース プロキシでの HTTP リクエスト スニッフィング攻撃は一般的な攻撃方法であり、HTTPS プロトコルを有効にし、HTTP リクエスト ヘッダーを設定し、ファイアウォールと Web アプリケーション ファイアウォールのファイアウォールと IP を使用することで実現できます。 /ポートバインディングおよびその他の防御方法。上記の方法によりアプリケーションのセキュリティを向上させることができますが、実際のアプリケーションでは、アプリケーションのセキュリティと安定性を確保するために、アプリケーションの実情に応じてより適切な防御方法を選択する必要があります。

以上がNginx リバースプロキシにおける HTTP リクエストスニッフィング防御方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。