Janusec Application Gateway 开源WAF网关教学文档

1. 背景与概述

Janusec Application Gateway 是一款基于Golang开发的开源应用安全网关，主要提供Web应用防火墙(WAF)和统一入口功能。它的设计灵感来源于Google Front-End (GFE)和Microsoft Azure Application Gateway，旨在为私有化部署提供类似的安全基础设施能力。

2. 核心功能

2.1 基础功能

1. 统一网络入口：

   • 可作为多个应用的统一前端
   • 支持多节点部署配合负载均衡

2. Web应用防火墙(WAF)：

   • SQL注入防护
   • 命令注入防护
   • XSS(跨站脚本)防护
   • Webshell上传/连接防护
   • 数据泄露防护

3. CC攻击防护：

   • 请求频率阈值设置
   • 拦截或验证码展示功能
   • 简单的刷单场景防护

2.2 特色功能

1. 无Agent架构：

   • 通过浏览器直接配置
   • 简化维护工作

2. HTTPS支持与证书管理：

   • 内置HTTPS支持
   • 集中式证书管理
   • 私钥加密存储(非明文存放)
   • 业务人员无需接触证书文件

3. 联动检测机制：

   • 支持多检查点组合
   • 请求(Request)和响应(Response)关联检测
   • 突破传统WAF单点检测限制

4. 非法域名拦截：

   • 防止未授权域名指向
   • 避免公关风险

5. 高安全性证书配置：

   • 默认禁用不安全协议(SSL 1.0/2.0/3.0, TLS 1.0)
   • 支持前向安全算法(Forward Security)
   • 符合PCI-DSS认证要求

3. 技术架构

3.1 核心技术

• 开发语言：Golang
• 数据库：用于存储配置和加密的私钥
• Web管理界面：统一配置入口

3.2 安全设计

1. 私钥保护：

   • 加密存储于数据库
   • 防止服务器被入侵时私钥泄露

2. 默认安全配置：

   • 禁用已知不安全协议和算法
   • 强制使用安全传输配置

4. 部署与使用

4.1 系统要求

• 支持Golang运行环境
• 数据库支持(具体依赖见项目文档)
• 网络配置能力

4.2 安装步骤

1. 从GitHub获取源码或发布版本：

   https://github.com/Janusec/janusec
   

2. 按照项目文档进行编译和部署

3. 通过Web界面进行初始配置

4.3 配置指南

1. 应用配置：

   • 添加后端应用
   • 设置路由规则

2. 证书管理：

   • 上传或申请证书
   • 配置HTTPS支持

3. WAF规则配置：

   • 设置基础防护规则
   • 配置自定义规则
   • 设置组合检测策略

4. 防护阈值设置：

   • CC攻击防护阈值
   • 验证码触发条件

5. 应用场景

5.1 典型使用场景

1. 个人网站防护：

   • 基础WAF功能
   • HTTPS统一管理

2. 小型企业应用：

   • 多个Web应用的统一入口
   • 集中安全防护

3. 合规性要求场景：

   • PCI-DSS合规的HTTPS配置
   • 安全传输保障

5.2 限制说明

1. 不适用于：

   • 大规模DDoS防护
   • 替代HIDS(主机入侵检测系统)
   • 完全替代安全运营工作

2. 适用场景：

   • 应用安全防御体系的基础组件
   • 提高入侵难度的关键路径防护
   • HTTPS推广的基础设施

6. 开发与贡献

6.1 项目状态

• 持续开发中
• 欢迎社区贡献

6.2 参与方式

1. 代码贡献：

   • Star项目
   • Fork并提交Pull Request

2. 问题反馈：

   • 提交Issue报告问题
   • 功能建议

3. 使用反馈：

   • 下载release版本体验
   • 提供使用反馈

7. 安全最佳实践

1. 证书管理：

   • 定期轮换证书
   • 使用强加密算法

2. 规则更新：

   • 定期更新WAF规则
   • 根据业务调整防护策略

3. 日志审计：

   • 监控拦截日志
   • 分析攻击模式

8. 总结

Janusec Application Gateway 提供了一个轻量级但功能完备的应用安全网关解决方案，特别适合需要私有化部署WAF和统一入口的场景。其无Agent设计、组合检测能力和安全的证书管理使其在同类开源产品中具有差异化优势。作为应用安全防御体系的关键组件，它可以显著提高Web应用的安全性，同时简化HTTPS的部署和管理工作。