So'rovni backend'ingiz
qanday o'qisa, shunday o'qing.
Keyin qaror qiling.
RedEyes — inline reverse-proxy veb-ilova himoya devori. U har bir so'rovni ilovangiz haqiqatan bajaradigan ko'rinishga qadar normallashtiradi, so'ng uning ustida to'rtta aniqlash dvigatelini birlashtiradi. Hammasi butunlay sizning infratuzilmangiz ichida ishlaydi.
Bu uch raqam reklama emas. Bu — o'z reliz darvozamiz pastiga tushishga ruxsat bermaydigan chegaralar. Aniq buyruqlar shu sahifaning pastida.
Naqshga moslik — bu tushunish emas.
Faqat imzoga tayangan WAF trafikni satrlar bilan solishtiradi. Hujumchilar buni biladi, shuning uchun o'sha satrni yubormaydi. Ular ma'lumotlar bazangiz uchun aynan o'sha ma'noni, regex uchun esa hech narsani anglatadigan narsa yuboradi.
- Oddiy
' OR 1=1--Imzo tutadi - Ikki marta kodlangan
%2527%20OR%25201%3D1Naqsh endi mos kelmaydi - Izoh bilan bo'lingan
'/**/OR/**/1=1--Naqsh endi mos kelmaydi - Registr + charset
%27%20oR%201%3d1%2d%2dNaqsh endi mos kelmaydi
To'rttasi ham ma'lumotlar bazasida bir xil tavtologiyaga yetib boradi. Harfma-harf naqsh faqat birinchisini tutadi.
Qattiqlashtirsangiz — shovqinga ko'milasiz
Variantlarni tutish uchun qoidalarni kengaytirsangiz, haqiqiy foydalanuvchilar bloklana boshlaydi. Jamoangiz ogohlantirishlarni e'tiborsiz qoldirishni o'rganadi — bu esa ularning umuman bo'lmagani bilan barobar.
Yumshatsangiz — hujumni o'tkazib yuborasiz
Tinchlik uchun toraytirsangiz, kodlangan payload bemalol o'tadi. Bir vaqtning o'zida ham xavfsiz, ham tinch bo'lgan statik sozlama mavjud emas.
Tana ko'pincha tekshirilmaydi
Hajm chegarasidan oshgan, g'ayrioddiy charset'dagi yoki siqilgan tanalar ko'pincha umuman tekshirilmay uzatiladi — himoya devoridan o'tib, to'g'ri ilovaga.
To'rt bosqich, bitta qaror.
Bu bitta qoidalar to'plami emas. Sinovdan o'tgan ochiq kodli dvigatel (Coraza / OWASP CRS) bizning normalizatorimiz, semantik SQL/XSS tahlilchimiz va xulq-atvor baholovchimiz bilan yonma-yon turadi — va ularning hech biri yolg'iz qaror qilmaydi.
Ilova oldida, inline.
RedEyes ulanishni backend'ingiz ko'rishidan oldin yakunlaydi. Normallashtirish uchun bitta joy, qaror uchun bitta joy, jurnal uchun bitta joy.
Bajariladigan ko'rinishga keltirish.
Ko'p bosqichli URL, HTML-entity va base64 dekodlash, izohlarni olib tashlash, charset yig'ish va yo'lni kanonizatsiya qilish — so'rov o'zgarishdan to'xtaguncha takrorlanadi. Detektorlar hujumchining imlosini emas, faqat ma'nosini ko'radi.
To'rt dvigatel baholaydi.
Tanlangan imzolar, Coraza orqali OWASP Core Rule Set, libinjection'ning semantik SQL/XSS tahlilchisi va xulq-atvor anomaliya baholovchisi. Har biri hukm emas, ball qaytaradi.
Tasdiqlang, keyin harakat qiling.
Vaznli birlashtirish ballarni jamlaydi, tasdiqlash darvozasi esa bloklashdan oldin kelishuvni talab qiladi — shunda bitta shovqinli qoida mijozlaringizni yolg'iz o'zi bloklay olmaydi. Aniq, yuqori ishonchli imzolarga yakka bloklash ruxsat etiladi.
Bu yerdagi har bir raqam — o'z relizimizni to'xtatadigan darvoza.
Xavfsizlik sotuvchilari aniqlash foizini e'lon qiladi. Yonida noto'g'ri ishlash raqamini yoki regressiya bo'lganda build'ga nima bo'lishini deyarli hech kim e'lon qilmaydi. Bular bizning CI'mizdagi chegaralar: o'zgartirish biror chegarani kesib o'tsa, uni kim yozganidan qat'i nazar — chiqmaydi.
| O'lchangan | Hozirgi | Darvoza pastiga ruxsat bermaydi | Nimada o'lchangan |
|---|---|---|---|
| Noto'g'ri ishlash (FP) | 0.00% | 0.00% | 1 121 ta benign so'rov |
| Hujum aniqlash | 100.00% | 100.00% | 244 ta belgilangan hujum |
| To'g'ridan-to'g'ri bloklangan | 98.36% | 95.00% | 244 ta belgilangan hujum |
| CVE regressiyalari | 255 holat | 100% tutilgan qolishi shart | 23 ta kuzatilayotgan CVE |
| Imzo qoplamasi | 184 / 184 | har bir qoida ishlashi isbotlangan | har qoidaga bitta holat |
1 121 benign va 244 hujum holati birlashtirilgan ballari bo'yicha joylashtirilgan. Ikkita benign holat block chizig'idan O'NGDA turadi — biri 0.9072 — va ikkalasi ham bloklanmaydi. Ball o'zi bu yerda noto'g'ri ishlagan bo'lardi; bloklash uchun tasdiq ham kerak: ikkita mustaqil detektor, yoki aniq imzo, yoki 0.97 dan yuqori semantik tahlilchi. Darajani 0.00% qiladigan narsa — o'sha darvoza, ball emas.
$ go run ./cmd/wafbench -corpus bench/corpus.json \
-gate -max-fp 0 -min-recall 95 -min-detect 100
FP 0.00% (max 0.00%)
block recall 98.36% (min 95.00%)
detect recall 100.00% (min 100.00%)
GATE PASSKorpuslar va darvoza ishga tushirgichi bizning ishlab chiqish daraxtimizda keladi. Xuddi shu buyruq CI'da ham, noutbukda ham ishlaydi.
Yana bir mexanizm bor: ma'lum noto'g'ri ishlashlar ro'yxati faqat qisqarishi mumkin. Bittasini qo'shadigan o'zgartirish, qolgan barcha raqamlar yaxshilansa ham, build'ni yiqitadi.
So'rov yo'lida aslida nima bor.
Bu ro'yxatdagi hamma narsa panelda shunchaki sozlanadigan emas, data plane'da haqiqatan qo'llanadi. Biz tekshirdik.
Aniqlash
Chuqur normallashtirish
Ko'p bosqichli dekodlash, izohlarni olib tashlash, charset yig'ish va yo'l kanonizatsiyasi — so'rov barqaror nuqtaga yetguncha.
Gibrid birlashtirish
Imzolar + OWASP CRS + libinjection + xulq-atvor anomaliyasi, tasdiqlash darvozasi ostida birlashtirilgan.
So'rov tanasini tekshirish
Tana chegara ichida buferlanadi va backend qanday tahlil qilsa shunday tahlil qilinadi — JSON, form, multipart, XML.
Virtual yamoq
Qoplama reyestriga ega CVE regressiya korpusi — yamalgan sinf jimgina qaytib ochilib qola olmaydi.
Qo'llash
Har sayt uchun uch rejim
shadow nima qilishini yozib boradi, normal 403 qaytaradi, hardened IP blokini qo'shadi. Qo'llash — global tugma emas, har sayt uchun alohida qaror.
Yadro darajasidagi IP bloklash
Alohida imtiyozli agent nftables drop'larini qo'llaydi. Internetga qaragan proksining o'zida hech qanday ortiqcha imtiyoz yo'q.
Tekshiruv muddati
Har so'rov uchun vaqt budjeti. Tekshiruv ulgurmasa, sozlangan xavfsiz holat qo'llanadi va hodisa aynan shunday qayd etiladi.
Tezlik cheklovi
Har sayt uchun so'rov chegarasi — qimmat tekshiruv bosqichlaridan oldin qo'llanadi.
Payload'dan tashqarida
Javob DLP
Upstream javoblari karta raqamlari, SSN, maxfiy kalitlar, bulut hisob ma'lumotlari va JWT uchun skanerlanadi — topilmalar xom holda emas, maskalangan holda saqlanadi.
TLS barmoq izi
JA3/JA4 ruxsat va rad ro'yxatlari qo'l siqishda ishlaydi — HTTP'ning bitta bayti tahlil qilinmasdan oldin.
API sxemasini qo'llash
OpenAPI spetsifikatsiyasini biriktiring va uni off, log yoki enforce rejimida ishlating — faqat hujjatlashtirilgan yo'llar, metodlar va parametrlar o'tadi.
Audit qilinadigan qarorlar
Har bir hukm uni keltirib chiqargan dalil bilan yoziladi: qaysi qatlam, qaysi normallashtirilgan birlikda, qanday ball bilan ishladi.
RedEyes nima qilmaydi.
Faqat kuchli tomonlarini sanaydigan xavfsizlik mahsuloti sizdan kamchiliklarni ishlab chiqarishda topishni so'rayotgan bo'ladi. Mana bizniki — oldindan.
Bugun hech qanday mashinali o'qitish modeli yetkazilmaydi.
Ikkita nomzod model baholandi va ikkalasi ham rad etildi — biri haqiqiy brauzer trafigida 97.5% noto'g'ri ishlash ko'rsatdi. Ishga tushirish ilgagi mavjud va u bo'sh amalga ulangan. Foydalanuvchilaringizni belgilab tashlaydigan klassifikatorni yetkazgandan ko'ra, hech narsa yetkazmagan afzal.
Hardened rejim aniqlikni qamrov evaziga almashtiradi.
Hardened rejimda challenge bandi bloklashga ko'tariladi. Bizning benign korpusimizda bu qonuniy so'rovlarning 1.52% ini rad etadi va hujumlarning 99.18% ini rad etadi. O'sha 17 ta holat alohida kuzatiladi va ro'yxat faqat qisqarishi mumkin. Normal rejim 0% da qoladi.
Ikkinchi ko'z hali qurilmagan.
RedEyes nomi ikki ko'zdan: biri veb qatlamida, biri AI/LLM qatlamida. Ishlab chiqarishda faqat birinchisi bor. Ikkinchisi — yo'nalish, va u haqiqiy so'rovni tekshirmaguncha biz uni imkoniyat deb atamaymiz.
Ba'zi qoidalar ataylab yolg'iz bloklay olmaydi.
Bir nechta aniqlash — umumiy buyruq-almashtirish sintaksisi, shablon qavslari — ataylab tasdiqlash darvozasi ostida ushlab turiladi. Ular haqiqiy hujumlarni tutadi, lekin qonuniy kontent bilan kesishadi, shuning uchun qaror qilish o'rniga ballga hissa qo'shadi. Bu — tanlov, va noto'g'ri ishlash raqami nega shunday ekanining sababi.
U sizning infratuzilmangizda ishlaydi. To'liq.
RedEyes buluti yo'q, sukut bo'yicha yoqilgan telemetriya yo'q va trafikni himoya qilish uchun tashqariga birorta chaqiruv talab qilinmaydi. Proksi, boshqaruv paneli va ma'lumotlar bazalari — hammasi sizning tarmog'ingiz ichida ko'tariladi.
$ tar -xzf redeye-selfhosted-v1.4.0.tar.gz $ cd redeye-selfhosted-v1.4.0/deploy $ ./install.sh http://your-backend:8080
Bitta buyruq proksi, boshqaruv paneli, Postgres, ClickHouse va Redis'ni ko'taradi. Panel loopback'ga bog'lanadi; internetga qaragan yagona narsa — proksi.
Xavfsizlik va barqarorlik yangilanishi — yangilash tavsiya etiladi. Oldingi to‘plamlar eskirgan.
Air-gap'ga mos
Trafikni tekshirish uchun litsenziya serveriga chaqiruv shart emas. Oflayn litsenziya fayli ichki kalit bilan tekshiriladi, litsenziyasiz o'rnatma esa baribir himoya qiladi — litsenziya imkoniyatlarni cheklaydi, himoyani hech qachon emas.
Trafigingiz sizniki bo'lib qoladi
So'rovlar, tanalar va topilmalar siz boshqaradigan mashinalardan chiqmaydi. Ma'lumot yo'lida ishonish, audit qilish yoki javobgarlikka tortish kerak bo'lgan sotuvchi yo'q.
Qo'llashdan oldin kuzating
Har bir yangi sayt shadow'da boshlanadi. Nima bloklanishini aynan o'z trafigingizda, hech narsa bloklanmasdan oldin ko'rasiz.
Uchdan-uchigacha tekshirilgan
Har bir reliz yetkaziladigan arxivdan toza xostga o'rnatiladi va haqiqiy ish oqimi bo'ylab haydaladi — kirish, sayt qo'shish, uning data plane'ga yetgani, himoyani yoqish, oddiy trafik hamon o'tayotgani.
Ikki ko'z. Bitta darvoza.
Bir ko'z veb qatlamida — yetkazilgan, ishlab chiqarishda, shu sahifaning mavzusi. Bir ko'z AI va LLM qatlamida — mahsulot o'sishi mo'ljallangan yo'nalish, va hali imkoniyat emas. Biz qaysi biri qaysiligini aytib qo'yishni afzal ko'ramiz.
Veb xavfsizligi
LLM xavfsizligi
O'z serveringizda, har o'rnatma uchun litsenziyalanadi.
RedEyes — to'g'ridan-to'g'ri sotiladigan tijorat mahsuloti. O'rnatmangiz shaklini ayting — nechta sayt, qancha trafik, air-gap'mi — va biz deyarli mos keladigan tarifga emas, aynan shunga qarab narx beramiz.
- To'rtala aniqlash dvigateli — birorta imkoniyat yuqoriroq tarif uchun ushlab qolinmaydi
- Har sayt uchun shadow, normal va hardened rejimlari
- Javob DLP, TLS barmoq izi va OpenAPI sxemasini qo'llash
- Boshqaruv paneli, audit izi va jonli hujum oqimi
- Imzo va CVE korpusi yangilanishlari
- O'rnatishda yordam va uni qurgan muhandislar bilan to'g'ridan-to'g'ri aloqa
Hamma narsa oldiga bitta darvoza qo'ying.
Nimani himoya qilayotganingizni ayting. Agar RedEyes bunga to'g'ri vosita bo'lmasa, biz buni aytamiz — bu javob ikkalamiz uchun ham muvaffaqiyatsiz pilotdan arzonroq.