Test if WAF is working

Web vulnerability scanners – SecTools Top Network Security Tools
Qualys FreeScan - Free Vulnerability Assessment Scanner Tool
Web application security - Acunetix Web Vulnerability Scanner
Web Vulnerability Testing - Scan Website
Netsparker Community Edition,Free SQL Injection Scanner & XSS Scanner

Do keep in mind that any of these tools may check for quite a few other potential weaknesses including in the site code itself and can be disruptive.

Hello Scott,

Thank you for the tips, I have succesfully tested the setup. Hence my next question: Can I change the thresholds for XSS/SQL Injection blocks/alerts?

In noticed for instance that SQL SELECT statements and several UPDATE statements are not blocked.

how do we know if the scanner is working?  I am running these against a zimbra install..i do't see anything in the WAF live log yet the zimbra webserver is getting hammered.  I'm wondering if WAF is working at this time.

i can confirm it was NOT working.  Now i am haaving hostname problems...[:(]

Ok here is the relavant log entry..how do i get this to work?

2012:01:02-18:31:49 firewall reverseproxy: [Mon Jan 02 18:31:49 2012] [error] [client 98.233.176.34] Hostname in HTTP request does not match the server name
2012:01:02-18:31:49 firewall reverseproxy: srcip="98.233.176.34" localip="75.148.28.141" size="185" user="-" host="98.233.176.34" method="GET" statuscode="403" reason="-" extra="-" time="243103" url="/favicon.ico" server="192.168.21.3" referer="-"

Ok here is the relavant log entry..how do i get this to work?

2012:01:02-18:31:49 firewall reverseproxy: [Mon Jan 02 18:31:49 2012] [error] [client 98.233.176.34] Hostname in HTTP request does not match the server name
2012:01:02-18:31:49 firewall reverseproxy: srcip="98.233.176.34" localip="75.148.28.141" size="185" user="-" host="98.233.176.34" method="GET" statuscode="403" reason="-" extra="-" time="243103" url="/favicon.ico" server="192.168.21.3" referer="-"

It looks like the scan was done against the IP address or wrong FQN instead the defined FQN of your website in the virtual server of the ASG WAS. So the request was dropped due invalid host header.

Make sure, that the scanner tries to access your websites as "www.example.com" instead of it's IP "w.x.y.z". No (or wrong) host header == block by WAS. If your webapplication does not require host headers and is also accessible by IP, simply add for the time of security scanning your public IP into the virtual server domain part (and the URL Hardening too, if in use). Should work theoretically, but I never tested it that way...

BTW: You should anonymize your IP's in posted logfiles - revealed informations may bring some creative people to funny ideas ;o

all you have to do is a dig on faithsbc.org and you get the ip addresses anyways..so hiding it does nothing.  

I have part of it working last not and got tired./  I will try it again and post my results along with a full description of the setup.

i do't see anything in the WAF live log yet the zimbra webserver is getting hammered.

Impossible unless you have a DNAT rule. No traffic should reach your webserver and you should have no packet filter rules for such traffic. WAF will handle all the traffic if setup correctly just like all the other proxies without the need for any additional packet filter / DNAT rules.

WAF is pretty simple to setup and stops the random script kiddies fairly nicely. On a side note, my WAF counter is broken on the dashboard and astaro can't seem to fix it.

Regards
Bill

P.S. Probably should start a new thread on how to configure without hijacking this one [;)]

actually possible as i did have a dnat going at the time..[[:)]]  however i'm having other issues that i will post on once i get a joomla 1.5 to either 1.6 conversion of convert said 1.5 to wordpress done..clients come first..the WAF is something for me..for now..[[:)]]

Here is a list of both an open source and commercial option.  OWASP is also a good resource.
OWASP Vulnerability Scanning Tools
Nexpose Vulnerability Scanner
Web Security Vulnerability Scanner
Web Application Vulnerability Scanner
Grabber Open Source Web Security Scanner