Mod_Security es un Firewall de Aplicaciones Web (WAF) que se ejecuta como un modulo en un servidor web y proporciona protección contra diversos ataques a nuestras aplicaciones web.
Nos permite supervisar el tráfico HTTP y realizar un análisis en tiempo real de los request que se realizan a nuestras aplicaciones, está disponible bajo la licencia GNU y su implementación se puede realizar en Apache, Nginx e IIS. Se puede desplegar e integrar en nuestra infraestructura de servidores web, lo que significa que no tenemos que modificar nuestra red interna.
Para utilizar mod_security, se debe activar el repositorio EPEL en CentOS/RHEL Linux, y ejecutar la siguiente secuencia:
|
1 |
[root@localhost ~]# yum install mod_security |
Salida:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 |
Running transaction check Running transaction test Transaction test succeeded Running transaction Instalando : apr-1.4.8-3.el7.x86_64 Instalando : apr-util-1.5.2-6.el7.x86_64 Instalando : httpd-tools-2.4.6-45.el7.centos.4.x86_64 Instalando : mailcap-2.1.41-2.el7.noarch Instalando : httpd-2.4.6-45.el7.centos.4.x86_64 Instalando : mod_security-2.7.3-5.el7.x86_64 Comprobando : apr-1.4.8-3.el7.x86_64 Comprobando : mailcap-2.1.41-2.el7.noarch Comprobando : mod_security-2.7.3-5.el7.x86_64 Comprobando : apr-util-1.5.2-6.el7.x86_64 Comprobando : httpd-tools-2.4.6-45.el7.centos.4.x86_64 Comprobando : httpd-2.4.6-45.el7.centos.4.x86_64 Instalado: mod_security.x86_64 0:2.7.3-5.el7 Dependencia(s) instalada(s): apr.x86_64 0:1.4.8-3.el7 apr-util.x86_64 0:1.5.2-6.el7 httpd.x86_64 0:2.4.6-45.el7.centos.4 httpd-tools.x86_64 0:2.4.6-45.el7.centos.4 mailcap.noar ¡Listo! |
Archivos de configuración de mod_Security
- /etc/httpd/conf.d/mod_security.conf – Archivo de configuración principal para el módulo de apache mod_security.
- /etc/httpd/modsecurity.d/ – Todos los demás archivos de configuración de la mod_security
- /etc/httpd/modsecurity.d/activated_rules/ – Directorio donde se crean los archivos con los enlaces simbólicos para las reglas a implementar
- /var/log/httpd/modsec_audit.log – Archivo donde se almacenan todos los request que activan eventos ModSecurity (como se detectaron) o un error de servidor se registran (“Relevant Only”) se registran en este archivo.
- /var/log/httpd/modsec_debug.log – Archivo donde se almacenan mensajes de depuración de mod_security.
Activación del modulo
En el archivo /etc/httpd/conf.d/mod_security.conf tener en consideración las siguientes directivas:
- On – Reglas activadas
- Off – reglas desactivadas
- DetectionOnly – Detecta y registra transacciones
|
1 |
SecRuleEngine on |
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 |
<IfModule mod_security2.c> # ModSecurity Core Rules Set configuration IncludeOptional modsecurity.d/*.conf IncludeOptional modsecurity.d/activated_rules/*.conf # Default recommended configuration SecRuleEngine On SecRequestBodyAccess On SecRule REQUEST_HEADERS:Content-Type "text/xml" \ "id:'200000',phase:1,t:none,t:lowercase,pass,nolog,ctl:requestBodyProcessor=XML" SecRequestBodyLimit 13107200 SecRequestBodyNoFilesLimit 131072 SecRequestBodyInMemoryLimit 131072 SecRequestBodyLimitAction Reject SecRule REQBODY_ERROR "!@eq 0" \ "id:'200001', phase:2,t:none,log,deny,status:400,msg:'Failed to parse request body.',logdata:'%{reqbody_error_msg}',severity:2" SecRule MULTIPART_STRICT_ERROR "!@eq 0" \ "id:'200002',phase:2,t:none,log,deny,status:44,msg:'Multipart request body \ failed strict validation: \ PE %{REQBODY_PROCESSOR_ERROR}, \ BQ %{MULTIPART_BOUNDARY_QUOTED}, \ BW %{MULTIPART_BOUNDARY_WHITESPACE}, \ DB %{MULTIPART_DATA_BEFORE}, \ DA %{MULTIPART_DATA_AFTER}, \ HF %{MULTIPART_HEADER_FOLDING}, \ LF %{MULTIPART_LF_LINE}, \ SM %{MULTIPART_MISSING_SEMICOLON}, \ IQ %{MULTIPART_INVALID_QUOTING}, \ IP %{MULTIPART_INVALID_PART}, \ IH %{MULTIPART_INVALID_HEADER_FOLDING}, \ FL %{MULTIPART_FILE_LIMIT_EXCEEDED}'" SecRule MULTIPART_UNMATCHED_BOUNDARY "!@eq 0" \ "id:'200003',phase:2,t:none,log,deny,status:44,msg:'Multipart parser detected a possible unmatched boundary.'" SecPcreMatchLimit 1000 SecPcreMatchLimitRecursion 1000 SecRule TX:/^MSC_/ "!@streq 0" \ "id:'200004',phase:2,t:none,deny,msg:'ModSecurity internal error flagged: %{MATCHED_VAR_NAME}'" SecResponseBodyAccess Off SecDebugLog /var/log/httpd/modsec_debug.log SecDebugLogLevel 0 SecAuditEngine RelevantOnly SecAuditLogRelevantStatus "^(?:5|4(?!04))" SecAuditLogParts ABIJDEFHZ SecAuditLogType Serial SecAuditLog /var/log/httpd/modsec_audit.log SecArgumentSeparator & SecCookieFormat 0 SecTmpDir /var/lib/mod_security SecDataDir /var/lib/mod_security </IfModule> |
Reiniciamos apache
|
1 |
systemctl restart httpd |
Verificamos la salida:
|
1 2 3 4 5 |
[Mon May22 16 15:20:58 2017] [notice] ModSecurity for Apache/2.4.6 (http://www.modsecurity.org/) configured. [Mon May22 16 15:20:58 2017] [notice] ModSecurity: APR compiled version="1.3.9"; loaded version="1.3.9" [Mon May22 16 15:20:58 2017] [notice] ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05" [Mon May22 16 15:20:58 2017] [notice] ModSecurity: LUA compiled version="Lua 5.1" [Mon May22 16 15:20:58 2017] [notice] ModSecurity: LIBXML compiled version="2.4.6" |
Referencias:
https://www.modsecurity.org/
http://modsecurity.org/developers.html
