ModSecurity
Die optionalen ModSecurity-Regeln von InfraFence für Apache: 13 Regeln, die Angriffe bei der ersten Anfrage blockieren, Aktivierung, Test, Rücknahme und das Audit-Log.
Zuletzt aktualisiert:
Die Web-Firewall liest die Logs nach der Anfrage. Auf Apache mit ModSecurity kann InfraFence zusätzlich 13 eigene Regeln einfügen, die Angriffe schon im Webserver abweisen, bei der ersten Anfrage.
Voraussetzungen
- Apache mit bereits installiertem ModSecurity-Modul (
mod_security2). InfraFence installiert ModSecurity nicht. - Änderungen an der Webserver-Konfiguration erlauben unter Einstellungen › Agent eingeschaltet. Standardmäßig ist es aus.
- Kein Hosting-Panel, kein LiteSpeed und kein Konfigurationsmanagement-Tool, das die Webserver-Konfiguration verwaltet. Die reine Leseprüfung erkennt sie, und InfraFence ändert die Konfiguration dann nie (zum Beispiel
cPanel manages the web server configuration and may overwrite edits).
nginx wird für ModSecurity nicht verändert.
Was hinzukommt
Die Regeln liegen in /etc/modsecurity/infrafence/ und werden aus der vorhandenen ModSecurity-Konfiguration mit IncludeOptional /etc/modsecurity/infrafence/*.conf eingebunden. Jede Regel antwortet mit 403:
| Regel | Blockiert |
|---|---|
| 9910001 | SQL-Injection |
| 9910002 | Cross-Site-Scripting |
| 9910003 | Remote Code Execution |
| 9910004 | Path Traversal |
| 9910005 | SSRF, auch auf Cloud-Metadaten-Adressen |
| 9910006 | Shellshock |
| 9910007 | Zugriffe auf Web-Shells |
| 9910008 | Suche nach .env |
| 9910009 | Suche nach Konfigurationsdateien |
| 9910010 | Header-Injection |
| 9910012 | Log4Shell |
| 9910013 | Spring4Shell |
| 9910014 | User-Agents bekannter Scanner |
Aktive Sperren werden ebenfalls als ModSecurity-Regeln geschrieben (bis zu 5.000 Adressen). Das ist wichtig, wenn Besucher Apache über einen Proxy oder ein CDN erreichen und die Firewall nur den Proxy sieht.
Wie es sicher angewendet wird
Die Einrichtung ist eine einzige Transaktion: Der Agent sichert die Dateien, die er gleich ändert, schreibt die Regeln und das Include und führt apachectl configtest aus. Schlägt etwas fehl, wird alles in den vorherigen Zustand zurückversetzt, und das Dashboard erhält ein Ereignis webserver_config_error. Besteht die Konfiguration den Test, lädt Apache sanft neu (apachectl graceful), ohne offene Verbindungen zu trennen, und das Dashboard erhält modsecurity_enabled. Reloads werden gebündelt, höchstens einer alle 5 Minuten.
Ausschalten
Wenn du Änderungen an der Webserver-Konfiguration erlauben ausschaltest, gibt es keine weiteren Änderungen. Die bereits vorhandenen Regeln entfernt infrafence-agent uninstall --clean oder das Deinstallationsprogramm, auch hier mit vorherigem Konfigurationstest.
Das Audit-Log
Egal welchen Webserver du nutzt: Wenn ModSecurity ein Audit-Log schreibt, liest der Agent es und meldet jede Abwehr mit Regel-IDs, URL, Methode und Engine-Modus (ENABLED oder DETECTION_ONLY). Er findet das Log an den üblichen Orten oder unter MODSEC_AUDIT_LOG.
Virtuelle Patches
Virtuelle Patches für ausgenutzte CVEs nutzen dieselbe ModSecurity-Einrichtung.