ModSecurity
Las reglas ModSecurity opcionales de InfraFence para Apache - 13 reglas que bloquean los ataques en la primera petición, cómo se activan, se prueban y se revierten, y el registro de auditoría.
Última actualización:
El firewall web lee los registros después de la petición. En Apache con ModSecurity, InfraFence puede además añadir 13 reglas propias que rechazan los ataques dentro del servidor web, en la primera petición.
Requisitos
- Apache con el módulo ModSecurity (
mod_security2) ya instalado. InfraFence no instala ModSecurity. - Permitir cambios en la configuración del servidor web activado en Ajustes › Agente. Está desactivado por defecto.
- Ningún panel de hosting, LiteSpeed ni herramienta de gestión de la configuración a cargo de la configuración del servidor web. La revisión de solo lectura los detecta y entonces InfraFence nunca edita la configuración (por ejemplo
cPanel manages the web server configuration and may overwrite edits).
nginx no se edita para ModSecurity.
Qué añade
Las reglas van en /etc/modsecurity/infrafence/, incluidas desde la configuración de ModSecurity existente con IncludeOptional /etc/modsecurity/infrafence/*.conf. Cada regla responde 403:
| Regla | Bloquea |
|---|---|
| 9910001 | Inyección SQL |
| 9910002 | Cross-site scripting |
| 9910003 | Ejecución remota de código |
| 9910004 | Path traversal |
| 9910005 | SSRF, incluidas las direcciones de metadatos de la nube |
| 9910006 | Shellshock |
| 9910007 | Acceso a web shells |
| 9910008 | Sondeos de .env |
| 9910009 | Sondeos de configuración |
| 9910010 | Inyección de cabeceras |
| 9910012 | Log4Shell |
| 9910013 | Spring4Shell |
| 9910014 | User agents de escáneres conocidos |
Los bloqueos activos también se escriben como reglas de ModSecurity (hasta 5.000 direcciones), lo que importa cuando los visitantes llegan a Apache a través de un proxy o una CDN y el firewall solo ve el proxy.
Cómo se aplica de forma segura
La configuración es una sola transacción: el agente guarda los archivos que va a cambiar, escribe las reglas y el include, y ejecuta apachectl configtest. Si algo falla, todo vuelve a quedar como estaba y el panel recibe un evento webserver_config_error. Si la prueba pasa, Apache se recarga de forma ordenada (apachectl graceful), sin cortar las conexiones abiertas, y el panel recibe modsecurity_enabled. Las recargas se agrupan, como mucho una cada 5 minutos.
Desactivarlo
Desactivar Permitir cambios en la configuración del servidor web detiene los cambios posteriores. Las reglas ya aplicadas se eliminan con infrafence-agent uninstall --clean o con el desinstalador, de nuevo con una prueba de configuración antes.
El registro de auditoría
Uses el servidor web que uses, si ModSecurity escribe un registro de auditoría, el agente lo lee e informa de cada interceptación con los ids de las reglas, la URL, el método y el modo del motor (ENABLED o DETECTION_ONLY). Busca el registro en las ubicaciones habituales, o en MODSEC_AUDIT_LOG.
Parches virtuales
Los parches virtuales para CVE explotadas usan la misma configuración de ModSecurity.