ModSecurity
Le regole ModSecurity opzionali di InfraFence per Apache: 13 regole che bloccano gli attacchi alla prima richiesta, attivazione, test, ripristino e audit log.
Ultimo aggiornamento:
Il web firewall legge i log dopo la richiesta. Su Apache con ModSecurity, InfraFence può aggiungere anche 13 regole proprie che respingono gli attacchi dentro il web server, alla prima richiesta.
Requisiti
- Apache con il modulo ModSecurity (
mod_security2) già installato. InfraFence non installa ModSecurity. - Consenti modifiche alla configurazione del web server attivato in Impostazioni › Agente. Per impostazione predefinita è disattivato.
- Nessun pannello di hosting, LiteSpeed o strumento di configuration management che gestisca la configurazione del web server. Il controllo in sola lettura li rileva e in quel caso InfraFence non modifica mai la configurazione (per esempio
cPanel manages the web server configuration and may overwrite edits).
nginx non viene modificato per ModSecurity.
Cosa aggiunge
Le regole vanno in /etc/modsecurity/infrafence/, incluse dalla configurazione ModSecurity esistente con IncludeOptional /etc/modsecurity/infrafence/*.conf. Ogni regola risponde 403:
| Regola | Blocca |
|---|---|
| 9910001 | SQL injection |
| 9910002 | Cross-site scripting |
| 9910003 | Esecuzione di codice remoto |
| 9910004 | Path traversal |
| 9910005 | SSRF, compresi gli indirizzi dei metadati cloud |
| 9910006 | Shellshock |
| 9910007 | Accesso a web shell |
| 9910008 | Sondaggi di .env |
| 9910009 | Sondaggi di file di configurazione |
| 9910010 | Header injection |
| 9910012 | Log4Shell |
| 9910013 | Spring4Shell |
| 9910014 | User agent di scanner noti |
Anche i ban attivi vengono scritti come regole ModSecurity (fino a 5.000 indirizzi): conta quando i visitatori raggiungono Apache attraverso un proxy o una CDN e il firewall vede solo il proxy.
Come viene applicato in sicurezza
La configurazione è un'unica transazione: l'agente salva i file che sta per modificare, scrive le regole e l'include ed esegue apachectl configtest. Se qualcosa fallisce, tutto torna com'era e la dashboard riceve un evento webserver_config_error. Se il test passa, Apache viene ricaricato in modo graceful (apachectl graceful), senza interrompere le connessioni aperte, e la dashboard riceve modsecurity_enabled. I reload vengono raggruppati, al massimo uno ogni 5 minuti.
Disattivarlo
Disattivare Consenti modifiche alla configurazione del web server blocca ulteriori modifiche. Le regole già presenti vengono rimosse da infrafence-agent uninstall --clean o dal programma di disinstallazione, anche in questo caso con un test della configurazione prima.
L'audit log
Qualunque web server tu usi, se ModSecurity scrive un audit log l'agente lo legge e segnala ogni intercettazione con gli id delle regole, l'URL, il metodo e la modalità del motore (ENABLED o DETECTION_ONLY). Trova il log nei percorsi abituali, oppure in MODSEC_AUDIT_LOG.
Patch virtuali
Le patch virtuali per le CVE sfruttate usano la stessa configurazione ModSecurity.