ModSecurity
As regras ModSecurity opcionais do InfraFence para Apache: 13 regras que bloqueiam ataques na primeira requisição, como são ativadas, testadas e revertidas, e o audit log.
Última atualização:
O firewall web lê os logs depois da requisição. No Apache com ModSecurity, o InfraFence também pode adicionar 13 regras próprias que recusam ataques dentro do servidor web, já na primeira requisição.
Requisitos
- Apache com o módulo ModSecurity (
mod_security2) já instalado. O InfraFence não instala o ModSecurity. - Permitir alterações na configuração do servidor web ativado em Configurações › Agente. Vem desligado por padrão.
- Nenhum painel de hospedagem, LiteSpeed ou ferramenta de gerenciamento de configuração controlando a configuração do servidor web. A verificação somente leitura os detecta e, nesse caso, o InfraFence nunca edita a configuração (por exemplo
cPanel manages the web server configuration and may overwrite edits).
O nginx não é editado para o ModSecurity.
O que é adicionado
As regras ficam em /etc/modsecurity/infrafence/, incluídas a partir da configuração ModSecurity existente com IncludeOptional /etc/modsecurity/infrafence/*.conf. Cada regra responde 403:
| Regra | Bloqueia |
|---|---|
| 9910001 | SQL injection |
| 9910002 | Cross-site scripting |
| 9910003 | Execução remota de código |
| 9910004 | Path traversal |
| 9910005 | SSRF, incluindo endereços de metadados de nuvem |
| 9910006 | Shellshock |
| 9910007 | Acesso a web shells |
| 9910008 | Sondagens de .env |
| 9910009 | Sondagens de configuração |
| 9910010 | Header injection |
| 9910012 | Log4Shell |
| 9910013 | Spring4Shell |
| 9910014 | User agents de scanners conhecidos |
Os banimentos ativos também são gravados como regras ModSecurity (até 5.000 endereços), o que importa quando os visitantes chegam ao Apache por um proxy ou uma CDN e o firewall só vê o proxy.
Como é aplicado com segurança
A configuração é uma transação: o agente salva os arquivos que vai alterar, grava as regras e o include e executa apachectl configtest. Se algo falhar, tudo volta a ser como era e o painel recebe um evento webserver_config_error. Se o teste passar, o Apache recarrega de forma suave (apachectl graceful), sem derrubar as conexões abertas, e o painel recebe modsecurity_enabled. Os recarregamentos são agrupados, no máximo um a cada 5 minutos.
Desligar
Desligar Permitir alterações na configuração do servidor web impede novas alterações. As regras já instaladas são removidas por infrafence-agent uninstall --clean ou pelo desinstalador, também com um teste de configuração antes.
O audit log
Seja qual for o seu servidor web, se o ModSecurity gravar um audit log, o agente o lê e reporta cada interceptação com os ids das regras, a URL, o método e o modo do engine (ENABLED ou DETECTION_ONLY). Ele encontra o log nos lugares de costume, ou em MODSEC_AUDIT_LOG.
Patches virtuais
Os patches virtuais para CVEs exploradas usam a mesma configuração ModSecurity.