Варианты конфигурации и сценарии настройки ModSecurity

ModSecurity — WAF-движок для веб-серверов (Apache, nginx и др.). Конфигурация строится из директив в конфигурации веб-сервера и подключаемых наборов правил (часто OWASP Core Rule Set, CRS).

Уровни настройки

  • Глобальные параметры — включение движка, режим обработки (DetectionOnly или блокировка), пути к журналам.

  • Правила (rules) — сигнатуры и цепочки SecRule / SecAction; для CRS задаётся уровень паранойи (Paranoia Level) и исключения под конкретное приложение.

  • Интеграция с reverse proxy — при размещении за nginx или Apache правила могут применяться на виртуальном хосте или в общем контексте.

Официальная документация по директивам: Reference Manual ModSecurity.

Типовые сценарии

  • защита публичного веб-приложения с CRS в режиме обнаружения перед переводом в блокирующий режим;

  • точечные исключения (SecRuleRemoveById) для ложных срабатываний на известных URL;

  • журналирование в файл или передача событий во внешнюю SIEM.

Пошаговую установку модуля и подключение к веб-серверу см. Установка ModSecurity.

Следующая страница: Установка ModSecurity.