ModSecurity mit NGINX installieren und konfigurieren

ModSecurity 3.x (libmodsecurity) benötigt mehrere Abhängigkeiten. Installieren Sie diese je nach Distribution:

Ubuntu/Debian:

sudo apt update
sudo apt install -y apt-utils autoconf automake build-essential \
  git libcurl4-openssl-dev libgeoip-dev liblmdb-dev libpcre2-dev \
  libtool libxml2-dev libyajl-dev pkgconf wget zlib1g-dev

RHEL/CentOS/Rocky:

sudo dnf install -y gcc-c++ flex bison yajl curl-devel zlib-devel \
  pcre2-devel autoconf automake git curl make libxml2-devel \
  pkgconfig libtool httpd-devel lmdb-devel GeoIP-devel

Klonen Sie das ModSecurity-Repository und bauen Sie die Bibliothek:

cd /opt
sudo git clone --depth 1 -b v3/master --single-branch https://github.com/owasp-modsecurity/ModSecurity
cd ModSecurity

# Submodule initialisieren und aktualisieren
sudo git submodule init
sudo git submodule update

# Bauen und installieren
sudo ./build.sh
sudo ./configure
sudo make
sudo make install

Der NGINX-ModSecurity-Connector integriert libmodsecurity als dynamisches Modul in NGINX:

# Connector klonen
cd /opt
sudo git clone --depth 1 https://github.com/owasp-modsecurity/ModSecurity-nginx.git

# Ihre NGINX-Version ermitteln
nginx -v

# Passenden NGINX-Quellcode herunterladen (Version bei Bedarf anpassen)
wget http://nginx.org/download/nginx-1.24.0.tar.gz
tar -xzf nginx-1.24.0.tar.gz
cd nginx-1.24.0

# Dynamisches Modul bauen
./configure --with-compat --add-dynamic-module=../ModSecurity-nginx
make modules

# Modul in das NGINX-Modulverzeichnis kopieren
sudo cp objs/ngx_http_modsecurity_module.so /etc/nginx/modules/

Laden Sie das ModSecurity-Modul in Ihrer NGINX-Konfiguration:

Fügen Sie diese Zeile ganz oben in /etc/nginx/nginx.conf ein (vor dem events-Block):

load_module modules/ngx_http_modsecurity_module.so;

Testen Sie die Konfiguration:

sudo nginx -t

Sie sollten Folgendes sehen: syntax is ok und test is successful.

Richten Sie das ModSecurity-Konfigurationsverzeichnis und die Basiskonfiguration ein:

# Verzeichnisstruktur erstellen
sudo mkdir -p /etc/nginx/modsec

# Die empfohlene Konfiguration kopieren
sudo cp /opt/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

# Die Unicode-Mapping-Datei kopieren
sudo cp /opt/ModSecurity/unicode.mapping /etc/nginx/modsec/

Bearbeiten Sie /etc/nginx/modsec/modsecurity.conf und ändern Sie die Engine von Erkennung auf Blockierung:

# Diese Zeile ändern:
SecRuleEngine DetectionOnly

# Zu (wenn bereit für den Produktivbetrieb):
SecRuleEngine On

Das OWASP Core Rule Set bietet umfassenden Schutz gegen gängige Angriffe:

cd /etc/nginx/modsec
sudo git clone https://github.com/coreruleset/coreruleset.git
cd coreruleset

# Konfiguration aus Beispiel erstellen
sudo cp crs-setup.conf.example crs-setup.conf

Erstellen Sie eine Haupt-Regeldatei unter /etc/nginx/modsec/main.conf:

Include /etc/nginx/modsec/modsecurity.conf
Include /etc/nginx/modsec/coreruleset/crs-setup.conf
Include /etc/nginx/modsec/coreruleset/rules/*.conf

Aktivieren Sie ModSecurity für Ihre Sites, indem Sie Direktiven zu Ihren Server-Blöcken hinzufügen:

server {
    listen 80;
    server_name example.com;

    # ModSecurity aktivieren
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsec/main.conf;

    location / {
        proxy_pass http://backend;
        # ... weitere Direktiven
    }
}

Laden Sie NGINX neu, um die Änderungen anzuwenden:

sudo nginx -t && sudo systemctl reload nginx

Überprüfen Sie, ob ModSecurity funktioniert, indem Sie einen Testangriff senden:

# Dies sollte blockiert werden (SQL-Injection-Versuch)
curl -I 'http://your-server.com/?id=1%20OR%201=1'

# Dies sollte blockiert werden (XSS-Versuch)
curl -I 'http://your-server.com/?q=<script>alert(1)</script>'

Prüfen Sie das ModSecurity-Audit-Log:

sudo tail -f /var/log/modsec_audit.log

Sie sollten Einträge sehen, die die blockierten Anfragen mit Regel-IDs und Angriffsdetails zeigen.

Konfigurieren Sie das ModSecurity-Logging in /etc/nginx/modsec/modsecurity.conf:

# Audit-Log-Einstellungen
SecAuditEngine RelevantOnly
SecAuditLogRelevantStatus "^(?:5|4(?!04))"
SecAuditLogParts ABIJDEFHZ
SecAuditLogType Serial
SecAuditLog /var/log/modsec_audit.log

# Debug-Log (im Produktivbetrieb deaktivieren)
SecDebugLog /var/log/modsec_debug.log
SecDebugLogLevel 0

Erstellen Sie die Log-Dateien mit den richtigen Berechtigungen:

sudo touch /var/log/modsec_audit.log
sudo chown www-data:www-data /var/log/modsec_audit.log

Überprüfen Sie nach dem Betrieb im DetectionOnly-Modus die Logs auf False Positives. Gängige Tuning-Ansätze:

Bestimmte Regeln ausschließen:

# In /etc/nginx/modsec/crs-setup.conf oder einer eigenen Datei:
SecRuleRemoveById 942100  # Bestimmte Regel deaktivieren
SecRuleRemoveByTag "OWASP_CRS/WEB_ATTACK/SQL_INJECTION"  # Nach Tag deaktivieren

Regeln für bestimmte URLs ausschließen:

SecRule REQUEST_URI "@beginsWith /api/upload" \
  "id:1000,phase:1,pass,nolog,\
   ctl:ruleRemoveById=200002"

Paranoia-Level anpassen:

Setzen Sie in crs-setup.conf das Paranoia-Level (1=wenige False Positives, 4=maximale Sicherheit):

SecAction "id:900000,phase:1,pass,t:none,\
  setvar:tx.blocking_paranoia_level=1"