ModSecurity คืออะไร และวิธีติดตั้งบน Cloud Server

ทดสอบบน Ubuntu Server 24.04 LTS

1. 1

   ติดตั้งโมดูลและชุดกฎ

   คัดลอก

   sudo apt update
   sudo apt -y install libnginx-mod-http-modsecurity modsecurity-crs

2. 2

   เปิดใช้งานและตั้งค่าเริ่มต้น

   เริ่มจากโหมดบันทึกอย่างเดียวเพื่อดูว่ากฎจะบล็อกคำขอที่ถูกต้องหรือไม่

   คัดลอก

   sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf
   # ในไฟล์นั้น ตั้งค่าเริ่มต้นเป็นบันทึกอย่างเดียวก่อน
   SecRuleEngine DetectionOnly
   SecAuditLog /var/log/nginx/modsec_audit.log

3. 3

   ผูกกับเว็บใน Nginx

   คัดลอก

   server {
     listen 443 ssl;
     server_name www.example.com;
   
     modsecurity on;
     modsecurity_rules_file /etc/nginx/modsec/main.conf;
   
     location / {
       proxy_pass http://127.0.0.1:8080;
     }
   }

4. 4

   ทดสอบและดู Log

   ทดลองส่งคำขอที่มีรูปแบบการโจมตีแล้วดูว่ามีบันทึกเกิดขึ้น พร้อมตรวจว่าการใช้งานปกติของผู้ใช้ไม่ถูกจับผิดพลาด

   คัดลอก

   sudo nginx -t && sudo systemctl reload nginx
   curl "https://www.example.com/?id=1%27+OR+1=1--"
   sudo tail -f /var/log/nginx/modsec_audit.log

5. 5

   ปรับกฎที่แจ้งเตือนผิดพลาด

   ปิดกฎเฉพาะรายการที่บล็อกการใช้งานจริงของระบบ โดยระบุหมายเลขกฎแทนการปิดทั้งหมวด

   คัดลอก

   # ปิดกฎเฉพาะเส้นทางที่จำเป็น
   SecRule REQUEST_URI "@beginsWith /admin/upload" \
     "id:1001,phase:1,pass,nolog,ctl:ruleRemoveById=920420"

6. 6

   เปลี่ยนเป็นโหมดบล็อกจริง

   เมื่อมั่นใจว่าไม่มีการบล็อกผิดพลาดแล้ว จึงเปลี่ยนค่าเป็นเปิดใช้งานเต็มรูปแบบ

   คัดลอก

   SecRuleEngine On

อย่าเปิดโหมดบล็อกทันทีบนเว็บที่มีผู้ใช้จริง เพราะชุดกฎกลางมักบล็อกคำขอที่ถูกต้องในช่วงแรก ควรสังเกตอย่างน้อยหนึ่งถึงสองสัปดาห์ก่อน