Cómo instalar ModSecurity para Nginx en CentOS 7, Debian 8 y Ubuntu 16.04

• Prerrequisitos
• Paso 1: actualiza el sistema
• Paso 2: instalar dependencias
• Paso 3: compilar ModSecurity
• Paso 4: compila Nginx
• Paso 4: Configurar ModSecurity y Nginx
• Paso 5: prueba ModSecurity

ModSecurity es un módulo de firewall de aplicaciones web de código abierto (WAF) que es ideal para proteger Apache, Nginx e IIS de varios ataques cibernéticos que atacan vulnerabilidades potenciales en varias aplicaciones web

En este artículo, instalaremos y configuraremos ModSecurity para Nginx en CentOS 7, Debian 8 y Ubuntu 16.04.

Prerrequisitos

• Una instalación actualizada de CentOS 7, Debian 8 o Ubuntu 16.04 de 64 bits.
• Iniciando sesión como root.

Paso 1: actualiza el sistema

Siguiendo esta guía , actualice el núcleo y los paquetes de su servidor a la última versión disponible.

Paso 2: instalar dependencias

Antes de poder compilar Nginx y ModSecurity con éxito, debe instalar varios paquetes de software de la siguiente manera.

a) En CentOS 7:

yum groupinstall -y "Development Tools"
yum install -y httpd httpd-devel pcre pcre-devel libxml2 libxml2-devel curl curl-devel openssl openssl-devel
shutdown -r now

b) En Debian 8 o Ubuntu 16.04:

apt-get install -y git build-essential libpcre3 libpcre3-dev libssl-dev libtool autoconf apache2-dev libxml2-dev libcurl4-openssl-dev automake pkgconf

Paso 3: compilar ModSecurity

Debido a varias inestabilidades reportadas en ModSecurity para la rama maestra de Nginx, por ahora, se recomienda oficialmente usar la última versión de la nginx_refactoringrama siempre que sea posible.

Descargue la nginx_refactoringrama de ModSecurity para Nginx:

cd /usr/src
git clone -b nginx_refactoring https://github.com/SpiderLabs/ModSecurity.git

Compilar ModSecurity:

a) En CentOS 7:

cd ModSecurity
sed -i '/AC_PROG_CC/a\AM_PROG_CC_C_O' configure.ac
sed -i '1 i\AUTOMAKE_OPTIONS = subdir-objects' Makefile.am
./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make

Nota: los dos sedcomandos anteriores se utilizan para evitar mensajes de advertencia cuando se utilizan versiones más recientes de automake.

b) En Debian 8 o Ubuntu 16.04:

cd ModSecurity
./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make

Paso 4: compila Nginx

Descargue y desarchive la última versión estable de Nginx que se encuentra Nginx 1.10.3en este momento:

cd /usr/src
wget https://nginx.org/download/nginx-1.10.3.tar.gz
tar -zxvf nginx-1.10.3.tar.gz && rm -f nginx-1.10.3.tar.gz

a) En CentOS 7:

Primero, debe crear un usuario dedicado nginxy un grupo dedicado nginxpara Nginx:

groupadd -r nginx
useradd -r -g nginx -s /sbin/nologin -M nginx

Luego compile Nginx mientras habilita los módulos ModSecurity y SSL:

cd nginx-1.10.3/
./configure --user=nginx --group=nginx --add-module=/usr/src/ModSecurity/nginx/modsecurity --with-http_ssl_module
make
make install

Modifique el usuario predeterminado de Nginx:

sed -i "s/#user  nobody;/user nginx nginx;/" /usr/local/nginx/conf/nginx.conf

b) En Debian 8 o Ubuntu 16.04:

Primero, debe usar el usuario existente www-datay el grupo existente www-data.

Luego compile Nginx mientras habilita los módulos ModSecurity y SSL:

cd nginx-1.10.3/
./configure --user=www-data --group=www-data --add-module=/usr/src/ModSecurity/nginx/modsecurity --with-http_ssl_module
make
make install

Modifique el usuario predeterminado de Nginx:

sed -i "s/#user  nobody;/user www-data www-data;/" /usr/local/nginx/conf/nginx.conf

Con Nginx instalado correctamente, los archivos relacionados se ubicarán en:

nginx path prefix: "/usr/local/nginx"
nginx binary file: "/usr/local/nginx/sbin/nginx"
nginx modules path: "/usr/local/nginx/modules"
nginx configuration prefix: "/usr/local/nginx/conf"
nginx configuration file: "/usr/local/nginx/conf/nginx.conf"
nginx pid file: "/usr/local/nginx/logs/nginx.pid"
nginx error log file: "/usr/local/nginx/logs/error.log"
nginx http access log file: "/usr/local/nginx/logs/access.log"
nginx http client request body temporary files: "client_body_temp"
nginx http proxy temporary files: "proxy_temp"
nginx http fastcgi temporary files: "fastcgi_temp"
nginx http uwsgi temporary files: "uwsgi_temp"
nginx http scgi temporary files: "scgi_temp"

Puedes probar la instalación con:

/usr/local/nginx/sbin/nginx -t

Si nada sale mal, la salida debería ser:

nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful

Para su comodidad, puede configurar un archivo de unidad systemd para Nginx:

cat <<EOF>> /lib/systemd/system/nginx.service
[Service]
Type=forking
ExecStartPre=/usr/local/nginx/sbin/nginx -t -c /usr/local/nginx/conf/nginx.conf
ExecStart=/usr/local/nginx/sbin/nginx -c /usr/local/nginx/conf/nginx.conf
ExecReload=/usr/local/nginx/sbin/nginx -s reload
KillStop=/usr/local/nginx/sbin/nginx -s stop

KillMode=process
Restart=on-failure
RestartSec=42s

PrivateTmp=true
LimitNOFILE=200000

[Install]
WantedBy=multi-user.target
EOF

En el futuro, puede iniciar / detener / reiniciar Nginx de la siguiente manera:

systemctl start nginx.service
systemctl stop nginx.service
systemctl restart nginx.service

Paso 4: Configurar ModSecurity y Nginx

4.1 Configurar Nginx:

vi /usr/local/nginx/conf/nginx.conf

Encuentre el siguiente segmento dentro del http {}segmento:

location / {
    root   html;
    index  index.html index.htm;
}

Inserte las siguientes líneas en el location / {}segmento:

ModSecurityEnabled on;
ModSecurityConfig modsec_includes.conf;
#proxy_pass http://localhost:8011;
#proxy_read_timeout 180s;

El resultado final debe ser:

location / {
    ModSecurityEnabled on;
    ModSecurityConfig modsec_includes.conf;
    #proxy_pass http://localhost:8011;
    #proxy_read_timeout 180s;
    root   html;
    index  index.html index.htm;
}

Guardar y Salir:

:wq!

Nota: La configuración de Nginx anterior es solo una configuración de muestra para usar Nginx como un servidor web en lugar de un proxy inverso. Si está utilizando Nginx como proxy inverso, elimine el #carácter en las últimas dos líneas y realice las modificaciones apropiadas.

4.2 Crear un archivo llamado /usr/local/nginx/conf/modsec_includes.conf:

cat <<EOF>> /usr/local/nginx/conf/modsec_includes.conf
include modsecurity.conf
include owasp-modsecurity-crs/crs-setup.conf
include owasp-modsecurity-crs/rules/*.conf
EOF

Nota: La configuración anterior aplicará todas las Reglas principales de OWASP ModSecurity en el owasp-modsecurity-crs/rules/directorio. Si solo desea aplicar reglas selectivas, debe eliminar la include owasp-modsecurity-crs/rules/*.conflínea y luego especificar las reglas exactas que necesita después del paso 4.5.

4.3 Importar archivos de configuración de ModSecurity:

cp /usr/src/ModSecurity/modsecurity.conf-recommended /usr/local/nginx/conf/modsecurity.conf
cp /usr/src/ModSecurity/unicode.mapping /usr/local/nginx/conf/

4.4 Modificar el /usr/local/nginx/conf/modsecurity.confarchivo:

sed -i "s/SecRuleEngine DetectionOnly/SecRuleEngine On/" /usr/local/nginx/conf/modsecurity.conf

4.5 Agregar archivos OWASP ModSecurity CRS (Core Rule Set):

cd /usr/local/nginx/conf
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs.git
cd owasp-modsecurity-crs
mv crs-setup.conf.example crs-setup.conf
cd rules
mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
mv RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf

Paso 5: prueba ModSecurity

Inicie Nginx:

systemctl start nginx.service

Abra el puerto 80 para permitir el acceso externo:

a) En CentOS 7:

firewall-cmd --zone=public --permanent --add-service=http
firewall-cmd --reload

b) En Debian 8:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
touch /etc/iptables
iptables-save > /etc/iptables

c) En Ubuntu 16.04:

ufw allow OpenSSH
ufw allow 80
ufw default deny
ufw enable    

Apunte su navegador web a:

http://203.0.113.1/?param="><script>alert(1);</script>

Use greppara buscar mensajes de error de la siguiente manera:

grep error /usr/local/nginx/logs/error.log

La salida debe incluir varios mensajes de error que son similares a:

2017/02/15 14:07:54 [error] 10776#0: [client 104.20.23.240] ModSecurity: Warning. detected XSS using libinjection. [file "/usr/local/nginx/conf/owasp-modsecurity-crs/rules/REQUEST-941-APPLICATION-ATTACK-XSS.conf"] [line "56"] [id "941100"] [rev "2"] [msg "XSS Attack Detected via libinjection"] [data "Matched Data:  found within ARGS:param: \x22><script>alert(1);</script>"] [severity "CRITICAL"] [ver "OWASP_CRS/3.0.0"] [maturity "1"] [accuracy "9"] [tag "application-multi"] [tag "language-multi"] [tag "platform-multi"] [tag "attack-xss"] [tag "OWASP_CRS/WEB_ATTACK/XSS"] [tag "WASCTC/WASC-8"] [tag "WASCTC/WASC-22"] [tag "OWASP_TOP_10/A3"] [tag "OWASP_AppSensor/IE1"] [tag "CAPEC-242"] [hostname ""] [uri "/index.html"] [unique_id "ATAcAcAkucAchGAcPLAcAcAY"]

Eso es. Como puede ver, el módulo ModSecurity ha registrado con éxito este ataque de acuerdo con su política de acción predeterminada. Si desea realizar más ajustes personalizados, revise con cuidado y editar /usr/local/nginx/conf/modsecurity.confy /usr/local/nginx/conf/owasp-modsecurity-crs/crs-setup.confarchivos.