Come installare ModSecurity per Nginx su CentOS 7, Debian 8 e Ubuntu 16.04

• Prerequisiti
• Passaggio 1: aggiornare il sistema
• Passaggio 2: installare le dipendenze
• Passaggio 3: compilare ModSecurity
• Passaggio 4: compilare Nginx
• Passaggio 4: configurare ModSecurity e Nginx
• Passaggio 5: test di ModSecurity

ModSecurity è un modulo firewall per applicazioni Web (WAF) open source che è ottimo per proteggere Apache, Nginx e IIS da vari attacchi informatici che colpiscono potenziali vulnerabilità in varie applicazioni Web

In questo articolo, installeremo e configureremo ModSecurity per Nginx su CentOS 7, Debian 8 e Ubuntu 16.04.

Prerequisiti

• Un up-to-date l'installazione di CentOS 7, Debian 8, o Ubuntu 16.04 a 64 bit.
• Accesso come root.

Passaggio 1: aggiornare il sistema

Seguendo questa guida , aggiorna il kernel e i pacchetti del tuo server all'ultima versione disponibile.

Passaggio 2: installare le dipendenze

Prima di poter compilare Nginx e ModSecurity correttamente, è necessario installare diversi pacchetti software come segue.

a) Su CentOS 7:

yum groupinstall -y "Development Tools"
yum install -y httpd httpd-devel pcre pcre-devel libxml2 libxml2-devel curl curl-devel openssl openssl-devel
shutdown -r now

b) Su Debian 8 o Ubuntu 16.04:

apt-get install -y git build-essential libpcre3 libpcre3-dev libssl-dev libtool autoconf apache2-dev libxml2-dev libcurl4-openssl-dev automake pkgconf

Passaggio 3: compilare ModSecurity

A causa delle diverse instabilità segnalate su ModSecurity per il ramo master Nginx, per ora, si consiglia ufficialmente di utilizzare l'ultima versione del nginx_refactoringramo quando possibile.

Scarica la nginx_refactoringfiliale di ModSecurity per Nginx:

cd /usr/src
git clone -b nginx_refactoring https://github.com/SpiderLabs/ModSecurity.git

Compilare ModSecurity:

a) Su CentOS 7:

cd ModSecurity
sed -i '/AC_PROG_CC/a\AM_PROG_CC_C_O' configure.ac
sed -i '1 i\AUTOMAKE_OPTIONS = subdir-objects' Makefile.am
./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make

Nota: i due sedcomandi precedenti vengono utilizzati per prevenire i messaggi di avviso quando si utilizzano versioni più recenti di automake.

b) Su Debian 8 o Ubuntu 16.04:

cd ModSecurity
./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make

Passaggio 4: compilare Nginx

Scarica e annulla l'archiviazione dell'ultima versione stabile di Nginx che è Nginx 1.10.3al momento in cui scrivo:

cd /usr/src
wget https://nginx.org/download/nginx-1.10.3.tar.gz
tar -zxvf nginx-1.10.3.tar.gz && rm -f nginx-1.10.3.tar.gz

a) Su CentOS 7:

Innanzitutto, è necessario creare un utente dedicato nginxe un gruppo dedicato nginxper Nginx:

groupadd -r nginx
useradd -r -g nginx -s /sbin/nologin -M nginx

Quindi compilare Nginx abilitando i moduli ModSecurity e SSL:

cd nginx-1.10.3/
./configure --user=nginx --group=nginx --add-module=/usr/src/ModSecurity/nginx/modsecurity --with-http_ssl_module
make
make install

Modifica l'utente predefinito di Nginx:

sed -i "s/#user  nobody;/user nginx nginx;/" /usr/local/nginx/conf/nginx.conf

b) Su Debian 8 o Ubuntu 16.04:

Innanzitutto, è necessario utilizzare l'utente esistente www-datae il gruppo esistente www-data.

Quindi compilare Nginx abilitando i moduli ModSecurity e SSL:

cd nginx-1.10.3/
./configure --user=www-data --group=www-data --add-module=/usr/src/ModSecurity/nginx/modsecurity --with-http_ssl_module
make
make install

Modifica l'utente predefinito di Nginx:

sed -i "s/#user  nobody;/user www-data www-data;/" /usr/local/nginx/conf/nginx.conf

Dopo aver installato Nginx correttamente, i file correlati si troveranno in:

nginx path prefix: "/usr/local/nginx"
nginx binary file: "/usr/local/nginx/sbin/nginx"
nginx modules path: "/usr/local/nginx/modules"
nginx configuration prefix: "/usr/local/nginx/conf"
nginx configuration file: "/usr/local/nginx/conf/nginx.conf"
nginx pid file: "/usr/local/nginx/logs/nginx.pid"
nginx error log file: "/usr/local/nginx/logs/error.log"
nginx http access log file: "/usr/local/nginx/logs/access.log"
nginx http client request body temporary files: "client_body_temp"
nginx http proxy temporary files: "proxy_temp"
nginx http fastcgi temporary files: "fastcgi_temp"
nginx http uwsgi temporary files: "uwsgi_temp"
nginx http scgi temporary files: "scgi_temp"

puoi testare l'installazione con:

/usr/local/nginx/sbin/nginx -t

Se nulla va storto, l'output dovrebbe essere:

nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful

Per comodità, è possibile impostare un file di unità di sistema per Nginx:

cat <<EOF>> /lib/systemd/system/nginx.service
[Service]
Type=forking
ExecStartPre=/usr/local/nginx/sbin/nginx -t -c /usr/local/nginx/conf/nginx.conf
ExecStart=/usr/local/nginx/sbin/nginx -c /usr/local/nginx/conf/nginx.conf
ExecReload=/usr/local/nginx/sbin/nginx -s reload
KillStop=/usr/local/nginx/sbin/nginx -s stop

KillMode=process
Restart=on-failure
RestartSec=42s

PrivateTmp=true
LimitNOFILE=200000

[Install]
WantedBy=multi-user.target
EOF

Andando avanti, è possibile avviare / arrestare / riavviare Nginx come segue:

systemctl start nginx.service
systemctl stop nginx.service
systemctl restart nginx.service

Passaggio 4: configurare ModSecurity e Nginx

4.1 Configurare Nginx:

vi /usr/local/nginx/conf/nginx.conf

Trova il seguente segmento all'interno del http {}segmento:

location / {
    root   html;
    index  index.html index.htm;
}

Inserisci le seguenti righe nel location / {}segmento:

ModSecurityEnabled on;
ModSecurityConfig modsec_includes.conf;
#proxy_pass http://localhost:8011;
#proxy_read_timeout 180s;

Il risultato finale dovrebbe essere:

location / {
    ModSecurityEnabled on;
    ModSecurityConfig modsec_includes.conf;
    #proxy_pass http://localhost:8011;
    #proxy_read_timeout 180s;
    root   html;
    index  index.html index.htm;
}

Salva ed esci:

:wq!

Nota: la configurazione Nginx sopra è solo una configurazione di esempio per l'utilizzo di Nginx come server Web anziché come proxy inverso. Se si utilizza Nginx come proxy inverso, rimuovere il #carattere nelle ultime due righe e apportare le modifiche appropriate.

4.2 Creare un file denominato /usr/local/nginx/conf/modsec_includes.conf:

cat <<EOF>> /usr/local/nginx/conf/modsec_includes.conf
include modsecurity.conf
include owasp-modsecurity-crs/crs-setup.conf
include owasp-modsecurity-crs/rules/*.conf
EOF

Nota: la configurazione precedente applicherà tutte le Regole di base OWASP ModSecurity nella owasp-modsecurity-crs/rules/directory. Se si desidera applicare solo regole selettive, è necessario rimuovere la include owasp-modsecurity-crs/rules/*.confriga e quindi specificare le regole esatte necessarie dopo il passaggio 4.5.

4.3 Importare i file di configurazione di ModSecurity:

cp /usr/src/ModSecurity/modsecurity.conf-recommended /usr/local/nginx/conf/modsecurity.conf
cp /usr/src/ModSecurity/unicode.mapping /usr/local/nginx/conf/

4.4 Modifica il /usr/local/nginx/conf/modsecurity.conffile:

sed -i "s/SecRuleEngine DetectionOnly/SecRuleEngine On/" /usr/local/nginx/conf/modsecurity.conf

4.5 Aggiungi file OWASP ModSecurity CRS (Core Rule Set):

cd /usr/local/nginx/conf
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs.git
cd owasp-modsecurity-crs
mv crs-setup.conf.example crs-setup.conf
cd rules
mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
mv RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf

Passaggio 5: test di ModSecurity

Inizia Nginx:

systemctl start nginx.service

Aprire la porta 80 per consentire l'accesso esterno:

a) Su CentOS 7:

firewall-cmd --zone=public --permanent --add-service=http
firewall-cmd --reload

b) Su Debian 8:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
touch /etc/iptables
iptables-save > /etc/iptables

c) Su Ubuntu 16.04:

ufw allow OpenSSH
ufw allow 80
ufw default deny
ufw enable    

Punta il tuo browser web a:

http://203.0.113.1/?param="><script>alert(1);</script>

Utilizzare grepper recuperare i messaggi di errore come segue:

grep error /usr/local/nginx/logs/error.log

L'output dovrebbe includere diversi messaggi di errore simili a:

2017/02/15 14:07:54 [error] 10776#0: [client 104.20.23.240] ModSecurity: Warning. detected XSS using libinjection. [file "/usr/local/nginx/conf/owasp-modsecurity-crs/rules/REQUEST-941-APPLICATION-ATTACK-XSS.conf"] [line "56"] [id "941100"] [rev "2"] [msg "XSS Attack Detected via libinjection"] [data "Matched Data:  found within ARGS:param: \x22><script>alert(1);</script>"] [severity "CRITICAL"] [ver "OWASP_CRS/3.0.0"] [maturity "1"] [accuracy "9"] [tag "application-multi"] [tag "language-multi"] [tag "platform-multi"] [tag "attack-xss"] [tag "OWASP_CRS/WEB_ATTACK/XSS"] [tag "WASCTC/WASC-8"] [tag "WASCTC/WASC-22"] [tag "OWASP_TOP_10/A3"] [tag "OWASP_AppSensor/IE1"] [tag "CAPEC-242"] [hostname ""] [uri "/index.html"] [unique_id "ATAcAcAkucAchGAcPLAcAcAY"]

Questo è tutto. Come vedi, il modulo ModSecurity ha registrato correttamente questo attacco in conformità con la sua politica di azione predefinita. Se si desidera effettuare ulteriori impostazioni personalizzate, si prega di rivedere attentamente, modificare /usr/local/nginx/conf/modsecurity.confe /usr/local/nginx/conf/owasp-modsecurity-crs/crs-setup.conffile.