ModSecurity入門

• トップ
• ModSecurity入門

• ModSecurityとは
• インストール
• 試してみる
• 監査ログ
• コンフィグファイル
• リンク

ModSecurityとは

• オープンソースのWAF(Web Application Firewall)です。
• XSS や SQLインジェクションなどの Web に対する攻撃を検知・防御します。
• Trastwave社が開発し、Apache License 2.0 で公開しています。
• ホスト型の WAF と呼ばれるもので、Webサーバにインストールします。
• Apache, Nginx, IIS などに組み込んで使用することができます。
• 攻撃パターンを定義する CRS(Core Rule Set)と組み合わせて使用します。
• CRS はOWASP(Open Web Application Security Project)が公開しています。
• CRS のライセンスも Apache License 2.0 です。
• 現時点(2020年4月)の最新版は 3.0.4 ですが、ここでは、CentOS にインストール可能な 2.x について説明します。

インストール

CentOS 7 に Apache 対応版の ModSecurity 2.9 をインストールする手順を下記に示します。

# yum install -y httpd
# yum install -y epel-release
# yum install -y mod_security mod_security_crs
# systemctl enable httpd
# systemctl start httpd

試してみる

下記の様な簡単なフォームから 「';」 を入力して送信してください。SQLインジェクション の疑いがあるとして、403 Forbidden エラーとなればテストは成功です。

<form method="POST" action="test_page.html">
  <input type="text" name="data">
  <button>OK</button>
</form>

監査ログ

監査ログは下記に記録されます。

• /var/log/httpd/modsec_audit.log

監査ログは、ひとつのトランザクションに対して A～Z のセクションが記録されます。SecAuditLogParts でどのセクションをロギングするかを制御できます。

Aセクション

監査ログのヘッダ情報。発生時刻や接続元IPアドレス情報などを含みます。

Bセクション

リクエストヘッダ。

Cセクション

リクエストボディ。

Dセクション

中間的なレスポンスヘッダ。ModSecurity によって変更される前のレスポンスヘッダだと思いますが、未実装です。

Eセクション

中間的なレスポンスボディ。ModSecurity によって変更される前のレスポンスボディだと思いますが、未実装です。

Fセクション

最終的なレスポンスヘッダ。

Gセクション

最終的なレスポンスボディ。未実装。

Hセクション

監査の要約情報。id にはルールID、msg にはルール名、severity には重要度が記録されます。

Iセクション

リクエストボディ。Cセクションとほぼ同様ですが、アップロードファイルの中身をロギングしない点が異なります。ただ、現状の実装では、C を指定しても、I を指定しても、ファイルの中身をロギングしない Cセクションが記録されるようです。

Jセクション

multipart/form-data で送信されるアップロードファイルに関する情報。

Kセクション

監査でマッチしたルール情報。

Zセクション

ひとつのトランザクションに関する監査ログの終了を示す。

コンフィグファイル

ModSecurity に関する設定ファイルは下記にあります。

• /etc/httpd/conf.d/mod_security.conf - ModSecurityの設定ファイル
• /etc/httpd/modsecurity.d/modsecurity_crs_10_config.conf - CRSの設定ファイル
• /etc/httpd/modsecurity.d/activated_rules/*.conf - CRS定義(アクティブなルール)
• /usr/lib/modsecurity.d/base_rules/*.conf - CRS定義(基本ルール)

主な設定項目は下記の通り。注意すべき項目に * をつけています。

SecRuleEngine*

ルールエンジンの動作を指定します。On は防御有効。Off は無効。DetectionOnly は検知(ロギング)のみを行います。デフォルトは On になっていますが、運用開始時は DetectionOnly で運用し、ログを見ながらルールの除外設定を行い、安定してから On にするのがお勧めです。

SecRequestBodyAccess

POST などのリクエストボディを解析するには On を指定します。

SecRule*

検証ルールを指定します。詳細は別途。

SecRequestBodyLimit*

検証するリクエストボディの最大バイト数を指定します。このサイズを超えるデータは POST やアップロードできなくなります。

SecRequestBodyNoFilesLimit

検証するリクエストボディの最大バイト数を指定します。ただし、ファイルアップロードには適用されません。

SecRequestBodyInMemoryLimit

オンメモリで検証するリクエストボディの最大バイト数を指定します。このサイズを超えるデータをアップロードする場合、/var/lib/mod_security/ に一時ファイルが作成されますのでパーミッションに注意してください。

SecRequestBodyLimitAction*

リクエストボディの最大バイト数を超えた場合の動作を指定します。Reject は破棄を、ProcessPartial は SecRequestBodyLimit で指定したサイズまでを検証し、残りはパスさせます。

SecPcreMatchLimit

PCRE正規表現の最大マッチング数を指定します。

SecPcreMatchLimitRecursion

PCRE正規表現の最大再帰数を指定します。

SecResponseBodyAccess

レスポンスボディの検証を行うかどうかを指定します。

SecDebugLog

デバッグログファイルを指定します。

SecDebugLogLevel

デバッグログの出力レベルを 0～9 の範囲で指定します。0 はロギングしません。

SecAuditEngine

監査ログエンジンを設定します。On はすべてをロギングする、Off はすべてロギングしない。RelevantOnly は warning、error、または SecAuditLogRelevantStatus で定義されたステータスコードにマッチする場合のみロギングします。

SecAuditLogRelevantStatus

監査ログに記録するステータスコードを指定します。"^(?:5|4(?!04))" は 5 または 4 で始まるコード(ただし 404 は除外する)を意味します。

SecAuditLogParts*

監査ログに記録するセクションを指定します。例えば ABIH は A(ヘッダ)、B(リクエストヘッダ)、I(リクエストボディ)、H(監査の要約情報)を記録することを意味します。

SecAuditLogType

監査ログの保存方法を指定します。Serial はひとつのファイルにシリアルに書き込みます。Concurrent はトランザクション毎に別々のファイルに書き込みます。

SecAuditLogStorageDir

SecAuditLogType に Concurrent を指定した際にログを保存するディレクトリを指定します。ログファイルは、YYYYMMDD/YYYYMMDD-HHMM/YYYYMMDD-HHMMSS-識別子 のファイル名で保存されます。ディレクトリのパーミッションに注意してください。

SecAuditLog

監査ログのファイル名を指定します。

SecArgumentSeparator

application/x-www-form-urlencoded で送信されるパラメータの区切り文字を指定します。

SecCookieFormat

Cookie形式のバージョンを指定します。通常は 0 で構いません。

SecTmpDir

バッファリングなどの一時ファイルを格納するディレクトリを指定します。ディレクトリのパーミッションに注意してください。

SecDataDir

IPアドレス情報やセッション情報などのデータを格納するディレクトリを指定します。

SecRuleRemoveById*

無視するルールのルールIDを指定します。監査ログ Hセクションに記録されるルールID を指定します。例えば、特定のページに対して特定のルールを除外したい時は、下記の様に指定します。

/etc/httpd/conf.d/mod_security.conf

<LocationMatch "/login">
  SetRuleRemoveById 960024 981318 
</LocationMatch>

リンク

• ModSecurity - Home
• ModSecurity - Reference Manual
• OWASP (Open Web Application Security Project)
• CRS(Core Rule Set)