Одминский блог

Прикручиваем ModSecurity к Nginx под ISP Manager

В ключе той задачи с php7.3 о которой я писал ранее, была также необходимость прикрутить к nginx mod_security.

Вкратце это брандмауэр для Web-приложений (он же Web Application Firewall или кратенько WAF), защищающий наш веб-сервер от различных атак и подсовывается веб-серверу на стадии сборки. Но у нас уже был установлен nginx, что несколько добавляло беспокойства.

Итак, смотрим какой у нас nginx и, главное, как он собран:
# nginx -V
nginx version: nginx/1.13
built by gcc 4.8.5 20150623 (Red Hat 4.8.5-39) (GCC)
built with OpenSSL 1.0.2k-fips  26 Jan 2017
TLS SNI support enabled
configure arguments: –prefix=/etc/nginx –sbin-path=/usr/sbin/nginx ….

версию поставил на шару, но с ISP по дефолту идет какая то старенькая. В конфиге там есессно огромное выражение с кучей ключей, т.ч я оставил основные для понимания что там будет в выводе.

Обновляем систему и доставляем всякие разные нужные опочки:
# yum -y update
# yum groupinstall -y “Development Tools”
# yum install -y pcre pcre-devel libxml2 libxml2-devel curl curl-devel openssl openssl-devel

Собираем сам ModSecurity
# cd /usr/src/
# git clone -b nginx_refactoring https://github.com/SpiderLabs/ModSecurity.git
# cd ModSecurity
# sed -i ‘/AC_PROG_CC/a\AM_PROG_CC_C_O’ configure.ac
# sed -i ’1 i\AUTOMAKE_OPTIONS = subdir-objects’ Makefile.am
# ./autogen.sh
# ./configure CFLAGS=”-fPIC” –enable-standalone-module –disable-mlogc
# make && make install

Вытягиваем nginx поновее и запускаем его сборку, добавив в конце модсек
# cd /usr/src/
# wget https://nginx.org/download/nginx-1.17.3.tar.gz
# tar -xzvf nginx-1.17.3.tar.gz
# cd nginx-1.17.3
# ./configure –prefix=/etc/nginx –sbin-path=/usr/sbin/nginx ….. –add-module=/usr/src/ModSecurity/nginx/modsecurity
# make && make install

копируем конф модсека в папку к апачу
# cp /usr/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsecurity.conf
и добавляем в конфг нашего виртуального сайта /etc/nginx/vhosts/www-user/site.ru.conf
две строчки в раздел location / {
                ModSecurityEnabled on;
                ModSecurityConfig /etc/nginx/modsecurity.conf;

После этого можем открыть конфиг modsecurity.conf и поменяем дефолтную директиву обучения SecRuleEngine DetectionOnly стоящую в начале файла на SecRuleEngine On. Но лучше для начала оставить как есть.

Также в файле можно поменять кучу всяких разных настроек, но не о них речь, т.к тогда придется писать огромный трактат. В том числе и по конфигам правил, которые можно подключать дополнительно.

Опционно можно также прикрутить перловую консольку ModSecurity Console для визуализации отчетов.

Теперь рестартим нжинкс и веруем в то, что наш сайт теперь защищен более чем до этого.