WIKI

V současné době, kdy se počet webových útoků neustále zvyšuje, je zabezpečení webových aplikací kritickou součástí jejich vývoje a provozu. Jedním z efektivních řešení pro zvýšení bezpečnosti webových aplikací je implementace webového aplikačního firewallu (WAF), jakým je ModSecurity, ve spojení s OWASP Core Rule Set (CRS). Tento článek se zaměřuje na konkrétní kroky konfigurace ModSecurity a OWASP CRS na operačním systému Debian, aby byla webová aplikace chráněna před širokou škálou webových útoků.

Instalace a konfigurace ModSecurity

1. Instalace ModSecurity

Na Debianu může být ModSecurity instalován pomocí balíčkovacího systému apt. Nejprve otevřete terminál a aktualizujte seznam dostupných balíčků a nainstalujte ModSecurity následujícím příkazem:

sudo apt-get update
sudo apt-get install libapache2-mod-security2

Po instalaci je ModSecurity ve výchozím stavu v pasivním režimu, což znamená, že neblokuje žádné požadavky, ale pouze loguje potenciální hrozby.

2. Přechod do aktivního režimu

Pro přechod do aktivního režimu je nutné upravit konfigurační soubor ModSecurity. Tento soubor obvykle najdete na cestě /etc/modsecurity/modsecurity.conf. Otevřete tento soubor v textovém editoru a změňte hodnotu SecRuleEngine z DetectionOnly na On, což aktivuje blokování detekovaných hrozeb.

Konfigurace OWASP Core Rule Set

OWASP Core Rule Set (CRS) je sada pravidel pro ModSecurity, která poskytuje ochranu proti mnoha běžným webovým útokům, jako je SQL injection, cross-site scripting (XSS) a mnoho dalších.

1. Stažení a instalace OWASP CRS

OWASP CRS můžete stáhnout a nainstalovat následujícím příkazem:

cd /etc/modsecurity
sudo git clone https://github.com/coreruleset/coreruleset.git
sudo mv coreruleset owasp-modsecurity-crs
cd owasp-modsecurity-crs
sudo cp crs-setup.conf.example crs-setup.conf

2. Aktivace OWASP CRS v ModSecurity

Pro aktivaci OWASP CRS je nutné upravit konfigurační soubor Apache nebo Nginx, aby byl zahrnut cestu k OWASP CRS. Příklad pro Apache:

sudo nano /etc/apache2/mods-enabled/security2.conf

V tomto souboru přidejte následující řádky, aby byla nastavena cesta k OWASP CRS a byla zahrnuta pravidla:

IncludeOptional /etc/modsecurity/owasp-modsecurity-crs/crs-setup.conf
IncludeOptional /etc/modsecurity/owasp-modsecurity-crs/rules/*.conf

Po provedení těchto změn restartujte Apache nebo Nginx pro aplikaci nové konfigurace:

sudo systemctl restart apache2

nebo pro Nginx:

sudo systemctl restart nginx

Doporučení a nejlepší praktiky

Při konfiguraci ModSecurity a OWASP CRS je důležité pravidelně monitorovat logy a přizpůsobovat pravidla specifickým potřebám vaší aplikace, aby bylo dosaženo optimální rovnováhy mezi bezpečností a funkčností. Důrazně se doporučuje provádět testování zabezpečení a pravidelně aktualizovat pravidla OWASP CRS, aby byla zajištěna ochrana proti nejnovějším hrozbám.