ModSecurity概述
ModSecurity是Apache/Nginx等Web服务器的开源Web应用防火墙（WAF）模块，通过实时监控、过滤HTTP请求，有效防范SQL注入、XSS跨站脚本、文件包含、命令执行等常见Web攻击，其核心优势在于基于规则集的灵活防护，支持自定义规则，并能与OWASP ModSecurity Core Rule Set（CRS）集成，提供企业级安全防护能力，本文将详细介绍Apache环境下ModSecurity的安装、启用及配置方法，涵盖环境准备、编译安装、规则配置及测试验证等关键环节。
环境准备
在安装ModSecurity前，需确保系统环境满足以下要求：
编译安装ModSecurity
编译ModSecurity库
ModSecurity分为核心库（libmodsecurity）和Apache模块（mod_security）两部分，需先编译核心库：
./build.sh./configuremakemake install
编译完成后，核心库默认安装至
/usr/local/lib/
，头文件位于
/usr/local/include/modsecurity/
。
编译Apache模块
进入Apache源码目录（若未安装Apache源码，需先下载对应版本源码），加载ModSecurity模块：
cd /path/to/httpd-2.4.x./configure --enable-mods-shared=all --enable-securitymakemake install
或通过工具独立编译模块（需确保路径正确）：
cd /usr/local/src/modsecurity-v3.0.4./configure --with-apxs=/usr/local/apache2/bin/apxsmakemake install
验证模块安装
安装完成后，检查Apache配置文件中是否加载ModSecurity模块：
httpd -M | grep security
若输出
security_module (shared)
，则表示模块加载成功。
启用ModSecurity配置
创建主配置文件
ModSecurity主配置文件通常为
/etc/httpd/conf.d/modsecurity.conf
（centos）或
/etc/apache2/mods-enabled/modsecurity.conf
（Ubuntu），在文件中添加以下内容：
# 启用ModSecuritySecRuleEngine On# 设置日志模式（与日志格式配合使用）SecAuditEngine RelevantOnlySecAuditLogtype SerialSecAuditLog /var/log/httpd/modsec_audit.log# 设置临时文件目录SecTmpDir /tmp/modsecuritySecDataDir /tmp/modsecurity/data# 启用HTML错误页面（可选）SecResponseBodyAccess OnSecResponseBodyMimeType text/plainSecResponseBodyLimit 524288
配置日志格式
为便于分析，建议在
httpd.conf
中自定义日志格式：
LogFormat "%{modsecurity}a %h %l %u %t "%r" %>s %b "%{Referer}i" "%{User-Agent}i"" modsec_combinedCustomLog /var/log/httpd/access_log modsec_combined
加载规则集
ModSecurity的核心防护能力依赖于规则集，推荐使用OWASP CRS，可通过以下步骤安装：
cd /etc/httpd/git clonecoreruleset/modsecurity.conf .mv coreruleset/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.confmv coreruleset/RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf
在
modsecurity.conf
中引入CRS规则：
Include /etc/httpd/modsecurity.confInclude /etc/httpd/owasp_crs/*.conf
自定义规则配置
基础规则示例
在
/etc/httpd/conf.d/custom_rules.conf
中添加自定义规则，
# 阻止SQL注入攻击SecRule ARGS "@detectSQLi" "id:1001,phase:2,block,msg:'SQL Injection Attempt'"# 阻止文件包含攻击SecRule ARGS "@contains union" "id:1002,phase:2,block,msg:'Potential File Inclusion'"# 允许特定IP访问（可选）SecRule REMOTE_ADDR "@ipMatch 192.168.1.0/24" "id:1003,phase:1,allow,msg:'Trusted IP'"
规则调试与排除
若规则误报严重，可通过
SecRuleRemoveById
移除特定规则ID：
SecRuleRemoveById 942100# 移除OWASP CRS中的某条XSS规则
或使用的和参数调整规则执行顺序。
性能优化建议
测试与验证
功能测试
使用或浏览器发送包含攻击特征的请求，验证ModSecurity是否拦截。
curl "http://localhost/index.php?id=1' OR '1'='1"
若配置正常，应返回
403 Forbidden
，并在
/var/log/httpd/modsec_audit.log
中记录审计日志。
日志分析
通过
modsec_audit.log
查看拦截详情，关键字段包括：
性能测试
使用（Apache Benchmark）工具测试启用ModSecurity前后的QPS变化，确保性能影响在可接受范围内：
ab -n 10000 -c 100常见问题与解决方案
ModSecurity作为Apache下强大的WAF解决方案，通过合理的安装配置与规则管理，可显著提升Web应用的安全性，本文从环境准备到编译安装，从规则配置到测试验证，详细介绍了ModSecurity的部署流程，实际应用中，需结合业务需求调整规则集，平衡安全性与性能，并定期维护更新规则，以应对不断演变的网络威胁，通过ModSecurity的深度防护，企业可有效降低Web应用安全风险,保障业务连续性。
发表评论