{"id":294,"date":"2022-12-20T13:41:18","date_gmt":"2022-12-20T12:41:18","guid":{"rendered":"http:\/\/www.tippex.net\/?p=294"},"modified":"2022-12-20T13:43:22","modified_gmt":"2022-12-20T12:43:22","slug":"apache2-absichern-mit-mod_security","status":"publish","type":"post","link":"https:\/\/www.tippex.net\/?p=294","title":{"rendered":"Apache2 absichern mit mod_security"},"content":{"rendered":"\n

In der heutigen Zeit tummeln sich immer mehr Gefahren im Netz. Die Zahl der Hackerangriffe steigt stetig, daher ist es um so wichtiger, geeignete Ma\u00dfnahmen zu ergreifen, um dem entgegenzuwirken. Wer einen eigenen Webserver betreibt kommt nicht umher, sich um eine vern\u00fcnftige Absicherung zu k\u00fcmmern. Diese Absicherung f\u00e4ngt schon auf Betriebssystemebene an, auf der durch sinnvolle Iptables Filter nur gewollte Dienste erreichbar sind, oder via Geoblocking mittels z.B. xtables Addon<\/a> b\u00f6se Buben aus gewissen Teil der Welt ausgesperrt werden. F\u00fcr monet\u00e4r betriebene Webpr\u00e4senzen kann ein zus\u00e4tzlicher Schutz mithilfe einer vorgeschalteten Firewall-Appliance und IDS\/IPS n\u00f6tig sein. Ein absolut wichtiger Faktor ist ebenfalls, immer schnell die aktuellen Updates einzuspielen. Wer privat unterwegs ist, der kann, wenn er Ubuntu im Einsatz hat, auf die Ubuntu Pro Variante zur\u00fcckgreifen. Diese ist f\u00fcr bis zu 5 PCs kostenlos und erh\u00f6ht die Sicherheit auf Betriebssystemebene nochmals. Wie da zu bewerkstelligen ist habe ich in einem vorherigen Artikel<\/a> bereits erl\u00e4utert.<\/p>\n\n\n\n

In diese Artikel zeige ich euch, wie ihr auf einer vorhanden Apache2 Installation mod_security installiert und aktiviert.<\/p>\n\n\n\n

Mod_security ist eine sog. Web Application Firewall, welche sich zwischen dem anfragenden Client und dem Webserver schaltet und den Traffic auf bekannte Muster und Kommandos scannt. Wird etwas verd\u00e4chtiges erkannt, dann wird die Anfrage komplett geblockt und der Client erh\u00e4lt lediglich eine 403 Meldung „Permission denied“. Unter Ubuntu 22.04 ist mod_security bereits als Paket im Repository vorhanden. Erkennt mod_security <\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Auf meinem Testsystem ist es bereits installiert. Falls es bei euch noch fehlt, dann k\u00f6nnt ihr mit folgendem Befehl die Installation durchf\u00fchren.<\/p>\n\n\n\n

apt install libapache2-mod-security2<\/code><\/pre>\n\n\n\n
Apache2 listet alle Module unter \/etc\/apache2\/mods-available\/ auf<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Das Modul muss noch aktiviert werden. Dies erreichen wir mit nachfolgendem Befehl<\/p>\n\n\n\n
a2enmod security2<\/code><\/pre>\n\n\n\n
In dieser Grundkonfiguration ist aber noch kein Schutz vorhanden. Als erstes muss noch die Konfigurationsdatei erstellt werden. Dazu kopiert man „\/etc\/modsecurity\/modsecurity.conf-recommended“ nach „\/etc\/modsecurity\/modsecurity.conf“<\/p>\n\n\n\n
In der Grundeinstellung werden Anfragen auch nicht geblockt, sondern nur geloggt. Dies reicht f\u00fcr einen wirksamen Schutz nat\u00fcrlich nicht aus. Um dies zu \u00e4ndern gehen wir in der „\/etc\/modsecurity\/modsecurity.conf“ zum Abschnitt „SecRuleEngine“ und stellen den Wert auf „On“<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Danach muss der Apache noch neu gestartet werden<\/p>\n\n\n\n
systemctl restart apache2<\/code><\/pre>\n\n\n\n
Um zu sehen, welche Anfragen geblockt werden, k\u00f6nnt ihr folgenden Befehl nutzen.<\/p>\n\n\n\n
grep ModSecurity \/var\/log\/apache2\/error.log | grep \"\\[id\" | sed -E -e 's#^.*\\[id \"([0-9]*).*hostname \"([a-z0-9\\-\\_\\.]*)\"].*uri \"(.*?)\".*\"#\\1 \\2 \\3#' | cut -d\\\" -f1 | sort -n | uniq -c | sort -n<\/code><\/pre>\n\n\n\n
Auf meinem Produktivsystem sieht das Ergebnis z.B so aus:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
In der ersten Spalte steht die H\u00e4ufigkeit, also wie oft ein spezifisches Event getriggert wurde. Die 2. Spalte zeigt euch die eindeutige ID und dahinter steht, was den Eintrag verursacht hat.<\/p>\n\n\n\n
Nun kommt es immer wieder vor, das mod_security Falscherkennungen durchf\u00fchrt, sog. false\/positives,also Blockierung, die legitimen Traffic aussperren. Die kommt leider immer wieder vor, daher ist es wichtig, dies zu erkennen und einen Weg zu finden, damit umzugehen.<\/p>\n\n\n\n
Sofern wir geblockten Inhalt einer spezifischen ID zuordnen k\u00f6nnen, ist es ohne weiteres m\u00f6glich, diese ID f\u00fcr zuk\u00fcnftige Scans zu sperren. Auf meinem System kam es leider in der Grundkonfiguration vor, dass gewisse Dinge bzw. Anfragen \u00fcber das Backend blockiert wurden und ich somit nicht in der Lage war, gewisse administrative Aufgaben durchzuf\u00fchren.<\/p>\n\n\n\n
In der Datei „\/etc\/modsecurity\/crs\/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf“ lassen sich Ausnahmen definieren. Folgender Eintrag f\u00fchrt z.B. dazu, dass innerhalb einer ganzen Webpr\u00e4senz mehrere IDs ausgeschlossen werden.<\/p>\n\n\n\n
<LocationMatch '^\/'>\nSecRuleRemoveById 941100,941160,942350,949110,980130\n<\/LocationMatch>\n<\/code><\/pre>\n\n\n\n
Es l\u00e4sst sich auch eine einzige IP Adresse whitelisten.<\/p>\n\n\n\n
SecRule REMOTE_ADDR \"@ipMatch 10.0.0.8\" \\\n     \"id:1000,\\\n     phase:1,\\\n     pass,\\\n     nolog,\\\n     ctl:ruleEngine=Off\"\n<\/code><\/pre>\n\n\n\n
Im obigen Beispiel werden Anfragen von 10.0.0.8 gar nicht geblockt. Dies kann in bestimmten Szenarien sinnvoll sein. Man sollte aber vorsichtig mit solchen weitreichende Ausnahmen sein und besser dediziert filtern.<\/p>\n\n\n\n
Es existieren nat\u00fcrlich noch zahlreiche weitere M\u00f6glichkeiten, mod_security granularer anzupassen bzw. zu konfigurieren. Auf Github <\/a>findet man weitere Infos.<\/p>\n\n\n\n
Abschlie\u00dfend m\u00f6chte ich euch noch daf\u00fcr sensibilisieren, bei ungew\u00f6hnlichen Fehlern auf der Webseite, die ihr entweder selbst merkt, oder die durch Besucher gemeldet werden, auch an mod_security als Verursacher zu denken. H\u00e4ufig vergisst man im Eifer des Gefechts, dass bei WordPress oder \u00e4hnlichem nicht nur das z.B. Plugin ein Problem verursacht, sondern mod_security der „\u00dcbelt\u00e4ter“ sein k\u00f6nnte.<\/p>\n\n\n\n
Nun viel Erfolg bei der Umsetzung!<\/p>\n","protected":false},"excerpt":{"rendered":"
In der heutigen Zeit tummeln sich immer mehr Gefahren im Netz. Die Zahl der Hackerangriffe steigt stetig, daher ist es um so wichtiger, geeignete Ma\u00dfnahmen zu ergreifen, um dem entgegenzuwirken. Wer einen eigenen Webserver betreibt kommt nicht umher, sich um eine vern\u00fcnftige Absicherung zu k\u00fcmmern. Diese Absicherung f\u00e4ngt schon auf Betriebssystemebene an, auf der durch […]<\/p>\n","protected":false},"author":1,"featured_media":49,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[8,17],"tags":[32,30,31],"class_list":["post-294","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-linux","category-security","tag-absichern","tag-apache2","tag-modsecurity","wpbf-post"],"_links":{"self":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts\/294","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=294"}],"version-history":[{"count":15,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts\/294\/revisions"}],"predecessor-version":[{"id":314,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/posts\/294\/revisions\/314"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=\/wp\/v2\/media\/49"}],"wp:attachment":[{"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=294"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=294"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.tippex.net\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=294"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}