yum install mod_security mod_security_crs

• On: The rules are enforced and connections will be terminated when matching rules are found.
• Detect Only: The rules are enforced and connections will be logged when matching rules are found. Not traffic will be dropped.
• Off: Rules are not enforced.

sección A: cabecera del registro de auditoría

sección B: cabecera de la petición

sección C: cuerpo de la petición

sección D: reservado

sección E: cuerpo de la respuesta intermedia

sección F: cabecera de la respuesta final

sección G: reservada

sección H: tráiler del registro de auditoría

sección I: alternativa al cuerpo compacto de la solicitud, que excluye los archivos

sección J: información sobre los archivos cargados

sección K: todas las reglas coincidentes con un evento, por orden de coincidencia

sección Z: límite final

Si tienes un sitio web con mucho tráfico, el log de auditoría de ModSecurity puede volverse demasiado grande muy rápidamente, por lo que necesitamos configurar la rotación de logs para el log de auditoría de ModSecurity. Crea un fichero de configuración logrotate para ModSecurity.

sudo nano /etc/logrotate.d/modsecurity

Añada las siguientes líneas a este fichero.

/var/log/httpd/modsec_audit.log
{
        rotate 10
        daily
        missingok
        compress
        delaycompress
        notifempty
}

Esto rotará el archivo de registro cada día (daily), comprimiendo las versiones antiguas (compress). Los 10 archivos de registro anteriores se mantendrán (rotate 10), y no se producirá ninguna rotación si el archivo está vacío (notifempty). 

<IfModule mod_security2.c>
SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess On
SecResponseBodyMimeType text/plain text/html text/xml application/octet-stream
SecDataDir /tmp
</IfModule>

• SecRuleEngine

  • on aplica las reglas a las solicitudes recibidas

  • off no aplica las reglas

  • DetectionOnly aplica las reglas pero no realiza ningún tipo de acción de bloque. Es la configuración aconsejada cuando se instala el modulo. Solamente después de probar el servidor y tener la certeza que todo funciona bien, se puede cambiar a on

• SecRequestBodyAccess

  • on el modulo tiene acceso a los anexos presentes en las solicitudes recibidas, que, como dijimos anteriormente, son las que se utilizan para lanzar ataques

  • off no se accede a los anexos

• SecRule es el parámetro que se puede repetir más de una vez en el archivo y es donde se definen las reglas generales del modulo. El parámetro tiene la siguiente sintaxis:

  • variable

  • operator

  • action

  • ejemplo: en el archivo la primera vez que aparece es para permitir parsear los anexos XML

• SecRequestBodyLimit: el tamaño máximo de un anexo que mod_security aceptará en el área de trabajo. El valor es en byte y el predefinido es 13107200 que corresponde a 12,5 MByte. Si llega alguna solicitud con un anexo de tamaño más grande, el servidor web contestará con el siguiente mensaje de error: 413 Request Entity Too Large. Limite máximo intrínseco al modulo: 1 GB

• SecRequestBodyNoFilesLimit: el tamaño máximo de una anexo que mod_security aceptará cuando no se trata de un archivo. El valor predefinido corresponde a 128KBytes

• SecRequestBodyInMemoryLimit: el tamaño máximo de una anexo que mod_security aceptará en la memoria de trabajo. El valor predefinido corresponde a 128 KBytes

• SecRequestBodyLimitAction: controla que tipo de acción se toma cuando llega una solicitud con un anexo de tamaño más grande al definido en el parámetro SecRequestBodyLimit:

  • reject: se rechaza

  • ProcessPartial: se procesa parcialmente hasta llegan al tamaño máximo definido. IMPORTANTE: si SecRuleEngine = DetectionOnly el valor de este parámetro se configurará automáticamente en ProcessPartial

• SecResponseBodyAccess: se define si los anexos presentes en las repuestas (no en las solicitudes) se aceptarán en el área de trabajo de mod_security.

  • On: activo

  • Off: no activo

• SecResponseBodyMimeType: que tipo de anexo de las respuestas se analizarán si el parámetro anterior está en On:

  • text/plain: texto plano

  • text/html: formato HTML

  • text/xml: formato XML

• SecResponseBodyLimit: tamaño maximo aceptado para el anexo presente en una respuesta; valor predefinido 524288 correspondiente a 512KBytes

• SecResponseBodyLimitAction: acción que se tomará si el tamaño del anexo de la respuesta supera el valor presente en el parametro anterior

  • Reject: se rechaza

  • ProcessPartial: se procesa parcialmente hasta llegan al tamaño máximo definido

• SecTmpDir: carpeta donde mod_security guardará los archivos temporales

  • /tmp/

• SecDataDir: carpeta donde mod_security guardará los archivos persistentes

  • /tmp/

• SecDebugLog: carpeta y archivo donde se guardará el debug del programa

  • /var/log/modsecurity/debug.log

• SecDebugLogLevel

  • 0: LOG desactivado

  • 1: errores

  • 2: Advertencias

  • 3: noticias

  • 4: detalles de como las transacciones se han procesado

  • 5: como la anterior añadiendo más datos de las transacciones

  • 9: cualquier tipo de operación realizada por el modulo

• SecAuditEngine RelevantOnly

• SecAuditLogParts ABIJDEFHZ

• SecAuditLogType Serial

• SecAuditLog /var/log/modsecurity/audit.log

wget https://github.com/coreruleset/coreruleset/archive/refs/tags/v3.3.5.tar.gz

tar xvf v3.3.5.tar.gz

sudo mkdir /etc/apache2/modsecurity-crs/

sudo mv coreruleset-3.3.5/ /etc/apache2/modsecurity-crs/

cd /etc/apache2/modsecurity-crs/coreruleset-3.3.5/

sudo mv crs-setup.conf.example crs-setup.conf

sudo nano /etc/apache2/mods-enabled/security2.conf

IncludeOptional /usr/share/modsecurity-crs/*.load

Encadenamiento de reglas