Coraza WAF via SPOE - Versionsgeschichte

Thomas.will: /* HAProxy Konfiguration erweitern */

2026-05-23T17:21:32Z

HAProxy Konfiguration erweitern

Thomas.will: /* HAProxy Konfiguration erweitern */

2026-05-23T17:21:07Z

HAProxy Konfiguration erweitern

Thomas.will am 23. Mai 2026 um 17:17 Uhr

2026-05-23T17:17:07Z

Thomas.will am 23. Mai 2026 um 15:28 Uhr

2026-05-23T15:28:11Z

Änderungen zeigen

Thomas.will: /* Schaubild */

2026-05-23T13:55:34Z

Schaubild

Thomas.will am 23. Mai 2026 um 13:54 Uhr

2026-05-23T13:54:24Z

Thomas.will: Die Seite wurde neu angelegt: „===Was ist das?=== Coraza ist eine moderne WAF-Engine (Go), die das OWASP Core Rule Set (CRS) ausführt. Die Integration in HAProxy erfolgt über SPOE – dens…“

2026-05-23T13:32:26Z

Die Seite wurde neu angelegt: „===Was ist das?=== Coraza ist eine moderne WAF-Engine (Go), die das OWASP Core Rule Set (CRS) ausführt. Die Integration in HAProxy erfolgt über SPOE – dens…“

Neue Seite

===Was ist das?===
Coraza ist eine moderne WAF-Engine (Go), die das OWASP Core Rule Set (CRS) ausführt. Die Integration in HAProxy erfolgt über SPOE – denselben Mechanismus wie bei CrowdSec.

;Hinweis: Dieses Modul hat den höchsten Einrichtungsaufwand und eignet sich für fortgeschrittene Kurse oder als Demonstrationsobjekt.

===Installation des SPOE-Agents===

<syntaxhighlight lang="bash">
apt install golang git

git clone https://github.com/corazawaf/coraza-spoa.git /opt/coraza-spoa
cd /opt/coraza-spoa
go build -o coraza-spoa ./...
cp coraza-spoa /usr/local/bin/
</syntaxhighlight>

===OWASP Core Rule Set herunterladen===

<syntaxhighlight lang="bash">
mkdir -p /etc/coraza/crs
git clone https://github.com/coreruleset/coreruleset.git /etc/coraza/crs
cp /etc/coraza/crs/crs-setup.conf.example /etc/coraza/crs/crs-setup.conf
</syntaxhighlight>

===Coraza-Konfiguration===

*nano /etc/coraza/coraza.conf

<syntaxhighlight lang="text">
Include /etc/coraza/crs/crs-setup.conf
Include /etc/coraza/crs/rules/*.conf

SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess On
SecAuditLog /var/log/coraza/audit.log
SecAuditLogType Serial
SecAuditEngine RelevantOnly
</syntaxhighlight>

*mkdir -p /var/log/coraza

===SPOE-Agent als Systemd-Service===

*nano /etc/systemd/system/coraza-spoa.service

<syntaxhighlight lang="text">
[Unit]
Description=Coraza SPOA for HAProxy
After=network.target

[Service]
ExecStart=/usr/local/bin/coraza-spoa -config /etc/coraza/coraza.conf
Restart=on-failure
User=haproxy

[Install]
WantedBy=multi-user.target
</syntaxhighlight>

<syntaxhighlight lang="bash">
systemctl daemon-reload
systemctl enable --now coraza-spoa
</syntaxhighlight>

===SPOE-Konfiguration für HAProxy===

*nano /etc/haproxy/spoe-coraza.conf

<syntaxhighlight lang="text">
[config]
spoe-agent coraza
messages coraza-req
option var-prefix coraza
timeout hello 100ms
timeout idle 30s
timeout processing 500ms
use-backend coraza_backend

spoe-message coraza-req
args src method=method path=path query=query ver=req.ver hdrs_bin=req.hdrs.bin body_size=req.body_size body=req.body
event on-frontend-http-request
</syntaxhighlight>

===HAProxy Konfiguration erweitern===

Im <code>frontend ft_https</code> ergänzen:

<syntaxhighlight lang="text">
frontend ft_https
# ... bestehende Einträge ...
filter spoe engine coraza config /etc/haproxy/spoe-coraza.conf
http-request deny deny_status 403 if { var(txn.coraza.action) -m str "deny" }
</syntaxhighlight>

Backend für den Coraza-Agent hinzufügen:

<syntaxhighlight lang="text">
backend coraza_backend
server coraza 127.0.0.1:9000
</syntaxhighlight>

===Konfiguration testen und neu laden===

*haproxy -c -f /etc/haproxy/haproxy.cfg
*systemctl reload haproxy

===Test===

Klassischer WAF-Test mit einem OWASP-typischen Angriff (SQL Injection):

*curl -vk "https://revproxy.it2XX.int/?id=1'+OR+'1'='1"

Erwartet: HTTP 403

XSS-Test:

*curl -vk "https://revproxy.it2XX.int/?q=<script>alert(1)</script>"

Erwartet: HTTP 403

Audit-Log beobachten:

*tail -f /var/log/coraza/audit.log

@@ Zeile 108: / Zeile 108: @@
 Im <code>frontend ft_https</code> ergänzen:
-<pre>
-frontend ft_https
+ frontend ft_https
-    <span style="color:#60a5fa">bind 10.88.2XX.41:443 ssl crt /etc/haproxy/ssl/revproxy.pem alpn http/1.1</span>
+     <span style="color:#60a5fa">bind 10.88.2XX.41:443 ssl crt /etc/haproxy/ssl/revproxy.pem alpn http/1.1</span>
-    # ... bestehende Einträge ...
+     # ... bestehende Einträge ...
-    <span style="color:#a855f7">filter spoe engine coraza config /etc/haproxy/coraza.cfg</span>
+     <span style="color:#a855f7">filter spoe engine coraza config /etc/haproxy/coraza.cfg</span>
-    <span style="color:#a855f7">http-request deny deny_status 403 if { var(txn.coraza.action) -m str deny }</span>
+     <span style="color:#a855f7">http-request deny deny_status 403 if { var(txn.coraza.action) -m str deny }</span>
 Backend für den Coraza-SPOA hinzufügen:
-<pre>
+ <span style="color:#a855f7">backend coraza-spoa</span>
-<span style="color:#a855f7">backend coraza-spoa</span>
+     <span style="color:#a855f7">mode tcp</span>
-    <span style="color:#a855f7">mode tcp</span>
+     <span style="color:#a855f7">server coraza 127.0.0.1:9000</span>

@@ Zeile 108: / Zeile 108: @@
 Im <code>frontend ft_https</code> ergänzen:
-<syntaxhighlight lang="text">
+<pre>
 frontend ft_https
-     bind 10.88.2XX.41:443 ssl crt /etc/haproxy/ssl/revproxy.pem alpn http/1.1
+     <span style="color:#60a5fa">bind 10.88.2XX.41:443 ssl crt /etc/haproxy/ssl/revproxy.pem alpn http/1.1</span>
      # ... bestehende Einträge ...
-     filter spoe engine coraza config /etc/haproxy/coraza.cfg
+     <span style="color:#a855f7">filter spoe engine coraza config /etc/haproxy/coraza.cfg</span>
-     http-request deny deny_status 403 if { var(txn.coraza.action) -m str deny }
+     <span style="color:#a855f7">http-request deny deny_status 403 if { var(txn.coraza.action) -m str deny }</span>
-</syntaxhighlight>
+</pre>
 Backend für den Coraza-SPOA hinzufügen:
-<syntaxhighlight lang="text">
+<pre>
-backend coraza-spoa
+<span style="color:#a855f7">backend coraza-spoa</span>
-     mode tcp
+     <span style="color:#a855f7">mode tcp</span>
-     server coraza 127.0.0.1:9000
+     <span style="color:#a855f7">server coraza 127.0.0.1:9000</span>
-</syntaxhighlight>
+</pre>
 ;Wichtig: <code>mode tcp</code> ist zwingend – ohne das schlägt der Config-Check fehl. <code>alpn http/1.1</code> in der bind-Zeile ist erforderlich damit HAProxy eigene Fehlerseiten ausliefert.

@@ Zeile 6: / Zeile 6: @@
 ===Installation des SPOE-Agents===
 <syntaxhighlight lang="bash">
 apt install -y golang-go git
@@ Zeile 14: / Zeile 16: @@
 </syntaxhighlight>
-;Hinweis: <code>go build -o /usr/local/bin/coraza-spoa .</code> – nur das Hauptpackage, Binary direkt ans Ziel. <code>./...</code> funktioniert hier nicht da das Repo mehrere Packages enthält.
+;Hinweis: <code>./...</code> funktioniert hier nicht, da das Repo mehrere Packages enthält. Das Binary landet direkt unter <code>/usr/local/bin/</code> – kein separater <code>cp</code>-Schritt nötig.
 ===Coraza-Konfiguration===
-Das Verzeichnis und die YAML-Konfigurationsdatei anlegen:
+Die Konfiguration erfolgt als YAML-Datei. Die OWASP-Regeln (<code>@owasp_crs/</code>) sind im Binary eingebaut – ein separater CRS-Clone ist nicht nötig.
 *mkdir -p /etc/coraza-spoa
 *mkdir -p /var/log/coraza
 *chown haproxy:haproxy /var/log/coraza
 *nano /etc/coraza-spoa/coraza-spoa.yaml
@@ Zeile 50: / Zeile 53: @@
 </syntaxhighlight>
-;Hinweis: Die OWASP-Regeln (<code>@owasp_crs/</code>, <code>@coraza.conf-recommended</code>) sind im Binary eingebaut – kein separater CRS-Clone nötig.
+;Hinweis: <code>chown</code> und <code>chmod</code> sind zwingend – coraza-spoa läuft als User <code>haproxy</code> und benötigt Schreibrecht auf das Log-Verzeichnis.
 ===SPOE-Agent als Systemd-Service===
 *nano /etc/systemd/system/coraza-spoa.service
@@ Zeile 75: / Zeile 80: @@
 ===SPOE-Konfiguration für HAProxy===
 *nano /etc/haproxy/coraza.cfg
@@ Zeile 97: / Zeile 104: @@
 ===HAProxy Konfiguration erweitern===
 Im <code>frontend ft_https</code> ergänzen:
 <syntaxhighlight lang="text">
 frontend ft_https
      # ... bestehende Einträge ...
      filter spoe engine coraza config /etc/haproxy/coraza.cfg
-     http-request deny deny_status 403 hdr waf-block "request" if { var(txn.coraza.action) -m str deny }
+     http-request deny deny_status 403 if { var(txn.coraza.action) -m str deny }
 </syntaxhighlight>
@@ Zeile 114: / Zeile 124: @@
 </syntaxhighlight>
-;Wichtig: <code>mode tcp</code> ist zwingend – ohne das schlägt der Config-Check fehl.
+;Wichtig: <code>mode tcp</code> ist zwingend – ohne das schlägt der Config-Check fehl. <code>alpn http/1.1</code> in der bind-Zeile ist erforderlich damit HAProxy eigene Fehlerseiten ausliefert.
 ===Konfiguration testen und neu laden===

@@ Zeile 2: / Zeile 2: @@
 Coraza ist eine moderne WAF-Engine (Go), die das OWASP Core Rule Set (CRS) ausführt. Die Integration in HAProxy erfolgt über SPOE – denselben Mechanismus wie bei CrowdSec.
 ===Schaubild===
-{{#Coraza WAF}}
+{{#drawio:Coraza WAF}}
 ===Installation des SPOE-Agents===