Thomas.will am 5. September 2025 um 07:13 Uhr

2025-09-05T07:13:31Z

Thomas.will: Die Seite wurde neu angelegt: „ == Voraussetzungen == * Webserver mit ModSecurity (z. B. NGINX + ModSecurity v3) * OWASP CRS kann verwendet werden, aber nicht erforderlich * Pfad zur Haupt…“

2025-07-27T12:59:58Z

Die Seite wurde neu angelegt: „ == Voraussetzungen == * Webserver mit ModSecurity (z. B. NGINX + ModSecurity v3) * OWASP CRS kann verwendet werden, aber nicht erforderlich * Pfad zur Haupt…“

Neue Seite

== Voraussetzungen ==
* Webserver mit ModSecurity (z. B. NGINX + ModSecurity v3)
* OWASP CRS kann verwendet werden, aber nicht erforderlich
* Pfad zur Hauptregeldatei z. B.: /etc/modsecurity/main.conf

== Ziel ==
* Nur definierte Methoden und Pfade zulassen
* Alles andere standardmäßig ablehnen
* Pfad-Whitelist aus externer Datei laden

== Datei mit erlaubten URIs ==
Pfad: /etc/modsecurity/allowed_post_uris.txt

Inhalt:
/safe/upload
/safe/form
/safe/login

== Regelwerk (Whitelist-Ansatz) ==
Datei: /etc/modsecurity/custom-rules/default-deny.conf

<pre>
# Erlaube POST nur für explizit freigegebene URIs
SecRule REQUEST_METHOD "@streq POST" "chain,id:2000,phase:1,deny,status:403,msg:'POST not allowed on this URI'"
SecRule REQUEST_URI "!@pmFromFile /etc/modsecurity/allowed_post_uris.txt"

# Erlaube GET auf bestimmte Pfade
SecRule REQUEST_METHOD "@streq GET" "chain,id:2001,phase:1,pass,nolog,ctl:ruleEngine=Off"
SecRule REQUEST_URI "@beginsWith /safe/"

# Optional: weitere erlaubte Methoden einfügen
# z. B. HEAD, OPTIONS, PUT usw. je nach Bedarf

# Marker zur Trennung von Erlaubnis und Default-Ablehnung
SecMarker ALLOWLIST_DONE

# Alles andere wird abgelehnt
SecRule REQUEST_URI ".*" "id:2999,phase:1,deny,status:403,msg:'Blocked by default policy',skipAfter:ALLOWLIST_DONE"
</pre>

== Einbindung in Hauptregeldatei ==
Pfad: /etc/modsecurity/main.conf

<pre>
# Optional: OWASP CRS laden
Include /usr/share/modsecurity-crs/crs-setup.conf
Include /usr/share/modsecurity-crs/rules/*.conf

# Eigene Regeln einbinden
Include /etc/modsecurity/custom-rules/default-deny.conf
</pre>

== NGINX-Integration ==
In der vHost-Konfiguration oder nginx.conf:

<pre>
modsecurity on;
modsecurity_rules_file /etc/modsecurity/main.conf;
</pre>

== Neustart / Reload ==
* systemctl reload nginx
* Fehlerprüfung mit: nginx -t

== Testbeispiele ==
{| class="wikitable"
! Methode !! URI !! Erwartung
|-
| POST || /safe/upload || 200 OK
|-
| POST || /badpath || 403 Forbidden
|-
| GET || /safe/form || 200 OK
|-
| GET || /admin || 403 Forbidden
|}

== Hinweise ==
* @pmFromFile lädt zeilenweise rohe Pfadstrings ohne Regex.
* Jede Methode (POST, GET, PUT, ...) benötigt eigene Allow-Regel.
* Die Catch-All-Regel am Ende macht daraus eine echte Default-Deny-Policy.
* Die Regel-ID 2999 muss höher sein als alle anderen.

== Erweiterung ==
* Cookie-Integritätsschutz: REQUEST_COOKIES validieren
* CSRF-Token-Validierung über eigene Variablen
* Separate Whitelist-Dateien für verschiedene Methoden

== Fazit ==
Diese Konfiguration erreicht eine vergleichbare Zugriffskontrolle wie die Sophos XG Webserver Protection – vollständig transparent, erweiterbar und ohne GUI-Zwang.

@@ Zeile 1: / Zeile 1: @@
 == Voraussetzungen ==
-* Webserver mit ModSecurity (z. B. NGINX + ModSecurity v3)
+* NGINX mit ModSecurity v3
-* OWASP CRS kann verwendet werden, aber nicht erforderlich
+* Hauptkonfigurationsdatei: /etc/nginx/modsec/modsecurity.conf
-* Pfad zur Hauptregeldatei z. B.: /etc/modsecurity/main.conf
+* Eigene Regeln liegen in: /etc/nginx/modsec/custom-rules/
 == Ziel ==
-* Nur definierte Methoden und Pfade zulassen
+* Default-Deny: Alles ist verboten
-* Alles andere standardmäßig ablehnen
+* Nur explizit definierte URIs für bestimmte Methoden sind erlaubt
-* Pfad-Whitelist aus externer Datei laden
+* Whitelist aus externen Dateien geladen
-== Datei mit erlaubten URIs ==
+== Allowlist-Dateien ==
-Inhalt:
+/etc/nginx/modsec/allowed_post_uris.txt
- /safe/upload
+---------------------------------------
- /safe/form
+/safe/upload
- /safe/login
+/safe/form
-== Regelwerk (Whitelist-Ansatz) ==
+/etc/nginx/modsec/allowed_get_prefixes.txt
-Datei: /etc/modsecurity/custom-rules/default-deny.conf
+------------------------------------------
 <pre>
-# Erlaube POST nur für explizit freigegebene URIs
+# POST nur auf URIs aus Datei erlauben
-SecRule REQUEST_METHOD "@streq POST" "chain,id:2000,phase:1,deny,status:403,msg:'POST not allowed on this URI'"
+SecRule REQUEST_METHOD "@streq POST" \
-     SecRule REQUEST_URI "!@pmFromFile /etc/modsecurity/allowed_post_uris.txt"
+    "id:2000,phase:1,allow,log,skipAfter:ALLOWLIST_DONE,chain"
-# Erlaube GET auf bestimmte Pfade
+# GET nur auf Präfixe aus Datei erlauben
-SecRule REQUEST_METHOD "@streq GET" "chain,id:2001,phase:1,pass,nolog,ctl:ruleEngine=Off"
+SecRule REQUEST_METHOD "@streq GET" \
-     SecRule REQUEST_URI "@beginsWith /safe/"
+    "id:2001,phase:1,allow,log,skipAfter:ALLOWLIST_DONE,chain"
-# Optional: weitere erlaubte Methoden einfügen
+# Alles andere blockieren (Default-Deny)
-# z. B. HEAD, OPTIONS, PUT usw. je nach Bedarf
+SecRule REQUEST_URI ".*" \
-# Marker zur Trennung von Erlaubnis und Default-Ablehnung
+# Marker für SkipAfter
 SecMarker ALLOWLIST_DONE
 </pre>
-== Einbindung in Hauptregeldatei ==
+== Hauptkonfiguration ==
-Pfad: /etc/modsecurity/main.conf
+Datei: /etc/nginx/modsec/modsecurity.conf
 <pre>
-# Optional: OWASP CRS laden
+SecRuleEngine On
-Include /usr/share/modsecurity-crs/crs-setup.conf
+SecRequestBodyAccess On
-Include /usr/share/modsecurity-crs/rules/*.conf
+SecResponseBodyAccess Off
-# Eigene Regeln einbinden
+# Eigene Default-Deny-Policy laden
-Include /etc/modsecurity/custom-rules/default-deny.conf
+Include /etc/nginx/modsec/custom-rules/default-deny.conf
 </pre>
-== NGINX-Integration ==
+== NGINX-Einbindung ==
-In der vHost-Konfiguration oder nginx.conf:
+In der vHost- oder http/server/location-Konfiguration:
 <pre>
 modsecurity on;
-modsecurity_rules_file /etc/modsecurity/main.conf;
+modsecurity_rules_file /etc/nginx/modsec/modsecurity.conf;
 </pre>
 == Neustart / Reload ==
-* systemctl reload nginx
+* Syntaxprüfung: nginx -t
-* Fehlerprüfung mit: nginx -t
+* Reload: systemctl reload nginx
-== Testbeispiele ==
+== Testfälle ==
 {| class="wikitable"
 ! Methode !! URI !! Erwartung
@@ Zeile 72: / Zeile 84: @@
 | POST || /badpath || 403 Forbidden
 |-
-| GET || /safe/form || 200 OK
+| GET || /safe/test || 200 OK
 |-
 | GET || /admin || 403 Forbidden
 |}

Nginx mit Modsecurity Whitelists - Versionsgeschichte

Thomas.will am 5. September 2025 um 07:13 Uhr

Thomas.will: Die Seite wurde neu angelegt: „ == Voraussetzungen == * Webserver mit ModSecurity (z. B. NGINX + ModSecurity v3) * OWASP CRS kann verwendet werden, aber nicht erforderlich * Pfad zur Haupt…“

Thomas.will: Die Seite wurde neu angelegt: „ == Voraussetzungen == * Webserver mit ModSecurity (z. B. NGINX + ModSecurity v3) * OWASP CRS kann verwendet werden, aber nicht erforderlich * Pfad zur Haupt…“