Nginx mit Modsecurity zusammen Whitelists - Versionsgeschichte

Thomas.will am 5. September 2025 um 07:31 Uhr

2025-09-05T07:31:54Z

Änderungen zeigen

Thomas.will am 28. August 2025 um 19:14 Uhr

2025-08-28T19:14:43Z

Thomas.will am 28. August 2025 um 19:08 Uhr

2025-08-28T19:08:38Z

Thomas.will: Die Seite wurde neu angelegt: „= NGINX mit ModSecurity und Whitelist-Policy = Diese Anleitung zeigt den Aufbau einer Web Application Firewall mit NGINX und ModSecurity v3. Zuerst wird ModSe…“

2025-08-28T18:49:37Z

Die Seite wurde neu angelegt: „= NGINX mit ModSecurity und Whitelist-Policy = Diese Anleitung zeigt den Aufbau einer Web Application Firewall mit NGINX und ModSecurity v3. Zuerst wird ModSe…“

Neue Seite

= NGINX mit ModSecurity und Whitelist-Policy =

Diese Anleitung zeigt den Aufbau einer Web Application Firewall mit NGINX und ModSecurity v3. Zuerst wird ModSecurity mit OWASP Core Rule Set (CRS) als Reverse Proxy aktiviert, anschließend wird eine Whitelist-Policy ergänzt, die nur definierte Methoden und Pfade zulässt. Alles andere wird standardmäßig blockiert.

== ModSecurity mit OWASP CRS aktivieren ==
* Pakete installieren
sudo apt update
sudo apt install nginx libmodsecurity3 libnginx-mod-http-modsecurity git apache2-utils -y

* Verzeichnis für Konfiguration anlegen
sudo mkdir -p /etc/nginx/modsecurity

* OWASP CRS herunterladen
cd /etc/nginx/modsecurity
sudo git clone https://github.com/coreruleset/coreruleset.git
sudo cp coreruleset/crs-setup.conf.example coreruleset/crs-setup.conf

* Basis-Konfiguration /etc/nginx/modsecurity/modsecurity.conf
<pre>
SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess Off

SecAuditEngine RelevantOnly
SecAuditLog /var/log/nginx/modsec_audit.log
SecAuditLogParts ABIJDEFHZ

SecDebugLog /var/log/nginx/modsec_debug.log
SecDebugLogLevel 3

SecTmpDir /tmp/
SecDataDir /tmp/

# Beispiel-Testregel (optional)
SecRule ARGS "@contains script" \
"id:9999,phase:1,deny,log,status:403,msg:'Test rule triggered'"

# OWASP CRS laden
Include /etc/nginx/modsecurity/coreruleset/crs-setup.conf
Include /etc/nginx/modsecurity/coreruleset/rules/*.conf
</pre>

* NGINX-Snippet /etc/nginx/modsecurity/main.conf
<pre>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsecurity/modsecurity.conf;
</pre>

* VHost anpassen /etc/nginx/sites-available/default
<pre>
server {
listen 80;
server_name localhost;
return 301 https://$host$request_uri;
}

server {
listen 443 ssl;
server_name localhost;

ssl_certificate /etc/nginx/fullchain.pem;
ssl_certificate_key /etc/nginx/privkey.pem;

access_log /var/log/nginx/access.log waf_combined;
error_log /var/log/nginx/error.log warn;

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header Cache-Control "no-store, no-cache, must-revalidate";

error_page 403 /403.html;
location = /403.html {
root /var/www/html;
internal;
}

include /etc/nginx/modsecurity/main.conf;

location / {
proxy_pass http://127.0.0.1:8080;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}

# Optional: Audit-Log über Browser abrufbar
location /_waflog {
alias /var/log/nginx/modsec_audit.log;
types { }
default_type text/plain;

auth_basic "ModSecurity Auditlog";
auth_basic_user_file /etc/nginx/.htpasswd;
}
}
</pre>

== Logging ==
* Log-Format ergänzen (/etc/nginx/nginx.conf im http{}-Block)
<pre>
log_format waf_combined '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent" '
'ModSecID=$request_id Host="$host" URI="$request_uri"';
</pre>

* Log-Dateien anlegen
<pre>
sudo touch /var/log/nginx/modsec_audit.log /var/log/nginx/modsec_debug.log
sudo chown www-data:adm /var/log/nginx/modsec_*.log
sudo chmod 640 /var/log/nginx/modsec_*.log
</pre>

* Fehlerseite anlegen /var/www/html/403.html
<pre>
<html>
<head><title>403 Forbidden</title></head>
<body>
<h1>Oops! Zugriff verweigert</h1>
<p>Deine Anfrage wurde von der Web Application Firewall blockiert.</p>
</body>
</html>
</pre>

== Whitelist-Policy ergänzen ==
Zusätzlich kann das Verhalten durch eine Default-Deny-Policy verschärft werden. Dabei sind nur explizit erlaubte Methoden und Pfade zulässig.

* Datei mit erlaubten POST-URIs /etc/nginx/modsecurity/allowed_post_uris.txt
<pre>
/safe/upload
/safe/form
/safe/login
</pre>

* Regeln /etc/nginx/modsecurity/custom-rules/default-deny.conf
<pre>
# Erlaube POST nur für explizit freigegebene URIs
SecRule REQUEST_METHOD "@streq POST" "chain,id:2000,phase:1,deny,status:403,msg:'POST not allowed on this URI'"
SecRule REQUEST_URI "!@pmFromFile /etc/nginx/modsecurity/allowed_post_uris.txt"

# Erlaube GET nur unterhalb von /safe/
SecRule REQUEST_METHOD "@streq GET" "chain,id:2001,phase:1,allow,log,skipAfter:ALLOWLIST_DONE"
SecRule REQUEST_URI "@beginsWith /safe/"

# Marker
SecMarker ALLOWLIST_DONE

# Catch-All: alles andere blockieren
SecRule REQUEST_URI ".*" "id:2999,phase:1,deny,status:403,msg:'Blocked by default policy',skipAfter:ALLOWLIST_DONE"
</pre>

* Einbindung in /etc/nginx/modsecurity/modsecurity.conf
<pre>
Include /etc/nginx/modsecurity/custom-rules/default-deny.conf
</pre>

== Ergebnis ==
* ModSecurity + CRS schützt vor typischen Angriffen.
* Die Whitelist-Policy setzt zusätzlich eine Default-Deny-Strategie um.
* Nur definierte Methoden und Pfade sind erlaubt, alle anderen Anfragen werden blockiert.
* Das Audit-Log unter /var/log/nginx/modsec_audit.log dokumentiert alle geblockten Requests.

[[KATEGORIE:WAF]]

@@ Zeile 1: / Zeile 1: @@
 = NGINX mit ModSecurity und Whitelist-Policy =
-Diese Anleitung zeigt den Aufbau einer Web Application Firewall mit NGINX und ModSecurity v3. Zuerst wird ModSecurity mit OWASP Core Rule Set (CRS) als Reverse Proxy aktiviert, anschließend wird eine Whitelist-Policy ergänzt, die nur definierte Methoden und Pfade zulässt. Alles andere wird standardmäßig blockiert.
+Diese Anleitung zeigt den Aufbau einer Web Application Firewall mit NGINX und ModSecurity v3.
 == Voraussetzungen ==
 * Ubuntu 22.04 oder Debian 12
 * Backend-Dienst z. B. unter http://127.0.0.1:8080 erreichbar
@@ Zeile 9: / Zeile 13: @@
 == Installation ==
 * Pakete installieren
   sudo apt update
@@ Zeile 17: / Zeile 22: @@
 == OWASP Core Rule Set installieren ==
 * In das ModSecurity-Verzeichnis wechseln
   cd /etc/nginx/modsecurity
@@ Zeile 27: / Zeile 33: @@
 == ModSecurity konfigurieren ==
 * Basis-Konfiguration /etc/nginx/modsecurity/modsecurity.conf
 <pre>
@@ Zeile 53: / Zeile 60: @@
 == NGINX-Snippet ==
 Datei: /etc/nginx/modsecurity/main.conf
 <pre>
@@ Zeile 60: / Zeile 68: @@
 == NGINX-Site konfigurieren ==
 * Standard-VHost anpassen /etc/nginx/sites-available/default
 <pre>
@@ Zeile 65: / Zeile 74: @@
 server {
      listen 80;
-     server_name localhost;
+     server_name <server>;
      return 301 https://$host$request_uri;
+}
@@ Zeile 72: / Zeile 81: @@
 server {
      listen 443 ssl;
-     server_name localhost;
+     server_name <server>;
      ssl_certificate     /etc/nginx/fullchain.pem;
@@ Zeile 111: / Zeile 120: @@
 == Logging ==
 * Log-Format ergänzen (/etc/nginx/nginx.conf im http{}-Block)
 <pre>
@@ Zeile 137: / Zeile 147: @@
 </pre>
-== Zugriffsschutz für /_waflog ==
+== Zugriff auf Audit-Log per Browser ==
-* htpasswd installieren und User anlegen
+Damit Teilnehmer ohne Shell-Zugriff das Log sehen können, wird es über eine URL abrufbar gemacht – geschützt durch Passwort.
 <pre>
 sudo htpasswd -c /etc/nginx/.htpasswd admin
 </pre>
 == Whitelist-Policy ==
 * Datei mit erlaubten POST-URIs /etc/nginx/modsecurity/allowed_post_uris.txt
 <pre>
@@ Zeile 175: / Zeile 195: @@
 == Aktivierung ==
 <pre>
 sudo nginx -t
@@ Zeile 181: / Zeile 202: @@
 == Testbeispiele ==
 {| class="wikitable"
 ! Methode !! URI !! Erwartung
@@ Zeile 194: / Zeile 216: @@
 == curl-Tests ==
 <pre>
 # Erwartet 200 (erlaubter POST)
-curl -k -i -X POST https://localhost/safe/upload
+curl -k -i -X POST https://<server>/safe/upload
 # Erwartet 403 (POST nicht erlaubt)
-curl -k -i -X POST https://localhost/badpath
+curl -k -i -X POST https://<server>/badpath
 # Erwartet 200 (erlaubtes GET)
-curl -k -i https://localhost/safe/form
+curl -k -i https://<server>/safe/form
 # Erwartet 403 (GET nicht erlaubt)
-curl -k -i https://localhost/admin
+curl -k -i https://<server>/admin
 </pre>
 == Audit-Log überwachen ==
 <pre>
 sudo tail -f /var/log/nginx/modsec_audit.log
@@ Zeile 218: / Zeile 242: @@
 * Nur definierte Methoden und Pfade sind erlaubt, alle anderen Anfragen werden blockiert.
 * Das Audit-Log unter /var/log/nginx/modsec_audit.log dokumentiert alle geblockten Requests.
-* Zugriff auf Audit-Log über Browser möglich: https://localhost/_waflog (mit Basic-Auth).
+* Zugriff auf Audit-Log über Browser möglich: https://<server>/_waflog (mit Basic-Auth).
 * Optional Debug-Log: /var/log/nginx/modsec_debug.log.
 [[KATEGORIE:WAF]]

@@ Zeile 3: / Zeile 3: @@
 Diese Anleitung zeigt den Aufbau einer Web Application Firewall mit NGINX und ModSecurity v3. Zuerst wird ModSecurity mit OWASP Core Rule Set (CRS) als Reverse Proxy aktiviert, anschließend wird eine Whitelist-Policy ergänzt, die nur definierte Methoden und Pfade zulässt. Alles andere wird standardmäßig blockiert.
-== ModSecurity mit OWASP CRS aktivieren ==
+== Voraussetzungen ==
 * Pakete installieren
   sudo apt update
@@ Zeile 11: / Zeile 16: @@
   sudo mkdir -p /etc/nginx/modsecurity
-* OWASP CRS herunterladen
+== OWASP Core Rule Set installieren ==
   cd /etc/nginx/modsecurity
   sudo git clone https://github.com/coreruleset/coreruleset.git
   sudo cp coreruleset/crs-setup.conf.example coreruleset/crs-setup.conf
 * Basis-Konfiguration /etc/nginx/modsecurity/modsecurity.conf
 <pre>
@@ Zeile 41: / Zeile 52: @@
 </pre>
-* NGINX-Snippet /etc/nginx/modsecurity/main.conf
+== NGINX-Snippet ==
 <pre>
 modsecurity on;
@@ Zeile 47: / Zeile 59: @@
 </pre>
-* VHost anpassen /etc/nginx/sites-available/default
+== NGINX-Site konfigurieren ==
 <pre>
 server {
      listen 80;
@@ Zeile 55: / Zeile 69: @@
+}
 server {
      listen 443 ssl;
@@ Zeile 83: / Zeile 98: @@
+     }
-     # Optional: Audit-Log über Browser abrufbar
+     # Audit-Log im Browser abrufbar (Basic-Auth)
      location /_waflog {
          alias /var/log/nginx/modsec_audit.log;
@@ Zeile 122: / Zeile 137: @@
 </pre>
-== Whitelist-Policy ergänzen ==
+== Zugriffsschutz für /_waflog ==
-Zusätzlich kann das Verhalten durch eine Default-Deny-Policy verschärft werden. Dabei sind nur explizit erlaubte Methoden und Pfade zulässig.
+* htpasswd installieren und User anlegen
 * Datei mit erlaubten POST-URIs /etc/nginx/modsecurity/allowed_post_uris.txt
 <pre>
@@ Zeile 132: / Zeile 152: @@
 </pre>
-* Regeln /etc/nginx/modsecurity/custom-rules/default-deny.conf
+* Regelwerk /etc/nginx/modsecurity/custom-rules/default-deny.conf
 <pre>
 # Erlaube POST nur für explizit freigegebene URIs
@@ Zeile 152: / Zeile 172: @@
 <pre>
 Include /etc/nginx/modsecurity/custom-rules/default-deny.conf
 </pre>
@@ Zeile 159: / Zeile 218: @@
 * Nur definierte Methoden und Pfade sind erlaubt, alle anderen Anfragen werden blockiert.
 * Das Audit-Log unter /var/log/nginx/modsec_audit.log dokumentiert alle geblockten Requests.
 [[KATEGORIE:WAF]]