Nginx mit Modsecurity: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(17 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
−
== Einfache Demonstration eines WAF mit Nginx und ModSecurity ==
+
= NGINX mit ModSecurity v3 und OWASP CRS als Reverse Proxy =
  
−
;Dieser Artikel zeigt, wie man mit Nginx und ModSecurity schnell einen Web Application Firewall (WAF) einrichtet, um Angriffe wie SQL- oder Command-Injection zu demonstrieren.
+
== Voraussetzungen ==
 +
* Ubuntu 22.04 oder Debian 12
 +
* Zielsystem z. B. unter http://127.0.0.1:8080 erreichbar
  
−
=== Voraussetzungen ===
+
== Installation ==
 +
* NGINX und ModSecurity installieren
 +
sudo apt update
 +
sudo apt install nginx libmodsecurity3 libnginx-mod-http-modsecurity git -y
  
−
;Stelle sicher, dass du ein Debian- oder Ubuntu-System verwendest und Root-Rechte hast.
+
== ModSecurity aktivieren ==
 +
* Konfigurationsverzeichnis erstellen
 +
sudo mkdir -p /etc/nginx/modsec
  
−
* apt-get update
+
* Standardkonfiguration erstellen
 +
sudo vi /etc/nginx/modsec/modsecurity.conf
 +
<pre>
 +
# Aktivieren des ModSecurity-Engines
 +
# -----------------------------
 +
# Grundkonfiguration
 +
# -----------------------------
  
−
=== Installation von Nginx und ModSecurity ===
+
SecRuleEngine On
 +
SecRequestBodyAccess On
 +
SecResponseBodyAccess Off
  
−
;Mit einem Befehl installierst du Nginx, das ModSecurity-Modul und die OWASP-Regeln.
+
SecAuditEngine RelevantOnly
 +
SecAuditLog /var/log/nginx/modsec_audit.log
  
−
* apt-get install nginx libnginx-mod-security modsecurity-crs -y
+
SecDebugLog /var/log/nginx/modsec_debug.log
 +
SecDebugLogLevel 0
  
−
=== Konfiguration von Nginx ===
+
SecTmpDir /tmp/
 +
SecDataDir /tmp/
  
−
;Bearbeite die Nginx-Konfigurationsdatei, um ModSecurity zu aktivieren.
+
# -----------------------------
 +
# Testregel (kann entfernt werden)
 +
# -----------------------------
 +
SecRule ARGS "@contains script" "id:9999,phase:1,deny,log,status:403,msg:'Test rule triggered'"
  
−
* nano /etc/nginx/nginx.conf
+
# -----------------------------
 +
# OWASP Core Rule Set (CRS)
 +
# -----------------------------
 +
Include /etc/nginx/modsec/coreruleset/crs-setup.conf
 +
Include /etc/nginx/modsec/coreruleset/rules/*.conf
  
−
load_module /usr/lib/nginx/modules/ngx_http_modsecurity_module.so;
+
</pre>
  
−
http {
+
== OWASP Core Rule Set installieren ==
−
    server {
+
* In das ModSecurity-Verzeichnis wechseln
−
        listen 80;
+
cd /etc/nginx/modsec
−
        server_name localhost;
 
  
−
        modsecurity on;
+
* CRS klonen
−
        modsecurity_rules_file /etc/nginx/modsec/main.conf;
+
sudo git clone https://github.com/coreruleset/coreruleset.git
  
−
        location / {
+
* Setup-Datei aktivieren
−
            root /var/www/html;
+
sudo cp coreruleset/crs-setup.conf.example coreruleset/crs-setup.conf
−
        }
 
−
    }
 
−
}
 
  
−
;Erstelle die ModSecurity-Regeldatei mit den OWASP Core Rule Set (CRS).
+
== ModSecurity-Snippet erstellen ==
 +
* Konfigurationsdatei erstellen
 +
sudo nano /etc/nginx/modsec/main.conf
  
−
* echo "Include /usr/share/modsecurity-crs/owasp-crs.load" > /etc/nginx/modsec/main.conf
+
* Inhalt:
 +
modsecurity on;
 +
modsecurity_rules_file /etc/nginx/modsec/modsecurity.conf;
 +
==Eventuell anpassen==
  
−
=== Testseite erstellen ===
+
sudo nano /etc/nginx/modsec/modsecurity.conf
  
−
;Füge eine einfache HTML-Seite hinzu, um den WAF zu testen.
+
<pre>
 +
  GNU nano 7.2                                                                    /etc/nginx/modsec/modsecurity.conf                                                                             
 +
# Aktivieren des ModSecurity-Engines
 +
# -----------------------------
 +
# Grundkonfiguration
 +
# -----------------------------
  
−
* echo "<h1>Testseite</h1>" > /var/www/html/index.html
+
SecRuleEngine On
 +
SecRequestBodyAccess On
 +
SecResponseBodyAccess Off
  
−
=== Nginx starten ===
+
SecAuditEngine RelevantOnly
 +
SecAuditLog /var/log/nginx/modsec_audit.log
 +
SecAuditLogParts ABIJDEFHZ
 +
SecDebugLog /var/log/nginx/modsec_debug.log
 +
SecDebugLogLevel 3
  
−
;Starte Nginx, um die Konfiguration zu übernehmen.
+
SecTmpDir /tmp/
 +
SecDataDir /tmp/
  
−
* systemctl restart nginx
+
# -----------------------------
 +
# Testregel (kann entfernt werden)
 +
# -----------------------------
 +
SecRule ARGS "@contains script" "id:9999,phase:1,deny,log,status:403,msg:'Test rule triggered'"
  
−
=== WAF-Funktionalität testen ===
+
# -----------------------------
 +
# OWASP Core Rule Set (CRS)
 +
# -----------------------------
 +
Include /etc/nginx/modsec/coreruleset/crs-setup.conf
 +
Include /etc/nginx/modsec/coreruleset/rules/*.conf
 +
</pre>
  
−
;Simuliere eine SQL-Injection, um zu prüfen, ob der WAF sie blockiert.
+
== Reverse Proxy konfigurieren ==
 +
* Standard-VHost ersetzen
 +
sudo vim /etc/nginx/sites-available/default
  
−
* curl "http://localhost/test?id=1' OR '1'='1"
+
* Inhalt:
 +
<pre>
 +
# HTTP → HTTPS Redirect
 +
server {
 +
    listen 80;
 +
    server_name localhost;
 +
    return 301 https://;
 +
}
  
−
;Erwartete Ausgabe: Der Server antwortet mit "403 Forbidden", da ModSecurity den Angriff erkennt.
+
# HTTPS-Server mit TLS-Zertifikat
 +
server {
 +
    listen 443 ssl;
 +
    server_name localhost;
  
−
=== Log-Dateien prüfen ===
+
    ssl_certificate    /etc/nginx/crt.pem;
 +
    ssl_certificate_key /etc/nginx/privkey.pem;
 +
    ssl_client_certificate /etc/nginx/ca.crt;
  
−
;Überprüfe die ModSecurity-Logs, um Details zum blockierten Angriff zu sehen.
+
    # Optional: Client-CA-Zertifikat zur Authentifizierung (falls benötigt)
 +
    # ssl_client_certificate /etc/nginx/ssl/ca.crt;
 +
    # ssl_verify_client optional;
  
−
* cat /var/log/modsecurity/audit.log
+
    error_page 403 /403.html;
 +
    location = /403.html {
 +
        root /var/www/html;
 +
        internal;
 +
    }
  
−
== Fazit ==
+
    include /etc/nginx/modsec/main.conf;
  
−
Mit wenigen Schritten hast du einen funktionalen WAF eingerichtet, der typische Angriffe wie SQL-Injection erkennt und blockiert. Dieses Setup ist ideal für Schulungen, da es einfach, schnell und effektiv ist.
+
    location / {
 +
        proxy_pass http://192.168.178.66;
 +
        proxy_set_header Host $host;
 +
        proxy_set_header X-Real-IP $remote_addr;
 +
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 +
    }
 +
}
  
−
;Die OWASP-Regeln bieten umfassenden Schutz und können bei Bedarf angepasst werden.
+
</pre>
 +
 
 +
 
 +
*Fehler Anzeige erstellen.
 +
vi  /var/www/html/403.html
 +
<pre>
 +
<html>
 +
<head><title>403 Forbidden</title></head>
 +
<body>
 +
<h1>Oops! Zugriff verweigert</h1>
 +
<p>Deine Anfrage wurde von der Web Application Firewall blockiert.</p>
 +
</body>
 +
</html>
 +
</pre>
 +
 
 +
== NGINX prüfen und neu laden ==
 +
* Syntax testen
 +
sudo nginx -t
 +
 
 +
* Dienst neu laden
 +
sudo systemctl reload nginx
 +
 
 +
== Test ==
 +
* Beispielziel: Python-Testserver
 +
python3 -m http.server 8080
 +
 
 +
* Angriff simulieren
 +
curl "http://localhost/?param=<script>alert(1)</script>"
 +
 
 +
* Audit-Log (wenn aktiviert) prüfen:
 +
/var/log/nginx/error.log
 +
 
 +
[[KATEGORIE:WAF]]

Aktuelle Version vom 25. Juli 2025, 14:59 Uhr

NGINX mit ModSecurity v3 und OWASP CRS als Reverse Proxy

Voraussetzungen

Installation

  • NGINX und ModSecurity installieren
sudo apt update
sudo apt install nginx libmodsecurity3 libnginx-mod-http-modsecurity git -y

ModSecurity aktivieren

  • Konfigurationsverzeichnis erstellen
sudo mkdir -p /etc/nginx/modsec
  • Standardkonfiguration erstellen
sudo vi /etc/nginx/modsec/modsecurity.conf

# Aktivieren des ModSecurity-Engines
# -----------------------------
# Grundkonfiguration
# -----------------------------

SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess Off

SecAuditEngine RelevantOnly
SecAuditLog /var/log/nginx/modsec_audit.log

SecDebugLog /var/log/nginx/modsec_debug.log
SecDebugLogLevel 0

SecTmpDir /tmp/
SecDataDir /tmp/

# -----------------------------
# Testregel (kann entfernt werden)
# -----------------------------
SecRule ARGS "@contains script" "id:9999,phase:1,deny,log,status:403,msg:'Test rule triggered'"

# -----------------------------
# OWASP Core Rule Set (CRS)
# -----------------------------
Include /etc/nginx/modsec/coreruleset/crs-setup.conf
Include /etc/nginx/modsec/coreruleset/rules/*.conf

OWASP Core Rule Set installieren

  • In das ModSecurity-Verzeichnis wechseln
cd /etc/nginx/modsec
  • CRS klonen
sudo git clone https://github.com/coreruleset/coreruleset.git
  • Setup-Datei aktivieren
sudo cp coreruleset/crs-setup.conf.example coreruleset/crs-setup.conf

ModSecurity-Snippet erstellen

  • Konfigurationsdatei erstellen
sudo nano /etc/nginx/modsec/main.conf
  • Inhalt:
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/modsecurity.conf;

Eventuell anpassen

sudo nano /etc/nginx/modsec/modsecurity.conf

  GNU nano 7.2                                                                    /etc/nginx/modsec/modsecurity.conf                                                                              
# Aktivieren des ModSecurity-Engines
# -----------------------------
# Grundkonfiguration
# -----------------------------

SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess Off

SecAuditEngine RelevantOnly
SecAuditLog /var/log/nginx/modsec_audit.log
SecAuditLogParts ABIJDEFHZ
SecDebugLog /var/log/nginx/modsec_debug.log
SecDebugLogLevel 3

SecTmpDir /tmp/
SecDataDir /tmp/

# -----------------------------
# Testregel (kann entfernt werden)
# -----------------------------
SecRule ARGS "@contains script" "id:9999,phase:1,deny,log,status:403,msg:'Test rule triggered'"

# -----------------------------
# OWASP Core Rule Set (CRS)
# -----------------------------
Include /etc/nginx/modsec/coreruleset/crs-setup.conf
Include /etc/nginx/modsec/coreruleset/rules/*.conf

Reverse Proxy konfigurieren

  • Standard-VHost ersetzen
sudo vim /etc/nginx/sites-available/default
  • Inhalt:
# HTTP → HTTPS Redirect
server {
    listen 80;
    server_name localhost;
    return 301 https://;
}

# HTTPS-Server mit TLS-Zertifikat
server {
    listen 443 ssl;
    server_name localhost;

    ssl_certificate     /etc/nginx/crt.pem;
    ssl_certificate_key /etc/nginx/privkey.pem;
    ssl_client_certificate /etc/nginx/ca.crt;

    # Optional: Client-CA-Zertifikat zur Authentifizierung (falls benötigt)
    # ssl_client_certificate /etc/nginx/ssl/ca.crt;
    # ssl_verify_client optional;

    error_page 403 /403.html;
    location = /403.html {
        root /var/www/html;
        internal;
    }

    include /etc/nginx/modsec/main.conf;

    location / {
        proxy_pass http://192.168.178.66;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}


  • Fehler Anzeige erstellen.
vi  /var/www/html/403.html 

<html>
 <head><title>403 Forbidden</title></head>
 <body>
 <h1>Oops! Zugriff verweigert</h1>
 <p>Deine Anfrage wurde von der Web Application Firewall blockiert.</p>
 </body>
 </html>

NGINX prüfen und neu laden

  • Syntax testen
sudo nginx -t
  • Dienst neu laden
sudo systemctl reload nginx

Test

  • Beispielziel: Python-Testserver
python3 -m http.server 8080
  • Angriff simulieren
curl "http://localhost/?param=<script>alert(1)</script>"
  • Audit-Log (wenn aktiviert) prüfen:
/var/log/nginx/error.log
Abgerufen von „http://wiki.ixheim.de/index.php?title=Nginx_mit_Modsecurity&oldid=64005“