Aktuelle Version vom 5. September 2025, 07:31 Uhr

NGINX mit ModSecurity und Default-Deny-Whitelist

Diese Anleitung zeigt den Aufbau einer Web Application Firewall mit NGINX und ModSecurity v3. ModSecurity wird als Reverse Proxy aktiviert, das OWASP Core Rule Set (CRS) eingebunden und zusätzlich eine Whitelist-Policy eingerichtet. Dadurch gilt: **Alles ist standardmäßig verboten, nur definierte URIs (Whitelist) sind erlaubt.**

Voraussetzungen

Ubuntu 22.04 oder Debian 12
Funktionierendes Backend (z. B. http://127.0.0.1:8080)
TLS-Zertifikate (crt.pem, privkey.pem, ca.crt) aus interner CA

Installation

Pakete installieren

sudo apt update
sudo apt install nginx libmodsecurity3 libnginx-mod-http-modsecurity git apache2-utils -y

Verzeichnisstruktur anlegen

sudo mkdir -p /etc/nginx/modsec/custom-rules

OWASP Core Rule Set installieren

In das ModSecurity-Verzeichnis wechseln

cd /etc/nginx/modsec

CRS klonen

sudo git clone https://github.com/coreruleset/coreruleset.git

Setup-Datei aktivieren

sudo cp coreruleset/crs-setup.conf.example coreruleset/crs-setup.conf

ModSecurity konfigurieren

Datei: /etc/nginx/modsec/modsecurity.conf

SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess Off

SecAuditEngine RelevantOnly
SecAuditLog /var/log/nginx/modsec_audit.log
SecAuditLogParts ABIJDEFHZ

SecTmpDir /tmp/
SecDataDir /tmp/

# Erst unsere Whitelist/Default-Deny laden
Include /etc/nginx/modsec/custom-rules/default-deny.conf

# Danach CRS – wirkt nur auf NICHT-Whitelist-URIs
Include /etc/nginx/modsec/coreruleset/crs-setup.conf
Include /etc/nginx/modsec/coreruleset/rules/*.conf

Whitelist-Policy

Datei mit erlaubten URIs /etc/nginx/modsec/allowed_uris.txt

/upload

Regelwerk /etc/nginx/modsec/custom-rules/default-deny.conf

# Whitelist: URIs aus Datei von Inspektion ausnehmen (inkl. CRS)
SecRule REQUEST_URI "@pmFromFile /etc/nginx/modsec/allowed_uris.txt" \
    "id:2000,phase:1,pass,log,ctl:ruleEngine=Off"

# Default-Deny: alles andere blockieren
SecRule REQUEST_URI ".*" \
    "id:2999,phase:1,deny,status:403,log,msg:'Default deny policy'"

NGINX-Snippet

Datei: /etc/nginx/modsec/main.conf

modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/modsecurity.conf;

NGINX-Site konfigurieren

Datei: /etc/nginx/sites-available/default

server {
    listen 80;
    server_name <server>;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name <server>;

    ssl_certificate     /etc/nginx/fullchain.pem;
    ssl_certificate_key /etc/nginx/privkey.pem;

    access_log /var/log/nginx/access.log waf_combined;
    error_log  /var/log/nginx/error.log warn;

    include /etc/nginx/modsec/main.conf;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }

    # Audit-Log im Browser abrufbar (Basic-Auth)
    location /_waflog {
        alias /var/log/nginx/modsec_audit.log;
        types { }
        default_type text/plain;

        auth_basic "ModSecurity Auditlog";
        auth_basic_user_file /etc/nginx/.htpasswd;
    }
}

Logging

Log-Format ergänzen (/etc/nginx/nginx.conf im http{}-Block)

log_format waf_combined '$remote_addr - $remote_user [$time_local] '
                        '"$request" $status $body_bytes_sent '
                        '"$http_referer" "$http_user_agent" '
                        'ModSecID=$request_id Host="$host" URI="$request_uri"';

Log-Dateien anlegen

sudo touch /var/log/nginx/modsec_audit.log
sudo chown www-data:adm /var/log/nginx/modsec_audit.log
sudo chmod 640 /var/log/nginx/modsec_audit.log

Fehlerseite

/var/www/html/403.html

<html>
 <head><title>403 Forbidden</title></head>
 <body>
 <h1>Zugriff verweigert</h1>
 <p>Deine Anfrage wurde von der Web Application Firewall blockiert.</p>
 </body>
</html>

Audit-Log im Browser

Benutzerdatei anlegen

sudo htpasswd -c /etc/nginx/.htpasswd admin

Aufruf

https://<server>/_waflog

Aktivierung

Syntax prüfen

sudo nginx -t

Reload

sudo systemctl reload nginx

Testbeispiele

Methode	URI	Erwartung
POST	/upload	200 OK
GET	/upload	200 OK
GET	/admin	403 Forbidden
POST	/bad	403 Forbidden

Audit-Log verfolgen

sudo tail -f /var/log/nginx/modsec_audit.log

Ergebnis

CRS schützt vor typischen Angriffen auf nicht-Whitelist-URIs
Default-Deny blockt alles, was nicht explizit erlaubt ist
Whitelist erlaubt gezielt z. B. `/upload`
Audit-Log zeigt geblockte Requests

@@ Zeile 1: / Zeile 1: @@
-= NGINX mit ModSecurity und Whitelist-Policy =
+= NGINX mit ModSecurity und Default-Deny-Whitelist =
-Diese Anleitung zeigt den Aufbau einer Web Application Firewall mit NGINX und ModSecurity v3. Zuerst wird ModSecurity mit OWASP Core Rule Set (CRS) als Reverse Proxy aktiviert, anschließend wird eine Whitelist-Policy ergänzt, die nur definierte Methoden und Pfade zulässt. Alles andere wird standardmäßig blockiert.
+Diese Anleitung zeigt den Aufbau einer Web Application Firewall mit NGINX und ModSecurity v3.
+ModSecurity wird als Reverse Proxy aktiviert, das OWASP Core Rule Set (CRS) eingebunden und zusätzlich eine Whitelist-Policy eingerichtet.
+Dadurch gilt: **Alles ist standardmäßig verboten, nur definierte URIs (Whitelist) sind erlaubt.**
-== ModSecurity mit OWASP CRS aktivieren ==
+== Voraussetzungen ==
+* Ubuntu 22.04 oder Debian 12
+* Funktionierendes Backend (z. B. http://127.0.0.1:8080)
+* TLS-Zertifikate (crt.pem, privkey.pem, ca.crt) aus interner CA
+== Installation ==
 * Pakete installieren
   sudo apt update
   sudo apt install nginx libmodsecurity3 libnginx-mod-http-modsecurity git apache2-utils -y
-* Verzeichnis für Konfiguration anlegen
+* Verzeichnisstruktur anlegen
-  sudo mkdir -p /etc/nginx/modsecurity
+  sudo mkdir -p /etc/nginx/modsec/custom-rules
-* OWASP CRS herunterladen
+== OWASP Core Rule Set installieren ==
-  cd /etc/nginx/modsecurity
+* In das ModSecurity-Verzeichnis wechseln
+  cd /etc/nginx/modsec
+* CRS klonen
   sudo git clone https://github.com/coreruleset/coreruleset.git
+* Setup-Datei aktivieren
   sudo cp coreruleset/crs-setup.conf.example coreruleset/crs-setup.conf
-* Basis-Konfiguration /etc/nginx/modsecurity/modsecurity.conf
+== ModSecurity konfigurieren ==
+Datei: /etc/nginx/modsec/modsecurity.conf
 <pre>
 SecRuleEngine On
@@ Zeile 25: / Zeile 38: @@
 SecAuditLog /var/log/nginx/modsec_audit.log
 SecAuditLogParts ABIJDEFHZ
-SecDebugLog /var/log/nginx/modsec_debug.log
-SecDebugLogLevel 3
 SecTmpDir /tmp/
 SecDataDir /tmp/
-# Beispiel-Testregel (optional)
+# Erst unsere Whitelist/Default-Deny laden
-SecRule ARGS "@contains script" \
+Include /etc/nginx/modsec/custom-rules/default-deny.conf
-    "id:9999,phase:1,deny,log,status:403,msg:'Test rule triggered'"
-# OWASP CRS laden
+# Danach CRS – wirkt nur auf NICHT-Whitelist-URIs
-Include /etc/nginx/modsecurity/coreruleset/crs-setup.conf
+Include /etc/nginx/modsec/coreruleset/crs-setup.conf
-Include /etc/nginx/modsecurity/coreruleset/rules/*.conf
+Include /etc/nginx/modsec/coreruleset/rules/*.conf
 </pre>
-* NGINX-Snippet /etc/nginx/modsecurity/main.conf
+== Whitelist-Policy ==
+* Datei mit erlaubten URIs /etc/nginx/modsec/allowed_uris.txt
+<pre>
+/upload
+</pre>
+* Regelwerk /etc/nginx/modsec/custom-rules/default-deny.conf
+<pre>
+# Whitelist: URIs aus Datei von Inspektion ausnehmen (inkl. CRS)
+SecRule REQUEST_URI "@pmFromFile /etc/nginx/modsec/allowed_uris.txt" \
+    "id:2000,phase:1,pass,log,ctl:ruleEngine=Off"
+# Default-Deny: alles andere blockieren
+SecRule REQUEST_URI ".*" \
+    "id:2999,phase:1,deny,status:403,log,msg:'Default deny policy'"
+</pre>
+== NGINX-Snippet ==
+Datei: /etc/nginx/modsec/main.conf
 <pre>
 modsecurity on;
-modsecurity_rules_file /etc/nginx/modsecurity/modsecurity.conf;
+modsecurity_rules_file /etc/nginx/modsec/modsecurity.conf;
 </pre>
-* VHost anpassen /etc/nginx/sites-available/default
+== NGINX-Site konfigurieren ==
+Datei: /etc/nginx/sites-available/default
 <pre>
 server {
      listen 80;
-     server_name localhost;
+     server_name <server>;
      return 301 https://$host$request_uri;
 }
@@ Zeile 57: / Zeile 85: @@
 server {
      listen 443 ssl;
-     server_name localhost;
+     server_name <server>;
      ssl_certificate     /etc/nginx/fullchain.pem;
@@ Zeile 65: / Zeile 93: @@
      error_log  /var/log/nginx/error.log warn;
-    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
+     include /etc/nginx/modsec/main.conf;
-    add_header Cache-Control "no-store, no-cache, must-revalidate";
-    error_page 403 /403.html;
-    location = /403.html {
-        root /var/www/html;
-        internal;
-    }
-     include /etc/nginx/modsecurity/main.conf;
      location / {
@@ Zeile 83: / Zeile 102: @@
      }
-     # Optional: Audit-Log über Browser abrufbar
+     # Audit-Log im Browser abrufbar (Basic-Auth)
      location /_waflog {
          alias /var/log/nginx/modsec_audit.log;
@@ Zeile 106: / Zeile 125: @@
 * Log-Dateien anlegen
 <pre>
-sudo touch /var/log/nginx/modsec_audit.log /var/log/nginx/modsec_debug.log
+sudo touch /var/log/nginx/modsec_audit.log
-sudo chown www-data:adm /var/log/nginx/modsec_*.log
+sudo chown www-data:adm /var/log/nginx/modsec_audit.log
-sudo chmod 640 /var/log/nginx/modsec_*.log
+sudo chmod 640 /var/log/nginx/modsec_audit.log
 </pre>
-* Fehlerseite anlegen /var/www/html/403.html
+== Fehlerseite ==
+/var/www/html/403.html
 <pre>
 <html>
   <head><title>403 Forbidden</title></head>
   <body>
-  <h1>Oops! Zugriff verweigert</h1>
+  <h1>Zugriff verweigert</h1>
   <p>Deine Anfrage wurde von der Web Application Firewall blockiert.</p>
   </body>
@@ Zeile 122: / Zeile 142: @@
 </pre>
-== Whitelist-Policy ergänzen ==
+== Audit-Log im Browser ==
-Zusätzlich kann das Verhalten durch eine Default-Deny-Policy verschärft werden. Dabei sind nur explizit erlaubte Methoden und Pfade zulässig.
+* Benutzerdatei anlegen
+ sudo htpasswd -c /etc/nginx/.htpasswd admin
-* Datei mit erlaubten POST-URIs /etc/nginx/modsecurity/allowed_post_uris.txt
-<pre>
-/safe/upload
-/safe/form
-/safe/login
-</pre>
-* Regeln /etc/nginx/modsecurity/custom-rules/default-deny.conf
-<pre>
-# Erlaube POST nur für explizit freigegebene URIs
-SecRule REQUEST_METHOD "@streq POST" "chain,id:2000,phase:1,deny,status:403,msg:'POST not allowed on this URI'"
-    SecRule REQUEST_URI "!@pmFromFile /etc/nginx/modsecurity/allowed_post_uris.txt"
-# Erlaube GET nur unterhalb von /safe/
+* Aufruf
-SecRule REQUEST_METHOD "@streq GET" "chain,id:2001,phase:1,allow,log,skipAfter:ALLOWLIST_DONE"
+ https://<server>/_waflog
-    SecRule REQUEST_URI "@beginsWith /safe/"
-# Marker
+== Aktivierung ==
-SecMarker ALLOWLIST_DONE
+* Syntax prüfen
+ sudo nginx -t
+* Reload
+ sudo systemctl reload nginx
-# Catch-All: alles andere blockieren
+== Testbeispiele ==
-SecRule REQUEST_URI ".*" "id:2999,phase:1,deny,status:403,msg:'Blocked by default policy',skipAfter:ALLOWLIST_DONE"
+{| class="wikitable"
-</pre>
+! Methode !! URI !! Erwartung
+|-
+| POST || /upload || 200 OK
+|-
+| GET  || /upload || 200 OK
+|-
+| GET  || /admin  || 403 Forbidden
+|-
+| POST || /bad    || 403 Forbidden
+|}
-* Einbindung in /etc/nginx/modsecurity/modsecurity.conf
+== Audit-Log verfolgen ==
 <pre>
-Include /etc/nginx/modsecurity/custom-rules/default-deny.conf
+sudo tail -f /var/log/nginx/modsec_audit.log
 </pre>
 == Ergebnis ==
-* ModSecurity + CRS schützt vor typischen Angriffen.
+* CRS schützt vor typischen Angriffen auf nicht-Whitelist-URIs
-* Die Whitelist-Policy setzt zusätzlich eine Default-Deny-Strategie um.
+* Default-Deny blockt alles, was nicht explizit erlaubt ist
-* Nur definierte Methoden und Pfade sind erlaubt, alle anderen Anfragen werden blockiert.
+* Whitelist erlaubt gezielt z. B. `/upload`
-* Das Audit-Log unter /var/log/nginx/modsec_audit.log dokumentiert alle geblockten Requests.
+* Audit-Log zeigt geblockte Requests
-[[KATEGORIE:WAF]]

Nginx mit Modsecurity zusammen Whitelists: Unterschied zwischen den Versionen