Modsecurity

[avonni]

Edit: O tutorial de instalação das regras está em meu 3º post neste tópico.

Bom uso! ;)

[Lucas Oliveira]

Olá tudo bom Ysaac?,

Eis um link que vai solucionar seus problemas: http://cpanelmania.blogspot.com/2010/10/mod-secure.html

Velho tenta trocar a imagem do seu avatar. Quase tomei um cagaço.

[Marco Antonio]

Olá tudo bom Ysaac?,

Eis um link que vai solucionar seus problemas: http://cpanelmania.blogspot.com/2010/10/mod-secure.html

Velho tenta trocar a imagem do seu avatar. Quase tomei um cagaço.

A dica e muito boa e sobre o avatar huauhahua parece cara de marrento..

[Lucas Oliveira]

Falando serio isso me da medo. :B

[Demartini]

Olá tudo bom Ysaac?,

Eis um link que vai solucionar seus problemas: http://cpanelmania.blogspot.com/2010/10/mod-secure.html

Velho tenta trocar a imagem do seu avatar. Quase tomei um cagaço.

Muito obrigado Lucas essa dica ajudou mesmo, sem falar que esse blog tem muita coisa bacana.

Abraço.

[avonni]

Olá tudo bom Ysaac?,

Eis um link que vai solucionar seus problemas: http://cpanelmania.b...mod-secure.html

Valeu Lucas!

[avonni]

Bom, consegui fazer as configurações mas tive que mudar algumas coisinhas que não estavam funcionando no link que o Lucas passou. Lá o link p/ as rules estava quebrado, então modifiquei. Lá vai o procedimento completo:

Acessando como root execute:

cd /usr/local/apache/conf/

mkdir modsec_rules

cd modsec_rules

wget http://updates.atomicorp.com/channels/rules/delayed/modsec-201008191901.tar.gz

tar zvxf modsec-201008191901.tar.gz

rm -fr zvxf modsec-201008191901.tar.gz

Crie os diretórios abaixo, eles são necessários para gravação e leitura de arquivos temporários do ASL:

mkdir /var/asl

mkdir /var/asl/tmp

mkdir /var/asl/data

mkdir /var/asl/data/msa

mkdir /var/asl/data/audit

mkdir /var/asl/data/suspicious

mkdir /etc/asl

Corrija as permissões :

chown nobody.nobody /var/asl/data/msa

chown nobody.nobody /var/asl/data/audit

chown nobody.nobody /var/asl/data/suspicious

chmod o-rx -R /var/asl/data/*

chmod ug+rwx -R /var/asl/data/*

e crie o arquivo "lista branca":

touch /etc/asl/whitelist

Agora acesse o WHM e clique no "Mod Security", deletando as regras atuais e no lugar delas adicione:

SecComponentSignature 201008191901

SecRequestBodyAccess On

SecResponseBodyAccess On

SecResponseBodyMimeType (null) text/html text/plain text/xml

SecResponseBodyLimit 2621440

SecServerSignature Apache

SecUploadDir /var/asl/data/suspicious

SecUploadKeepFiles Off

SecAuditLogParts ABIFHZ

SecArgumentSeparator '&'

SecCookieFormat 0

SecRequestBodyInMemoryLimit 131072

SecDataDir /var/asl/data/msa

SecTmpDir /tmp

SecAuditLogStorageDir /var/asl/data/audit

SecResponseBodyLimitAction ProcessPartial

# ConfigServer ModSecurity - descomente caso vc use o ConfigServer CMC.

#Include /usr/local/apache/conf/modsec2.whitelist.conf

#ASL Rules

Include /usr/local/apache/conf/modsec_rules/modsec/99_asl_jitp.conf

Include /usr/local/apache/conf/modsec_rules/modsec/50_asl_rootkits.conf

#Include /usr/local/apache/conf/modsec_rules/modsec/00_asl_rbl.conf

Include /usr/local/apache/conf/modsec_rules/modsec/00_asl_whitelist.conf

Include /usr/local/apache/conf/modsec_rules/modsec/05_asl_scanner.conf

Include /usr/local/apache/conf/modsec_rules/modsec/20_asl_useragents.conf

Observação: Caso você use o ConfigServer CMC (http://www.configserver.com/cp/cmc.html) deixe a linha "Include /usr/local/apache/conf/modsec2.whitelist.conf" liberada, caso não use, deixe comentado com o # no início.

Existem vários arquivos de regras específicas no /usr/local/apache/conf/modsec_rules/ - estas acima são sugestões.

Tome cuidado com o load do servidor - quanto mais regras forem adicionadas ao modulo mais o apache demorará a carrega-las em cada processo aberto. O que sugiro neste caso para usar são:

Include /usr/local/apache/conf/modsec_rules/99_asl_jitp.conf

Include /usr/local/apache/conf/modsec_rules/50_asl_rootkits.conf

Include /usr/local/apache/conf/modsec_rules/20_asl_useragents.conf

Após tudo isso salve e reinicie o apache. Acompanhe os logs do mod_security para ver que tipo de tentativa de acesso indevido ocorre, em quais scripts e domínios de seu servidor.

Post retirado e adaptado do blog: http://cpanelmania.blogspot.com/2010/10/mod-secure.html

Editado Março 23, 2011 por Ysaac
Corrigir erro de digitação :)

[tekobr]

Ysaac, show de bola! Parabéns pela adaptação!

[Medim Host]

Realmente, muito boa essa adaptação. Referente ao blog que o Lucas citou, realmente é muito bom.

[guped]

usos essas regras aqui devo apagalas?

SecRule REQUEST_URI “dm.cgi”

SecRule REQUEST_URI “dark.cgi”

SecRule REQUEST_URI “udp.pl”

SecRule REQUEST_BODY|REQUEST_URI “\.cgi\?m\=state”

SecRule REQUEST_BODY|REQUEST_URI “cgi\?m\=snd”

SecRule REQUEST_BODY|REQUEST_URI “cgi\?m\=icfg”

SecRule REQUEST_BODY|REQUEST_URI “\.pl\?m\=state”

SecRule REQUEST_BODY|REQUEST_URI “pl\?m\=snd”

SecRule REQUEST_BODY|REQUEST_URI “pl\?m\=icfg”