一、介绍
引言
ModSecurity是一个Web应用防火墙（WAF）。当前已经有超过70％的攻击发生在网络应用层，各级组织急需要能够保证他们的系统安全性的帮助。WAF系统的部署，可以为web应用增加一个外部安全层来检测或防止攻击。针对一系列的攻击,ModSecurity为web应用提供了强大的保护，并对HTTP流量进行监测和实时分析，这些都只是很少或是根本没有影响系统的基础设施。
HTTP流量记录
web服务器已有的日志功能已经足够进行访问请求分析，但是就web的应用分析还有些不足，特别是大多情况下没办法记录下请求体。你的对手很清楚这一点，所以很多时候的攻击是通过POST请求产生，并导致您的系统失明。ModSecurity充分的获取HTTP交互中的所以内容，并记录完整的请求和响应。其日志功能可以允许您更细致的做出判断究竟什么是登录的时候，并确保相关的数据都被记录下来。一些请求和响应中的某些关键字段可能包含敏感数据，ModSecurity可以被配置成在记录这些审计日志前隐藏它。
实时监控和攻击检测
除了提供记录日志功能外，ModSecurity还能实时的监控HTTP的流量以检测攻击。在某些时候，ModSecurity做为一个WEB入侵检测工具，可以让你对发生在WEB系统上的一些可疑事件做出响应。
攻击防御和及时修补
ModSecurity能够立即针对你的WEB应用系统进行攻击防御，有三种通用的方法： 1、消极(negative)安全模型：消极安全模型监控那些异常的、不常用的和通用的WEB攻击类请求。它统计每个请求的有关IP地址、应该连接、和用户帐户的异常分数，当出现较高的异常分数时，会记录日志并完全的阻止访问。
2、积极安全模开型：部署积极安全模型后，只有那些明确的请求被允许通过，其它的一律禁止。这个模式要求你对需要保护的WEB应用要非常的了解。因此积极安全模式最好是用于那种大量访问却很少更新的系统，这样才能使这种模型的维护工作量降到最低。
3、已知漏洞攻击：其规则语言使ModSecurity成为一个理想的外部修补工具，外部修补（有时是指虚拟修补）可以减少机会之窗。一些组织修补这些应用的漏洞通常需要几周的时间，使用ModSecurity，应用系统可以从外部修补，根本不用改应用的源码（甚至时不用去管它），可以保证你的系统安全直到有一个合适的补丁来应用到系统中。
灵活的规则引擎
灵活的规则引擎是ModSecurity的核心，其实现了ModSecurity的规则语言，这是一个专用的程序语言设计的用于处理HTTP的传输数据。ModSecurity规则语言被设计的简单易用，非常的灵活：通用的操作是简单的，而复杂的操作也是可以实现的。经过认证的ModSecurity规则，放在ModSecurity中，包含了一整套规则，它实现了通用目的强化、协议正规化和对一些通用web应用安全问题的检测。大量评论认为，这些规则可以用于学习研究使用。
嵌入式模式部署
ModSecurity是一个可嵌入式的WEB应用防火墙，意思就是它可以做为以apache为基础的已经提供WEB服务的WEB服务器的一部分。这样的部署译意风一些特殊的优势：
1、不改变已有的网络结构。只需要花几分钟就可以为你的WEB服务器添加ModSecurity，而且由于它默认被设计为完全的被动方式，你可以自由的逐步部署并且只使用你需要的特性。同样也可以根据你的需要轻松的删除或停用它。
2、不存在单点故障。与网络设备部署方式不同，你不会给你的系统带来新的故障点。 3、绝对支持负载均衡。因为它以嵌入方式运行在WEB服务器上，ModSecurity会自动的利用附加的负载均衡特性。你不需要考虑负载均衡，除非你的系统本来就需要它。
4、极少开销。因为它在WEB服务器进程内工作，不会带来网络间接通信的负载，而且只进行最小的分析和数据交换开销。
5、加密或压缩内容没问题。许多IDS系统分析SSL流量的时候很困难，但对于ModSecurity没有麻烦，因为它工作于已解密和解压的数据环节。
基于网络的部署
在基于apache的反向代理模式上ModSecurity同样能工作的很好，我们很多客户选择这样做。在这种情形下，装了ModSecurity的可以保护任一一种WEB服务器（即使它不是apache的）。
可移植性
众所周知，ModSecurity可以很好的工作在众多操作系统上，我们的用户已经将它成功运行在Linux, Windows, Solaris, FreeBSD, OpenBSD, NetBSD, AIX, Mac OS X, 和HP-UX等系统上。
许可
ModSecurity有两种许可方式。用户可以选择在GNU许可第二版（本发布中包含这个许可文本）下免费的使用这个软件产品。还有一系列的商业许可可供选择，同时会有一些商业支持合同。有关更详细的商业许可信息请联系Breach Security。
注意
ModSecurity, mod_security, ModSecurity Pro, 和 ModSecurity Core Rules等都是Breach Security, Inc.的商标或注册商标。
二、ModSecurity Core Rules
概述
ModSecurity是一个WEB应用防火墙引擎，自身所提供的保护非常少。为了变得更有用些，ModSecurity必须启用规则配置。为了让用户能够充分利用ModSecurity离开方块，Breach Security, Inc.为ModSecurity 2.x提供了一套免费的认证规则集。和入侵检测及防御系统不一样，它们依赖于具体的签名过的已知漏洞，而这一核心规则却是为从网络应用中发现的不知名的漏洞提供一般的保护，通常这些漏洞大多数情况下都是自定义编码的。这一核心规则有了大量的评论，从而使得这些能够被用来做ModSecurity的部署向导。最新的核心规则可能通过ModeSecurity的站点找到-http://www.modsecurity.org/projects/rules。
核心规则内容
为了提供一般WEB应用保护，核心规则使用以下技术：
? HTTP保护 - HTTP协议正规划检测，并启用本地有效策略 ? 一般WEB攻击保护 - 检测一般WEB应用的安全攻击 ? 自动检测 - 检测机器人、爬虫、扫描器和其他的表面恶意行动 ? 木马检测 - 检测木马程序进入 ? 过失隐藏 - 伪装服务器发出错误消息
三、安装
安装
ModSecurity安装过程包含以下几步：
1、ModSecurity 2.x工作于Apache 2.0.x或者更高版本 2、确认您已经安装了mod_unique_id。
mod_unique_id是apache的httpd中的一个包 3、服务器中还没有libxml2的话，请安装它的最新版. http://xmlsoft.org/downloads.html
4、如果服务中还没有安装Lua，而且你将需要使用的话，请安装5.1.x分支的最新版 http://www.lua.org/download.html
注意ModSecurity需要的是动态库，而采用源代码编译时默认得不到这些，所以最好采用二进制发布版本。
5、停止apache的httpd服务 6、解开ModSecurity安装包
7、Unix（或者类Unix）操作系统和Windows上进行不同的构建 Unix
a、运行configure脚本生成Makefile文件，通常不需要设置选项 ./configure
更多的定制使用配置选项（使用./configure --help可以得到完整列表），但通常你只需要使用--with-apxs选项指定apache的httpd安装时的apxs的位置即可。 ./configure --with-apxs=/path/to/httpd-2.x.y/bin/apxs b、编译：make
c、可选的测试：make test
注意：这一步还是带有一点点试验性质，如果发现问题，请把构建过程中的所有输出发送到支持列表，大部分常见问题是找不到所需要的头和库文件。
d、可选构建ModSecurity的日志收集器：make mlogc
e、可选安装mlogc：查检发布版本包含在apache2/mlogc-src目录下的INSTALL文件 f、安装ModSecurity模块：make install Windows(MS VC++ 8)
a、编辑Makefile.win文件，配置apache主目录和二进制目录 b、编译：nmake -f Makefile.win
c、安装ModSecurity模块：nmake -f Makefile.win install
d、拷贝libxml2.dll和lua5.1.dll到apache的二进制目录，当然也可以象下面的操作那样使用LoadFile命令加载那些库文件。
8、编辑apache httpd的主配置文件（通常是httpd.conf）
On UNIX(在Windows上，如果你没有按上述规定拷贝DLL文件话也可以）上你必须在ModSecurity之前加载libxml2和lua5.1，参考如下操作： LoadFile /usr/lib/libxml2.so LoadFile /usr/lib/liblua5.1.so
按如下加载ModSecurity
LoadModule security2_modules modules/mod_security2.so
9、配置ModSecurity 10、启动apache httpd
11、到目前为止，你应该已经装好ModSecurity 2.x并且运行它了。
注意：
如果你是自己编译的apache，那你或许经历了在PCRE上编译ModSecurity的问题，这是因为apache带上了PCRE，但通常PCRE的库文件又是由系统提供的，我希望绝大多数的供应商打包apache发布版本时配置使用外部PCRE的库文件（所以这不应成为问题）
您想避免使用apache捆绑的PCRE库和ModSecurity使用的是系统提供的库，很简单的方法就是重新编译apach，并使用系统提供的PCRE库（或者你可以下载个最新版本的PCRE编译一下），你也可以在编译的时候使用--with-pcre开关。如果你不能重新编译apache，那么为了获得ModSecurity的编译成功，你还是需要获得捆绑的PCRE头文件（这可以在apache的代码中找到）并修改INCLUDE路径（在上述第7步中做）来指向它（通过ModSecurity的--with-pcre配置选项）。
你注意，如果你的apache使用的是外部PCRE，那你可以在编译ModSecurity时使用WITH_PCRE_STUDY定义，这将给你的服务器处理正则表达式时有一个轻微的性能提高。
四、配置指令（一）
以下章节列出ModSecurity指令的纲要，大部分的ModSecurity指令可以用于Apache带有范围的指令中，如VirtualHost, Location, LocationMatch, Directory等。当然也还有其他的，只能在主配置文件中使用一次。这些信息在下述范围章节中指定，下述的版本指令章节中给出第一个版本可用给定的指令。
这些规则除了核心规则文件之外 ，应当做为一个独立的于httpd.conf之外的配置文件，通过apache的include指定包含在其中。如此可以方便更新或迁移规则，如果你要创建自己的规则，作为核心规则使用，你应该创建一个文件叫modsecurity_crs_15_customrules.conf 当作核心规则放在相同的目录下。使用这个文件名，你的自定义规则会在标准的ModSecurity规则之后被加载，但会在其他规则之前，这可以使得您的规则在您需要实施具体的“允许”规则或纠正任务误报的核规则时得到优先评估，从而使其真正用到你的网站系统上。
注意：
我们鼓励您不要去修改核心规则文件，但你可以把所有的改动（就象SecRuleRemoveByID等）放到自己定义的文件中，这样可以让您很方便的从ModSecurity站点升级新的核心规则文件。
SecAction
描述：无条件执行动作列表中的第一个也是唯一的一个参数，只接受一个参数，其句法规则与SecRule的第三个参数相同
语法：SecAction action1,action2,action3
示例：SecAction nolog,initcol:RESOURCE=%{REQUEST_FILENAME} 阶段：所有 范围：所有 版本：2.0.0 备注：无
SecAction是您想无条件执行一个动作时的最好选择，这是有条件基于对请求/响应数据的检查导致明确的控制产生的一般动作，当你想运行一些特定的动作如initcol来初始化搜集时这是一个很有用的指令。
SecArgumentSeparator
描述：指定的字符做为application/x-www-form-urlencoded内容的分隔符，默认是&，非常少的情况下应用会使用分号(;)。
语法：SecArgumentSeparator character 示例：SecArgumentSeparator ; 阶段：所有 范围：Main 版本：2.0.0 备注：无
这个指令用于后台WEB应用在使用非标准的参数分隔符,如果没有在每一个WEB应用中合理设置这个指令，那么ModSecurity可能无法适当的分析所有的参数，并且规则匹配的效果可能会显著的降低。
SecAuditEngine
描述：配置审计日志引擎的开启与否
语法：SecAuditEngine On|Off|RelevantOnly 示例：SecAuditEngine On 阶段：N/A 范围：任意 版本：2.0.0