evolix/wiki
22
0
Fork 0
Code Releases Activity

Compléments sur Modsecurity

Browse source
This commit is contained in:
Ludovic Poujol 2018-02-16 16:04:55 +01:00
parent 45d5619e18
commit a230f542d0
1 changed files with 17 additions and 2 deletions
Show stats Download patch file Download diff file Expand all files Collapse all files

19
HowtoApache.md
View file

@ -582,7 +582,7 @@ Voir <https://wiki.evolix.org/HowtoFail2Ban#apache-nginx>
### ModSecurity
L'utilisation de [ModSecurity](http://www.modsecurity.org) permet d'interdire certaines requêtes (attaques XSS connues, etc.) au niveau d'Apache.
L'utilisation de [ModSecurity](http://www.modsecurity.org) permet d'interdire certaines requêtes (attaques XSS connues, etc.) au niveau d'Apache. On l'installe généralement avec le [OWASP ModSecurity Core Rule Set](https://coreruleset.org/) (CRS)
~~~
# apt install libapache2-mod-security2 modsecurity-crs
@ -619,12 +619,27 @@ Nous faisons une configuration minimale via `/etc/apache2/conf-available/modsecu
SecRule REQUEST_URI "modsecuritytest2"
SecRule REQUEST_FILENAME "(?:n(?:map|et|c)|w(?:guest|sh)|cmd(?:32)?|telnet|rcmd|ftp)\.exe"
#Include /usr/share/modsecurity-crs/*.conf
Include /usr/share/modsecurity-crs/owasp-crs.load
ErrorDocument 406 http://SERVERNAME/406.html
</IfModule>
~~~
On peut aussi ajuster certains paramètres de ModSecurity Core Rule Set en ajustant le fichier `/etc/modsecurity/crs/crs-setup.conf`. C'est notamment ici qu'il faudra ajuster si on utilise d'autres méthodes HTTP (comme PATCH, DELETE) qui risque d'être bloquées
On pourra désactiver modsecurity dans des vhosts ou sur des dossiers en particulier en jouant avec la directive `SecRuleEngine Off` Utile notamment sur l'administration de Wordpress ou PHPmyAdmin
~~~
<Directory "/home/monsite/www/wp-admin">
<IfModule security2_module>
SecRuleEngine Off
</IfModule>
</Directory>
~~~
On peut aussi désactiver des règles spécifiques en utilisant `SecRuleRemoveById XXXX`
Le Wiki À propos de [ces directives](https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual)
Pour une configuration avancée, on ajuste l'utilisation du jeu de règles *modsecurity-crs* et l'on gère nos propres règles personnalisées.