Go achomair: Is Web Application Firewall é ModSecurity a ritheann sa fhreastalaí gréasáin; soláthraíonn an OWASP Core Rule Set (CRS) rialacha atá ar fáil go saor in aghaidh cineálacha ionsaithe coitianta. I gcás Apache molann tionscadal CRS ModSecurity v2, i gcás Nginx tagann an nasc v3 nó Coraza i gceist. Tosaigh i mód blocála le tairseacha anomáil an-ard, laghdaigh iad céim ar chéim agus láimhseáil bréagrabhaidh le heisceachtaí spriocdhírithe. Ní chuireann nuashonrú PHP ionad leis seo.
WAF dá chuid féin mar chiseal breise
Ó PHP2Shell fiafraíonn go leor cuideachtaí an bhfuil Web Application Firewall de dhíth orthu. An té a sheachadann a shuíomhanna gréasáin trí Cloudflare, tá rialacha cosanta gníomhach go huathoibríoch ó 21 Deireadh Fómhair 2026 de réir Cloudflare. An té nach ndéanann, nó nach bhfuil sásta an trácht a threorú trí thríú páirtí, is féidir leis WAF a oibriú go díreach ar a fhreastalaí féin.
Is é ModSecurity leis an OWASP Core Rule Set an teaglaim is cáiliúla chuige sin. Tá an dá cheann foinse oscailte agus saor in aisce. Is bailiúchán de rialacha braite ginearálta é an CRS, mar shampla in aghaidh SQL-Injection, Cross-Site-Scripting nó insteallta comhad. Déanann an tionscadal cur síos ar a sprioc féin mar bhraite ginearálta ionsaithe leis na bréagrabhaidh is lú is féidir, mar bhloc tógála amháin i measc roinnt.
Sin an teorainn ainmnithe freisin. Seiceálann WAF iarratais agus freagraí, ní dheisíonn sé leochaileacht san ateangaire PHP. Cén fáth a bhfuil an bheirt acu de dhíth ort, déanann WAF nó nuashonrú: cén fáth a bhfuil an bheirt acu de dhíth cur síos air.
Cé acu inneall a oireann do do fhreastalaí gréasáin
Teastaíonn inneall chun na rialacha a rith. De réir dhoiciméadacht CRS tá trí rogha chomhoiriúnacha ann:
| Inneall | Freastalaí gréasáin | Aicmiú de réir thionscadal CRS |
|---|---|---|
| ModSecurity v2 | Apache (modúl) | cur i bhfeidhm tagartha, molta d'Apache |
| ModSecurity v3 (libModSecurity) | Nginx den chuid is mó trí nasc | níl ach an nasc Nginx inúsáidte go fírinneach sa táirgeadh; teipeann ar 2 go 4 faoin gcéad de thástálacha CRS |
| Coraza | seachfhreastalaithe agus lánpháirtithe bunaithe ar Go | éiríonn go hiomlán le sraith thástála CRS v4 |
Mar chúlra: d'fhorbair Trustwave ModSecurity ar feadh i bhfad. D'fhógair Trustwave in 2021 go gcuirfí deireadh leis an bhforbairt in 2024. An 25 Eanáir 2024 aistríodh an tionscadal chuig an OWASP Foundation. Do shuiteálacha nua seiceáil cé acu leagan a sheachadann do dháileadh agus cé chomh nua-aimseartha is atá sé.
Conas a oibríonn an Core Rule Set
De réir réamhshocraithe ní bhlocálann an CRS ag an gcéad neamhghnáthacht amhrasach. Oibríonn sé le pointí anomáil: cuireann gach riail a spreagtar pointí leis de réir a déine, agus ní dhiúltaítear don iarratas ach nuair a shárú suim tairseach.
- Leibhéil déine: criticiúil 5 phointe, earráid 4, rabhadh 3, nóta 2.
- Tairseach d'iarratais:
tx.inbound_anomaly_score_threshold, réamhshocrú 5. - Tairseach do fhreagraí:
tx.outbound_anomaly_score_threshold, réamhshocrú 4. - Leibhéil paranóia 1 go 4 sa
crs-setup.conf: is é leibhéal 1 an bhuncosaint do gach freastalaí ar an Idirlíon, oireann leibhéal 2 d'fheidhmchláir le fíorshonraí úsáideora ar nós siopaí ar líne de réir an tionscadail, tugann leibhéal 3 agus 4 i bhfad níos mó bréagrabhaidh.
Aithníonn leibhéal paranóia níos airde níos mó, ach cruthaíonn sé níos mó bréagrabhaidh freisin. I gcás fhormhór na suíomhanna gréasáin cuideachta is é leibhéal 1 an tús, leibhéal 2 sprioc níos déanaí.
ModSecurity le OWASP CRS a thabhairt isteach gan an suíomh gréasáin a chur as feidhm
Molann tionscadal CRS do shuiteálacha nua an mód blocála a chumasú ón tús, ach le tairseacha an-ard, suas le 10000, agus iad a laghdú céim ar chéim ansin. Ar an gcaoi sin bailíonn tú taithí le fíorrochtana gan úsáideoirí a ghlasáil amach. Socraíonn tú na tairseacha sa crs-setup.conf:
# crs-setup.conf: céim thosaigh le tairseacha an-ard
SecAction \
"id:900110,\
phase:1,\
pass,\
t:none,\
nolog,\
setvar:tx.inbound_anomaly_score_threshold=10000,\
setvar:tx.outbound_anomaly_score_threshold=10000"
Leanann an t-ionchuimsiú faoi Apache an t-ord a leagann doiciméadacht CRS síos do phlugin. Athraíonn cosáin de réir dáilte:
<IfModule security2_module>
SecRuleEngine On
Include /etc/modsecurity/crs/crs-setup.conf
Include /etc/modsecurity/crs/plugins/*-config.conf
Include /etc/modsecurity/crs/plugins/*-before.conf
Include /etc/modsecurity/crs/rules/*.conf
Include /etc/modsecurity/crs/plugins/*-after.conf
</IfModule>
Ina dhiaidh sin measann tú an log iniúchta atá socraithe i SecAuditLog. Conas a chuardaíonn tú prótacail go córasach, déanann Logaí an fhreastalaí gréasáin a mheas tar éis ionsaithe cur síos air. Laghdaigh na tairseacha i gcéimeanna, mar shampla thar roinnt seachtainí, go dtí go sroicheann tú an gnáthluach.
Bréagrabhaidh a láimhseáil go sonrach
Is gnách bréagrabhaidh, go háirithe i gcúl-chodanna CMS le heagarthóirí a stórálann HTML. Is é an freagra is measa an WAF a mhúchadh. Is fearr dhá uirlis.
Ar an gcéad dul síos, plugins: coinníonn tionscadal CRS plugins le rialacha eisceachta d'fheidhmchláir choitianta, mar shampla do WordPress. Cóipeáiltear iad isteach san fhillteán plugin agus luchtaítear iad trí na línte Include thuas. Coinníonn an tionscadal an liosta oifigiúil ina eolaire plugin.
Ar an dara dul síos, eisceachtaí dá gcuid féin, cúng. In ionad riail a mhúchadh i ngach áit, bainfidh tú í amach don chosán amháin ina gcuireann sí isteach:
# Eisceacht ar leith, luchtaigh ROIMH rialacha CRS (m.sh. i gcomhad *-before.conf)
SecRule REQUEST_URI "@beginsWith /admin/editor/speichern" \
"id:1000010,\
phase:1,\
pass,\
nolog,\
ctl:ruleRemoveById=941100"
Faigheann tú ID na riala ó log iniúchta an bhréagrabhaidh. Doiciméadaigh gach eisceacht le cúis agus dáta, ionas gur féidir í a athbhreithniú níos déanaí.
Tar éis gach athraithe ar thairseacha nó ar eisceachtaí déan tástáil ar bhealaí criticiúla d'fheidhmchláir: logáil isteach, ordú, íocaíocht, foirm teagmhála agus eagarthóireacht. Múchtar WAF a bhlocálann orduithe go han-tapa arís.
I gcás freastalaithe Apache is fiú an WAF a láimhseáil in éineacht leis an gcuid eile den chumraíocht; tá an bunábhar ag Apache a chumrú go slán do PHP. Conas a aicmítear rialacha Cloudflare i gcomparáid, léiríonn Rialacha cosanta Cloudflare in aghaidh PHP2Shell. Tá na bearta idirthréimhseacha ar an bhfreastalaí féin ag Gníomhartha láithreacha mura féidir leat paistiú fós.
Conclúid: teastaíonn cothabháil ó WAF
Tugann ModSecurity leis an OWASP Core Rule Set Web Application Firewall láidir duit gan costais cheadúnais agus gan spleáchas ar sheirbhís sheachtrach. Is é an praghas obair: an t-inneall a roghnú a oireann don fhreastalaí gréasáin, tosú le tairseacha arda, bréagrabhaidh a mheas, eisceachtaí a chothú agus na rialacha a choinneáil cothrom le dáta.
An té nach féidir leis an iarracht sin a dhéanamh, is minic gur fearr dó WAF scamall dea-chumraithe. An té a dhéanann, faigheann sé ciseal a ghabhann go leor gnáthionsaithe agus a sholáthraíonn leideanna luachmhara sna logaí iniúchta. Sa chás ar bith ní chuireann sé ionad an nuashonraithe: in aghaidh PHP2Shell ní chosnaíonn ach PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 nó backport deimhnithe, agus atosú gach próiseas PHP ina dhiaidh.
Conas a chabhraíonn PHP SOS go nithiúil?
- Inneall a roghnú: Seiceálaimid freastalaí gréasáin, dáileadh agus pacáistí atá ann agus molaimid an teaglaim oiriúnach.
- Tabhairt isteach: Suiteálaimid CRS le tairseacha tosaigh arda, ionchuimsímid plugins oiriúnacha agus socraímid an logáil.
- Coigeartú: Thar roinnt seachtainí measaimid bréagrabhaidh, cruthaímid eisceachtaí spriocdhírithe agus laghdaímid na tairseacha.
- Aicmiú: Faoi chuimsiú WAF agus paistiú fíorúil ceanglaímid an WAF le bearta idirthréimhseacha agus leis an mbealach chuig an ngnáthphaiste.
Ceisteanna coitianta
An gcosnaíonn an OWASP CRS in aghaidh PHP2Shell?
Níor cheart duit glacadh leis sin. Aithníonn an Core Rule Set patrúin ghinearálta ionsaithe agus níl sé deartha do leochaileacht ar leith. Tugann Cloudflare le fios freisin nach leor rialacha bunaithe ar shonraí an iarratais amháin i gcás PHP2Shell. Fanann an nuashonrú PHP éigeantach.
Cén t-inneall ba cheart dom a roghnú d'Nginx?
De réir thionscadal CRS, le ModSecurity v3 níl ach an nasc Nginx inúsáidte go fírinneach sa táirgeadh, agus teipeann ar v3 ar chuid bheag de thástálacha CRS. Mar rogha eile tá Coraza, a éiríonn go hiomlán le sraith thástála CRS v4 de réir an tionscadail. I gcás Apache molann an tionscadal ModSecurity v2.
An gcothaítear ModSecurity fós?
De réir dhoiciméadacht CRS bhí fógartha ag Trustwave deireadh a chur leis an bhforbairt in 2024. An 25 Eanáir 2024 aistríodh an tionscadal chuig an OWASP Foundation agus leanann sé ar aghaidh ansin ó shin.
Conas a chuirim cosc ar an WAF mo shiopa a chur as feidhm?
Tosaigh le tairseacha anomáil an-ard, mar a mholann tionscadal CRS, agus laghdaigh iad céim ar chéim. Déan na logaí a mheas ag an am céanna agus cruthaigh eisceachtaí spriocdhírithe d'fheidhmchlár in ionad rialacha a mhúchadh ar bhonn ginearálta.