Fil-qosor: ModSecurity huwa Web Application Firewall li taħdem fis-server tal-web; l-OWASP Core Rule Set (CRS) jagħti magħha regoli disponibbli liberament kontra tipi komuni ta' attakk. Għal Apache l-proġett CRS jirrakkomanda ModSecurity v2, għal Nginx jiġu kkunsidrati l-konnettur v3 jew Coraza. Ibda fil-modalità ta' imblukkar b'limiti għoljin ħafna tal-anomaliji, ċekknuhom gradwalment u ittratta allarmi foloz b'eċċezzjonijiet immirati. Aġġornament ta' PHP ma jissostitwixxix dan.
WAF proprja bħala saff addizzjonali
Minn PHP2Shell ħafna kumpaniji jistaqsu jekk għandhomx bżonn Web Application Firewall. Min iwassal il-websajts tiegħu permezz ta' Cloudflare, skont Cloudflare, mill-21 ta' Ottubru 2026 għandu regoli ta' protezzjoni attivi awtomatikament. Min ma jagħmilx hekk jew ma jridx jgħaddi t-traffiku permezz ta' terza persuna jista' joperaha WAF direttament fuq is-server tiegħu.
L-aktar kombinazzjoni magħrufa għal dan hija ModSecurity mal-OWASP Core Rule Set. It-tnejn huma open source u bla ħlas. Is-CRS huwa ġabra ta' regoli ġenerali ta' identifikazzjoni, pereżempju kontra SQL injection, Cross-Site Scripting jew l-introduzzjoni ta' fajls. Il-proġett jiddeskrivi l-għan tiegħu stess bħala identifikazzjoni ġenerali ta' attakki b'kemm jista' jkun ftit allarmi foloz, bħala blokk wieħed fost bosta.
B'hekk hija msemmija wkoll il-limitu. WAF tivverifika talbiet u tweġibiet, ma tirranġax vulnerabbiltà fl-interpretatur ta' PHP. Għaliex għandek bżonn it-tnejn tiddeskrivih WAF jew aġġornament: għaliex għandek bżonn it-tnejn.
Liema engine taqbel mas-server tal-web tiegħek
Ir-regolament jeħtieġ engine li jesegwih. Skont id-dokumentazzjoni tas-CRS hemm tliet għażliet kompatibbli:
| Engine | Server tal-web | Klassifikazzjoni skont il-proġett CRS |
|---|---|---|
| ModSecurity v2 | Apache (modulu) | implimentazzjoni ta' referenza, rakkomandat għal Apache |
| ModSecurity v3 (libModSecurity) | l-aktar Nginx permezz ta' konnettur | biss il-konnettur ta' Nginx huwa verament użabbli fil-produzzjoni; ma jgħaddix 2 sa 4 fil-mija tat-testijiet CRS |
| Coraza | proxies u integrazzjonijiet bbażati fuq Go | tgħaddi kompletament is-suite tat-testijiet CRS v4 |
Għall-isfond: ModSecurity ilu żmien twil jiġi żviluppat minn Trustwave. Trustwave ħabbar fl-2021 li se jtemm l-iżvilupp fl-2024. Fil-25 ta' Jannar 2024 il-proġett għadda lill-OWASP Foundation. Għal installazzjonijiet ġodda ivverifika liema verżjoni twassal id-distribuzzjoni tiegħek u kemm hi aġġornata.
Kif jaħdem il-Core Rule Set
Is-CRS fl-issettjar standard ma jibblokkax mal-ewwel anomalija suspettuża. Jaħdem b'punti ta' anomalija: kull regola attivata żżid punti skont is-severità tagħha, u biss meta s-somma taqbeż limitu t-talba tiġi rrifjutata.
- Livelli ta' severità: kritiku 5 punti, żball 4, twissija 3, avviż 2.
- Limitu għal talbiet:
tx.inbound_anomaly_score_threshold, standard 5. - Limitu għal tweġibiet:
tx.outbound_anomaly_score_threshold, standard 4. - Livell ta' paranoja 1 sa 4 fil-
crs-setup.conf: Livell 1 huwa l-protezzjoni bażika għal kull server fuq l-internet, Livell 2 skont il-proġett jaqbel ma' applikazzjonijiet b'data veru tal-utenti bħal ħwienet online, Livell 3 u 4 iġibu ħafna aktar allarmi foloz.
Livell ogħla ta' paranoja jagħraf aktar, imma jipproduċi wkoll aktar allarmi foloz. Għall-biċċa l-kbira tal-websajts tal-kumpaniji Livell 1 huwa l-bidu, Livell 2 mira aktar tard.
Introduċi ModSecurity b'OWASP CRS mingħajr ma twaqqaf il-websajt
Il-proġett CRS jirrakkomanda għal installazzjonijiet ġodda li l-modalità ta' imblukkar tixgħel minn dejjem, imma b'limiti għoljin ħafna, sa 10000, u mbagħad jitbaxxew gradwalment. Hekk tiġbor esperjenza b'aċċessi veri, mingħajr ma teskludi utenti. Il-limiti tissettjahom fil-crs-setup.conf:
# crs-setup.conf: fażi tal-bidu b'limiti għoljin ħafna
SecAction \
"id:900110,\
phase:1,\
pass,\
t:none,\
nolog,\
setvar:tx.inbound_anomaly_score_threshold=10000,\
setvar:tx.outbound_anomaly_score_threshold=10000"
L-inklużjoni taħt Apache ssegwi l-ordni li d-dokumentazzjoni tas-CRS tippreskrivi għall-plugins. Mogħdijiet jvarjaw skont id-distribuzzjoni:
<IfModule security2_module>
SecRuleEngine On
Include /etc/modsecurity/crs/crs-setup.conf
Include /etc/modsecurity/crs/plugins/*-config.conf
Include /etc/modsecurity/crs/plugins/*-before.conf
Include /etc/modsecurity/crs/rules/*.conf
Include /etc/modsecurity/crs/plugins/*-after.conf
</IfModule>
Wara tevalwa l-audit log, li huwa ffissat f'SecAuditLog. Kif tfittex sistematikament fil-protokolli tiddeskrivih Evalwa l-logs tas-server tal-web wara attakk. Baxxi l-limiti f'stadji, pereżempju fuq diversi ġimgħat, sakemm tilħaq il-valur standard.
Ittratta allarmi foloz b'mod immirat
L-allarmi foloz huma normali, speċjalment f'backends tas-CMS b'editors li jaħżnu HTML. L-agħar reazzjoni hija li titfi l-WAF. Aħjar huma żewġ għodod.
L-ewwel, plugins: Il-proġett CRS iżomm plugins b'regoli ta' eċċezzjoni għal applikazzjonijiet komuni, pereżempju għal WordPress. Jiġu kkupjati fil-folder tal-plugins u mgħabbija permezz tal-linji Include murija hawn fuq. Il-lista uffiċjali iżommha l-proġett fid-direttorju tal-plugins tiegħu.
It-tieni, eċċezzjonijiet proprji u dojoq. Minflok ma titfi regola kullimkien, tneħħiha biss għall-mogħdija fejn tfixkel:
# Eċċezzjoni proprja, tgħabbiha QABEL ir-regoli CRS (pereżempju f'*-before.conf)
SecRule REQUEST_URI "@beginsWith /admin/editor/speichern" \
"id:1000010,\
phase:1,\
pass,\
nolog,\
ctl:ruleRemoveById=941100"
L-ID tar-regola tiehdu mill-audit log tal-allarm falz. Iddokumenta kull eċċezzjoni b'raġuni u data, biex aktar tard tkun tista' tiġi vverifikata.
Wara kull bidla fil-limiti jew fl-eċċezzjonijiet ittestja t-toroq kritiċi tal-applikazzjoni tiegħek: login, ordni, pagament, formola ta' kuntatt u redazzjoni. WAF li tibblokka ordnijiet tintefa malajr.
Għal servers Apache jixraq li l-WAF tinħadem flimkien mal-bqija tal-konfigurazzjoni; il-bażijiet jinsabu taħt Ikkonfigura Apache għal PHP b'mod sigur. Kif regoli ta' Cloudflare għandhom jiġu kklassifikati b'paragun juri Regoli ta' protezzjoni ta' Cloudflare kontra PHP2Shell. Il-miżuri tranżitorji fuq is-server innifsu jinsabu taħt Miżuri immedjati meta ma tistax tippatchja għadek.
Konklużjoni: WAF teħtieġ manutenzjoni
ModSecurity mal-OWASP Core Rule Set jagħtik Web Application Firewall b'saħħitha mingħajr spejjeż ta' liċenzja u mingħajr dipendenza fuq servizz estern. Il-prezz huwa xogħol: tagħżel l-engine skont is-server tal-web, tibda b'limiti għoljin, tevalwa allarmi foloz, iżżomm eċċezzjonijiet u żżomm ir-regoli aġġornati.
Min ma jistax joffri dan l-isforz spiss jaqbel aħjar ma' WAF fil-cloud ikkonfigurata tajjeb. Min joffrih jikseb saff li jaqbad ħafna attakki standard u jagħti ħjiel prezzjuż fl-audit logs. Fl-ebda każ ma jissostitwixxi l-aġġornament: kontra PHP2Shell jipproteġu biss PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 jew backport ikkonfermat, segwit mir-restart tal-proċessi kollha ta' PHP.
Kif tgħin PHP SOS b'mod konkret?
- Nagħżlu l-engine: nivverifikaw is-server tal-web, id-distribuzzjoni u l-pakketti eżistenti u nirrakkomandaw il-kombinazzjoni t-tajba.
- Nintroduċu: ninstallaw CRS b'limiti għoljin fil-bidu, ngħaqqdu plugins adattati u nistabbilixxu r-reġistrazzjoni.
- Nirranġaw: fuq diversi ġimgħat nevalwaw allarmi foloz, noħolqu eċċezzjonijiet immirati u nbaxxu l-limiti.
- Niklassifikaw: bħala parti mill-WAF u patching virtwali inwaħħlu l-WAF mal-miżuri tranżitorji u mat-triq lejn il-patch regolari.
Mistoqsijiet frekwenti
L-OWASP CRS jipproteġi minn PHP2Shell?
M'għandekx tassumi dan. Il-Core Rule Set jagħraf mudelli ġenerali ta' attakk u mhuwiex immirat għal vulnerabbiltà speċifika. Cloudflare jindika wkoll li ma' PHP2Shell regoli bbażati fuq id-data tat-talba waħedha mhumiex biżżejjed. L-aġġornament ta' PHP jibqa' obbligatorju.
Liema engine għandi nieħu għal Nginx?
Skont il-proġett CRS, ma' ModSecurity v3 biss il-konnettur ta' Nginx huwa verament użabbli fil-produzzjoni, u v3 ma jgħaddix parti żgħira mit-testijiet tas-CRS. Alternattiva hija Coraza, li skont il-proġett tgħaddi kompletament is-suite tat-testijiet CRS v4. Għal Apache l-proġett jirrakkomanda ModSecurity v2.
ModSecurity għadu miżmum?
Skont id-dokumentazzjoni tas-CRS, Trustwave kien ħabbar li se jtemm l-iżvilupp fl-2024. Fil-25 ta' Jannar 2024 il-proġett ingħata lill-OWASP Foundation u minn dakinhar jitkompla hemmhekk.
Kif nipprevjeni li l-WAF twaqqaf il-ħanut tiegħi?
Ibda b'limiti għoljin ħafna tal-anomaliji, kif jirrakkomanda l-proġett CRS, u ċekknuhom gradwalment. Evalwa fl-istess ħin il-protokolli u oħloq eċċezzjonijiet immirati għall-applikazzjoni tiegħek, minflok ma titfi regoli b'mod ġenerali.