ModSecurity をインストールして Apache に適用するまでの備忘録（Ubuntu 24.04 LTS）

2024.08.01

0.1 そもそも ModSecurity とは？
0.2 環境
0.3 インストールと初期設定
0.4 ルールセットのダウンロード（v4.3.0）
0.5 本番運用する前に...

1 まとめ

こんにちは
脳みそは既に EOL
システムソリューション部のかわです。

ちょっと前の話ですが、6月に Micro Hardening という、セキュリティ堅牢化のチーム競技大会である Hardening Project の小規模版に参加してきました。

淡路島の開催で、ハードな演習ではあったんですが、天候も良く海と山に囲まれた自然の中で取り組めたので、すごく充実した時間を過ごせました。

（夕日がきれいかった）

演習は45分1セット（計6セット）でECサイトを攻撃から守りつつ、仮にダウンした際の SLA もスコア算定され、チーム単位で最終的な売上+スコアを競います。

常に何かしらの攻撃が来るんですが、うちのチームは今回特に SQLインジェクション に苦しめられました。

▼ 詳しくは弊社一木の記事を参照されたし ▼

【Micro Hardening v2】やさしめセキュリティインシデント体験記

どうやって防ごうと思案していたところ、ModSecurity を使ってみようとなり、結果的にこれが功を奏して高得点を獲得できました。

今回は、ModSecurity のインストール方法と、その付随する CRS ルールの導入について備忘録として残します。

そもそも ModSecurity とは？

（ご存知の方はすっ飛ばしてもらえれば！）
ModSecurity とは、OWASP が所有する OSS の WAF（Web Application Firewall）エンジンで、各種 CMS を使用して提供されるWebサイト等を攻撃から守ってくれます。

CRS ルールというルールセット（定義ファイル的な）と組み合わせて使用し、WordPress や Drupal などの主要な　CMS、ミドルウェアでは Apache や Nginx・IIS などに対応しています。インストール後少し設定すれば使えるようになるので、スタンドアロンで稼働している環境で簡単に導入できます。

ただし、False Positive（誤判定）のチューニングが少し難しいので、本番環境に導入・運用するのは時間がかかる作業になるかと思います。

また、AWS WAF や WAFCharm などのクラウドWAFが前段に配置されている環境では、守備範囲が重複するので導入メリットは薄いです。

環境

Ubuntu 24.04 LTS
Apache/2.4.58

インストールと初期設定

sudo apt update
sudo apt install libapache2-mod-security2
sudo a2enmod security2   # モジュール有効化

以下、インストール後の基本的な設定です。
サンプルコンフィグが作成されるので、ファイル名を変更して一部編集します。

cd /etc/modsecurity/
sudo mv modsecurity.conf-recommended modsecurity.conf
sudo nano /etc/modsecurity/modsecurity.conf

SecRuleEngine DetectionOnly   #デフォルトは検知のみになっているので有効化
↓
SecRuleEngine On

SecAuditLogParts ABIJDEFHZ   # Dは「中間的レスポンスヘッダ」の意味だが、予約語で未実装の模様
↓
SecAuditLogParts ABCEFHJKZ   # Iを削除、DをC（リクエストボディ）に変更

sudo systemctl restart apache2

これで一旦の設定は完了です。
次は CRS ルールをダウンロードします。

ルールセットのダウンロード（v4.3.0）

※ 本記事の執筆中に、v4.4.0 がリリースされたようですが、基本的に本手順はバージョン違いでも同様です。最新版は以下を参照されたし。
https://github.com/coreruleset/coreruleset/releases

GitHub からファイルをダウンロードし解凍、その後 Apache ディレクトリ以下に移動しておきます。

cd /tmp/
sudo wget -p /tmp/ https://github.com/coreruleset/coreruleset/archive/refs/tags/v4.3.0.tar.gz
tar xvf v4.3.0.tar.gz

sudo mkdir /etc/apache2/modsecurity-crs/
sudo mv coreruleset-4.3.0/ /etc/apache2/modsecurity-crs/
cd /etc/apache2/modsecurity-crs/coreruleset-4.3.0/
sudo mv crs-setup.conf.example crs-setup.conf

コアルールセットを認識させるため include します。

/etc/apache2/mods-enabled/security2.conf   
…
        # Include OWASP ModSecurity CRS rules if installed
        #IncludeOptional /usr/share/modsecurity-crs/*.load
        IncludeOptional /etc/apache2/modsecurity-crs/coreruleset-4.3.0/crs-setup.conf
        IncludeOptional /etc/apache2/modsecurity-crs/coreruleset-4.3.0/rules/*.conf
…

sudo apache2ctl -t
# シンタックスチェックでおそらくエラーになると思います。
AH00526: Syntax error on line 818 of /etc/apache2/modsecurity-crs/coreruleset-4.3.0/crs-setup.conf:
ModSecurity: Found another rule with the same id

/etc/apache2/modsecurity-crs/coreruleset-4.3.0/rules
# → REQUEST-922-MULTIPART-ATTACK.confのルールでエラーが出ているので3件該当箇所削除、もしくは922をリネームし回避します。

後半のエラーについてですが、ModSecurity のバージョンに依存して発生しているようです。
こちらの Closed になった issue で報告されているように、
https://github.com/coreruleset/coreruleset/issues/3129
ModSecurity バージョンを上げれば発生しなくなるようですが、非公式リポジトリのようなので、本記事では取り扱いません。