应用实战

  • ModSecurity通过SecRemoteRules指令加载远程服务器上的规则

    ModSecurity通过SecRemoteRules指令加载远程服务器上的规则

    本文主要介绍如何通过SecRemoteRules指令,来加载放置在远程服务器中的规则文件。一、应用场景该方法适合服务器数量众多,但经常需要更新规则的运维人员。作为景安网络产品经理,本人在通过使用ModSecurity为20万个网站进行基础防护时,由于云服务器数量巨大,每次更新规则后,都需要将新的规则文件同步到所有的服务器当中,虽然可以通过工具将规则文件进行批量自动上传,但是直接将规则放置在远程服务器当中,然后由业务服务器自动加载,更能减少运维工作量。二、指令介绍SecRemoteRules允许从指定的某个HTTPS...

    应用实战 2020-05-25 849 0
  • ModSecurity防CC攻击、防采集规则配置

    ModSecurity防CC攻击、防采集规则配置

    本文主要介绍如何通过ModSecurity,来拦截单个IP对服务器的CC攻击或采集行为。该教程主要针对Apache,如果使用的是Nginx,则建议使用Nginx自带的HttpLimitReqModule模块进行防御,因为规则中的部分指令在ModSecurity V3版本中暂不支持,最终的效果是只要达到设定的攻击阈值,就会将IP地址进行永久封禁,除非重新加载Nginx,虽然看似更安全,但是封禁的IP信息会保存在内存中,随着封禁IP数量的增加,占用的内存也会越来越大,这部分内存只会在Nginx重新加载时才会释放。在OW...

    应用实战 2020-05-16 1797 0
  • ModSecurity配置GeoIP模块来拦截非指定国家的所有IP

    ModSecurity配置GeoIP模块来拦截非指定国家的所有IP

    本文主要介绍,通过配置GeoIP模块,来使ModSecurity拦截非中国IP地址的访问。一、前提介绍GeoIP数据库目前有两种格式,GeoLite(.dat文件)与 GeoLite2(.mmdb文件)。ModSecurity v2需要使用.dat格式,ModSecurity v3则使用.mmdb格式。.dat格式的GeoIP文件目前已不再更新,因此如果使用的是ModSecurity v2版本,我们则需要使用CSV文件来生成.dat格式的数据库,生成方法见本文第五节。二、下载GeoIP数据库点击此处可下载GeoLi...

    应用实战 2020-05-10 1297 0
  • ModSecurity日志保存至MySQL数据库(通过Logstash)

    ModSecurity日志保存至MySQL数据库(通过Logstash)

    本文主要介绍如何使用Logstash,将ModSecurity的JSON格式的审计日志保存至MySQL数据库中。测试环境:操作系统:CentOS-7-x86_64-DVD-1810.iso;JDK:jdk-8u241-linux-x64.tar.gz;Logstash:logstash-5.6.16.tar.gz;JDBC:mysql-connector-java-5.1.48.jar;一、软件上传将上述JDK及Logstash的软件压缩包下载后,上传至服务器/usr/local目录下并解压,将JDBC上传至解压后...

    应用实战 2020-03-07 1858 0
  • ModSecurity拦截后跳转到自定义拦截页面

    ModSecurity拦截后跳转到自定义拦截页面

    本文介绍当访问请求被ModSecurity拦截时如何跳转到指定的拦截提示页面。本文中涉及的规则均已在景安网络(http://www.zzidc.com)的20万个虚拟主机业务中正常运行(或测试通过),可正常使用。ModSecurity安装成功后,当访问触发拦截机制时,ModSecurity默认是向客户端返回403状态码,而在生产环境中,可能会由于目录权限、服务器配置等其他原因导致出现403的情况,因此如果仍按ModSecurity的默认机制进行拦截,一旦网站访问出现403情况,要查找对应的原因时,反而会增加运维人员...

    应用实战 2019-11-25 2110 0
  • ModSecurity误拦截处理方法(ModSecurity白名单)

    ModSecurity误拦截处理方法(ModSecurity白名单)

    本文主要介绍当一个正常访问被ModSecurity误拦截时的处理方法。本文中涉及的规则均已在景安网络(http://www.zzidc.com)的20万个虚拟主机业务中正常运行(或测试通过),可正常使用。一、查询触发拦截的规则如果访问触发ModSecurity的规则,ModSecurity会在WEB服务器的错误日志文件中进行相关记录。常见的ModSecurity日志有以下两种:警告日志:[Fri Nov 22 14:57:03.347755 2019] [:error] [pid 31155:tid 1397765...

    应用实战 2019-11-22 3475 0
  • ModSecurity日志保存至MySQL数据库(通过mlogc)

    ModSecurity日志保存至MySQL数据库(通过mlogc)

    本文主要介绍如何使用ModSecurity自带的日志收集器(mlogc),将审计日志发送至远程服务器,并保存至MySQL数据库中。mlogc只能搭配ModSecurity 2版本使用,如果安装的ModSecurity为3.x版本,可参见另外一篇文章:ModSecurity日志保存至MySQL数据库(通过Logstash)。本文中涉及的规则均已在景安网络(http://www.zzidc.com)的20万个虚拟主机业务中正常运行(或测试通过),可正常使用。一、搭建远程服务器环境mlogc会按配置将审计日志使用PUT请...

    应用实战 2019-11-19 1323 0
  • ModSecurity开启日志审计

    ModSecurity开启日志审计

    本文主要介绍如何开启ModSecurity的日志审计功能,将日志保存至本地服务器中。本文中涉及的规则均已在景安网络(http://www.zzidc.com)的20万个虚拟主机业务中正常运行(或测试通过),可正常使用。一、为什么要记录日志通常情况下,我们记录网站的访问日志,原因有二:1.可以通过分析日志来了解网站的访问情况,比如网站总访问量,蜘蛛访问量等等。2.当网站访问出现问题时,可以通过查询日志找出问题原因。而在网站被黑客入侵的情况频繁发生的现在,记录日志的第三个作用产生了:找出黑客是如何利用网站程序漏洞进行入...

    应用实战 2019-11-18 2748 0
1