如何在Nginx上安装和配置ModSecurity
Nginx web server is used on more than 30% of website worldwide and growing.
考虑到在线网络威胁的增加，网络工程师面临的挑战之一是对 hardening and securing Nginx 有充分的了解。
Nginx以其性能和轻量级的Web服务器/代理而闻名，并在许多最繁忙的网站上使用。
- Pinterest.com
- Reddit.com
- Wordpress.com
- Stackoverflow.com
- Mail.ru
如果您将Web应用程序托管在Nginx上并且关注安全性，那么您可能想要实施的第一件事就是 Web Application Firewall（WAF）。
Mod Security是由Trustwave SpiderLabs开发的开源WAF，于2012年为Nginx提供支持。
在本指南中，我将解释如何通过Nginx下载、安装和配置Mod Security。
以下演示是在托管了 DigitalOcean 的CentOS上进行的。
如果您是Nginx的新手，我建议您参考这个 fundamental course。
下载Nginx和ModSecurity
您可以直接在服务器上下载Nginx，或者在本地PC上下载后传输到服务器上。
- 从以下链接下载最新版本
http://nginx.org/en/download.html
- 如果您直接在服务器上下载，则可以使用以下wget命令
wget http://nginx.org/download/nginx-1.9.15.tar.gz
- 使用gunzip命令解压缩它们
gunzip -c nginx-1.9.15.tar.gz | tar xvf –
- 您将看到创建的新文件夹
drwxr-xr-x 8 1001 1001 4096 Apr 19 12:02 nginx-1.9.15
- 从以下链接下载Mod Security的最新版本
https://github.com/SpiderLabs/ModSecurity
- 您可以直接从服务器上使用以下命令
wget https://www.modsecurity.org/tarball/2.9.1/modsecurity-2.9.1.tar.gz
gunzip -c modsecurity-2.9.1.tar.gz | tar xvf –
让我们安装它们
安装带有Mod Security的Nginx
重要的是要编译Nginx和mod security源代码。
- 登录到服务器并确保您拥有root权限。
注意：如果您在全新的服务器上进行操作，则可能需要安装以下库。
yum install gcc make automake autoconf libtool pcre pcre-devel libxml2 libxml2-devel curl curl-devel httpd-devel
首先，编译mod security。进入modsecurity-2.9.1文件夹并使用以下命令。
./configure --enable-standalone-module make
接下来，安装带有mod security的Nginx
./configure --add-module=../modsecurity-2.9.1/nginx/modsecurity make make install
这样就完成了Nginx与Mod Security的安装，现在是时候配置它了。
配置Nginx的Mod Security
从上述下载的ModSecurity源代码的提取文件夹中复制modsecurity.conf-recommended和unicode.mapping文件到nginx的conf文件夹中。您也可以使用 find 命令。
find / -name modsecurity.conf-recommended find / -name unicode.mapping
[root@GeekFlare-Lab conf]# cp /opt/nginx/binary/modsecurity-2.9.1/modsecurity.conf-recommended /usr/local/nginx/conf/ [root@GeekFlare-Lab conf]# cp /opt/nginx/binary/modsecurity-2.9.1/ unicode.mapping /usr/local/nginx/conf/ [root@GeekFlare-Lab conf]#
让我们将 modsecurity.conf-recommended 重命名为 modsecurity.conf
mv modsecurity.conf-recommended modsecurity.conf
- 备份nginx.conf文件
- 打开nginx.conf文件，在“location /”指令下添加以下内容
ModSecurityEnabled on; ModSecurityConfig modsecurity.conf;
所以它应该看起来像这样
location / {
ModSecurityEnabled on;
ModSecurityConfig modsecurity.conf;
}
现在，Mod Security已与Nginx集成。重新启动Nginx以确保它能够正常启动。
让我们验证一下…
有两种可能的方法来确认Nginx是否编译了Mod Security。
第一种方法…
使用带有nginx可执行文件的-V列出编译的模块。
[root@GeekFlare-Lab sbin]# ./nginx -V nginx版本：nginx/1.9.15 由gcc 4.4.7 20120313（Red Hat 4.4.7-16）（GCC）构建 配置参数：--add-module=../modsecurity-2.9.1/nginx/modsecurity [root@GeekFlare-Lab sbin]#
第二种方法…
转到日志文件夹并查看错误文件，您应该看到以下内容
2016/05/21 21:54:51 [notice] 25352#0: 用于nginx的ModSecurity（稳定版）/2.9.1（http://www.modsecurity.org/）已配置。 2016/05/21 21:54:51 [notice] 25352#0: ModSecurity: APR编译版本="1.3.9"；加载版本="1.3.9" 2016/05/21 21:54:51 [notice] 25352#0: ModSecurity: PCRE编译版本="7.8 "；加载版本="7.8 2008-09-05" 2016/05/21 21:54:51 [notice] 25352#0: ModSecurity: LIBXML编译版本="2.7.6"
这表明您已成功配置了ModSecurity与Nginx。
默认配置仅处于检测模式，这意味着它不会执行任何动作和protect your web applications。
在我的下一篇文章中，我已经解释了如何配置OWASP rule set and enable Mod Security以防止Web安全漏洞。
