تثبيت ModSecurity خادم Nginx ونظام Debian

by | مايو 10, 2024 | خوادم لينيكس, دروس تعليمية | 0 comments

هذا المقال هو الخامس من مشروع شرح تثبيت خادم Nginx وتشغيل موقع عليه. للعودة إلى الفهرس، يمكن الضغط هنا.

برنامج ModSecurity هو أحد أهم برامج الحماية الموجودة اليوم من أجل تقليل قدرة المخترقين على إستغلال ثغرات الخادم أو البرامج التي تعمل عليه من خلال حظر الإتصالات التي تحتوي على معلومات برمجية ضارة أو قد تكون ضارة لأمن الخادم أو المواقع الموجودة عليه.

تثبيت ModSecurity يتطلب تنزيل الكود المصدري لبرنامج ModSecurity و برنامج Nginx وبناء موديل ملائم لنسخة Nginx الموجودة على الخادم لكي يعمل بشكل صحيح. إنتبه أن تحديث نسخة Nginx بدون اعادة بناء موديل ModSecurity سوف يتسبب بانهيار Nginx وعدم عمله حتى نقوم باعادة بناء النسخة الملائمة أو تعطيل ModSecurity.

بناء وتثبيت ModSecurity من المصدر

نبدأ أولا بتثبيت البرمجيات المطلوبة لبناء البرنامج من خلال تنفيذ الأمر التالي في طرفية الخادم:

apt install apt-utils autoconf automake build-essential git libcurl4-openssl-dev libgeoip-dev liblmdb-dev libpcre3-dev libtool libxml2-dev libyajl-dev pkgconf wget zlib1g-dev unzip

بعد إكتمال الأمر التالي، يمكن الآن تنزيل الكود المصدري لـ ModSecurity من GitHub:

git clone --depth 1 -b v3/master --single-branch https://github.com/SpiderLabs/ModSecurity

وبعد ذلك يمكن تحديث ملفات المستودع من خلال الدخول إلى مسار الملفات وتنفيذ الأوامر اللازمة:

cd ModSecurity
git submodule init
git submodule update

يمكن الآن بناء الكود من خلال الأوامر التالية:

./build.sh
./configure
make

يمكن تجاهل الخطأ التالي أو أخطاء مشابهة للتالي

fatal: No names found, cannot describe anything.

بعد الإنتهاء من السابق، يمكن إتمام تثبيت الكود من خلال الأمر التالي:

make install

ومن ثم الخروج من مسار التثبيت من خلال الأمر التالي:

cd ..

بناء وتثبيت ModSecurity-nginx من المصدر

نبدأ من خلال استنساخ الكود إلى الخادم من خلال الأمر التالي:

git clone --depth 1 https://github.com/SpiderLabs/ModSecurity-nginx.git

ومن ثم نقوم بتنزيل الكود المصدري لـ Nginx من أجل بناء البرنامج. قبل ذلك نتأكد من نسخة Nginx الموجودة لدينا من خلال تنفيذ الأمر التالي:

nginx -v

النتيجة ستكون مشابهة للتالي:

nginx version: nginx/1.22.1

هذا يعني أنه يجب علينا تنزيل الكود المصدري للنسخة 1.22.1 والعمل عليها. تنزيل أي نسخة أخرى سيتسبب بفشل Nginx.

نقوم الآن بتنزيل الكود المصدري لبرنامج nginx النسخة 1.22.1 ونقوم بفتح الملف من خلال الأوامر التالية:

wget http://nginx.org/download/nginx-1.22.1.tar.gz
tar zxvf nginx-1.22.1.tar.gz

نقوم الآن بدخول مسار الملفات وبناء المودل من خلال الأوامر التالية:

cd nginx-1.22.1
./configure --with-compat --add-dynamic-module=../ModSecurity-nginx
make modules

عند الإنتهاء، نقوم بنقل ملف الموديل إلى المسار الصحيح ومن ثم الخروج من مسار التثبيت:

cp objs/ngx_http_modsecurity_module.so /etc/nginx/modules-enabled/
cd ..

والآن يمكن تحميل هذه المكتبة في nginx من خلال تحرير ملف الإعدادات في المسار التالي:

vi /etc/nginx/nginx.conf

ومن ثم اضافة السطر التالي قبل كلمة http:

load_module /etc/nginx/modules-enabled/ngx_http_modsecurity_module.so;

النتيجة يجب أن تكون مشابهة للتالي:

عند الإنتهاء، نقوم بإعادة تشغيل Nginx حتى يقوم بتحميل الإعدادات الجديدة.

تثبيت قواعد الحماية من OWASP

يمكن الآن استخدام أي قواعد حماية من أي مزود خدمة ModSecurity يدعم ModSecurity 3. هنا سوف نقوم باستخدام قواعد الحماية المجانية مفتوحة المصدر المتوفرة من خلال مشروع OWASP.

الخطوة الأولى تبدأ من خلال عمل المسار الصحيح ومن ثم تنزيل ملف الإعدادات:

mkdir /etc/nginx/modsec
cd /etc/nginx/modsec
wget https://raw.githubusercontent.com/SpiderLabs/ModSecurity/v3/master/modsecurity.conf-recommended
wget https://raw.githubusercontent.com/SpiderLabs/ModSecurity/v3/master/unicode.mapping
mv modsecurity.conf-recommended modsecurity.conf

نقوم الآن بتنزيل ملف القواعد ومن ثم استخراج القواعد منه:

wget https://github.com/SpiderLabs/owasp-modsecurity-crs/archive/refs/tags/v3.2.0.zip
unzip v3.2.0.zip

والآن نقوم بعمل المسار الصحيح ومن ثم نقوم بنقل الملفات إلى المسار:

mv owasp-modsecurity-crs-3.2.0/crs-setup.conf.example /etc/nginx/modsec/crs-setup.conf
mv owasp-modsecurity-crs-3.2.0/rules/ /etc/nginx/modsec/

نقوم الآن بتعديل ملف الإعدادات من خلال فتح الملف بمحرر النصوص:

vi /etc/nginx/modsec/modsecurity.conf

ثم نقوم بتعديل قيمة SecRuleEngine من DetectionOnly إلى On.

وبعدها نقوم بتنفيذ الأوامر التالية من أجل إضافة الإعدادات إلى الملف:

echo "include /etc/nginx/modsec/crs-setup.conf" >> /etc/nginx/modsec/modsecurity.conf
echo "include /etc/nginx/modsec/rules/*.conf" >> /etc/nginx/modsec/modsecurity.conf

بعد التعديل، نقوم بحفظ الملف والخروج.

والآن نقوم بضبط Nginx من أجل ان يقوم بتحميل إعدادات ModSecurity بشكل إفتراضي. نقوم بتنفيذ الأمر التالي من أجل فتح ملف الإعدادات:

vi /etc/nginx/nginx.conf

ومن ثم قم بالعثور على كلمة http وقم بوضع التالي داخل هذا الكود:

        modsecurity  on;
modsecurity_rules_file /etc/nginx/modsec/modsecurity.conf;

النتيجة يجب أن تكون مشابهة للتالي:

عند الإنتهاء، نقوم بحفظ الملف، ومن ثم قم بتنفيذ الأمر التالي من أجل التأكد من أن Nginx يعمل بشكل صحيح:

nginx -t

النتيجة يجب أن تكون مشابهة للتالي:

2024/05/08 19:53:04 [notice] 77061#77061: ModSecurity-nginx v1.0.3 (rules loaded inline/local/remote: 0/897/0)
2024/05/08 19:53:04 [notice] 77061#77061: libmodsecurity3 version 3.0.12
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

في حال كان كل شيء على ما يرام، نقوم يإعادة تشغيل Nginx:

systemctl restart nginx

هنا نكون قد أنهينا إعداد Nginx بشكل صحيح مع تحميل جميع القواعد الأمنية من OWASP.

فحص ModSecurity

من أسهل الطرق التي يمكن من خلالها فحص ModSecurity هي تنفيذ طلب يبدو كانه خبيث. مثلا يمكننا تنفيذ الطلب التالي في الخادم من خلال المتصفح:

http://linuxarabia-nginx.linuxarabia.co/index.html?f=../../../../etc/passwd

والنتيجة شيء كالتالي:

ملاحظة: هذه الصفحة قابلة للتخصيص ويمكن تغييرها لأي شيء ترغب به. هذا أمر لن نقوم بالتحدث عنه في هذه السلسلة وسنقوم بالتحدث عنه في شرح آخر.

يمكن أيضا فحص ModSecurity مباشرة من طرفية جهازك الخاص أو طرفية الخادم من خلال الأمر التالي:

curl -I http://linuxarabia-nginx.linuxarabia.co/index.html?f=../../../../etc/passwd

النتيجة يجب أن تكون كالتالي:

لاحظ أن الرد هو 403.

إيقاف جزء من ModSecurity

قد نرغب في أيقاف جزء أو قاعدة واحدة من قواعد الحماية الخاصة بـ ModSecurity. هذا قد يكون لأنها تتعارض مع عمل موقعك أو لأنها تقوم بحظر الإتصال بشكل خاطئ. أيقاف القاواعد أمر بسيط وقد يكون على شكلين.

حتى نحصل على هوية القاعدة الصحيحة التي نحتاج إلى وقفها، يمكن البحث في سجل الأخطاء. إما أن تكون موجودة في سجل أخطاء الخادم نفسة على المسار التالي:

/var/log/nginx/error.log

أو يمكن أن تكون موجودة في سجل أخطاء الموقع نفيه في حال تم ضبط سجل منفصل للموقع. يمكن البحث عن الخطأ من خلال عدد من الطرق، وأهم الطرق هي اداة grep. بالإعتماد على الفحص الذي قمنا به في الأعلى، سوف نقوم بالبحث عن الخطأ من خلال البحث عن النص الذي تسبب بالخطأ. مثلا قمنا بطلب الرابط التالي:

http://linuxarabia-nginx.linuxarabia.co/index.html?f=../../../../etc/passwd

هذا الطلب تسبب بخطأ في الخادم وهو بالشكل التالي:

2024/05/09 07:12:41 [error] 97845#97845: *3 [client 88.888.888.88] ModSecurity: Access denied with code 403 (phase 2). Matched "Operator `Ge' with parameter `5' against variable `TX:ANOMALY_SCORE' (Value: `20' ) [file "/etc/nginx/modsec/rules/REQUEST-949-BLOCKING-EVALUATION.conf"] [line "79"] [id "949110"] [rev ""] [msg "Inbound Anomaly Score Exceeded (Total Score: 20)"] [data ""] [severity "2"] [ver ""] [maturity "0"] [accuracy "0"] [tag "application-multi"] [tag "language-multi"] [tag "platform-multi"] [tag "attack-generic"] [hostname "135.181.47.149"] [uri "/index.html"] [unique_id "171523876133.179795"] [ref ""], client: 88.888.888.88, server: linuxarabia-nginx.linuxarabia.co, request: "HEAD /index.html?f=../../../../etc/passwd HTTP/1.1", host: "linuxarabia-nginx.linuxarabia.co"

يمكنك البحث عن هذا الخطأ من خلال البحث عن عنوان IP الشخص الذي تسبب بالخطأ. هنا قمت بتغيير القيمة إلى 88.888.888.88:

grep 88.888.888.88 /var/log/nginx/error.log

أو يمكن البحث عن كلمة ModSecurity كما في الأمر التالي:

grep ModSecurity /var/log/nginx/error.log

في كلا الحالتين سوف تحصل على نفس السطر. من المهم جدا البحث عن التالي:

[id "949110"]

ما سبق هو هويّة القاعدة التي يجب إيقافها من أجل ﻹيقاف حظر الرابط الذي قمنا بعمله.

لاحظ: إيقاف هذه القاعدة هو فقط للتوضيح وليس للتنفيذ من خلالك. لا تقم بإيقاف هذه القاعدة.

إيقاف قواعد ModSecurity على جميع المواقع في الخادم

هذا النوع من الإيقاف يقوم بالتأثير على جميع المواقع في الخادم الحالية والمستقبلية. إيقاف القواعد يكون في ملف إعدادات Nginx الأساسية:

vi /etc/nginx/nginx.conf

ومن ثم وضع الكود التالي تحت اعدادات ModSecurity:

        modsecurity_rules '
SecRuleRemoveById 000000
';

والنتيجة يجب أن تكون كما يلي:

عند الإنتهاء، نقوم بحفظ الملف ومن ثم اعادة تشغيل Nginx ومحاولة دخول الرابط من جديد. الآن يجب أن يعمل بدون مشاكل.

إيقاف قواعد ModSecurity على موقع محدد في الخادم

هنا يمكن إيقاف قاعدة محددة في موقع محدد فقط بدون تعطيلها في جميع المواقع على الخادم. من ناحيتي أرى أن هذا الخيار هو الأفضل بدون منازع كونه يقينا من سوء الإعدادات وفتح ثغرات أمنية عن طريق الخطأ.

لإيقاف قاعدة ما في موقع محدد نقوم بعمل نفس الإعدادات التي قمنا بها في الأعلى ولكن في ملف conf الخاص بالموقع نفسه وليس في ملف اعدادات الخادم.

في المراحل التالية سوف نقوم بشرح طريقة عمل ملف إعدادات لكل موقع على حدى.