RootForum Community

Hi,
ich habe einen Root-Server und wollte mich mal über die Mod security Regeln hermachen . Ich habe verschieden Boards am laufen joomla und pn und wollte einen geeigneten Regelsatz haben. Leider gibt das Internet nicht alles her, deswegen suche ich ein Buch. * der Trend geht ja zum 2-t Buch* . Wenn jemand was hat ... in deutsch wäre es sehr schön.
:google: sagt mir auch nur so halbwahrheiten von halbweisen, die ich dann selber zusammenfrickeln muß.
Die Grobe Adminstration läuft über Plesk 8.3.0

Vorweg:
Bitte nur Vorschläge und keine Allgemeinen Lebenphilosophien über die grundlegende Weisheit der Administration.
Der Heise Artikel (http://www.heise.de/security/artikel/69070/1) ist zwar ganz nett aber wenn ich die Regeln von gotroot einspiele dann geht gar nicht's mehr. Deswegen möchte ich mod_ security selber verstehen und mal als Nachschlagewerk haben.

Danke für eure Buchvorschläge.

Die offizielle Dokumentation kennst du?

Hallo,
Ja, die kenne ich.
Ich danke dir trotzdem vielmals.

Dann lass mod_security doch erstmal nur loggen - du musst ja nicht gleich blocken, und afaik wird das in der Doku als erster Schritt auch empfohlen.

Wenn du dein Ruleset nicht selbst erstellt hast, dann lass das von gotroot erstmal eine Woche laufen und klick fleißig auf deinen Webseiten rum. Dann nimmst du dir den Debug Log vor, den du selbstverständlich eingestellt hast, und schaust nach, welche Regeln "Ärger" machen.

Schau nach, wieso es ein Problem gibt - behebe es, oder deaktiviere die betreffende Regel. In der Zwischenzeit, kannst du weiter nach einem Buch suchen (ich kenne leider keins) oder dich z.B. in den Supportforen der von dir eingesetzten Software schlau machen, ob es jemand gibt, der schon Erfahrungen mit mod_security und ebendieser Software gemacht hat.

Alternativ kannst du dir auch bekannte Sicherheitslücken für die von dir betriebene Software anschauen, herausfinden, wie die Exploits funktionieren und deine eigenen Regeln schreiben. Das ist dann aber wirklich Arbeit ;)

Wenn alles funktioniert, wie es soll, dann kannst du mod_security blocken / was-auch-immer lassen

Das ist jetzt auch keine, wie du nennst "Weisheit", sondern so lernt man es am besten.

Beispiel für debug:
Hier sieht man einen Exploit Versuch auf die phpBB 2.0.x knowledge base (die ich nicht mal installiert habe), die Aufgrund des User-Agents libwww-perl geblockt wurde...
Ein Stück weiter unten im Ruleset gäbe es dann eh noch eine Regel für phpbb_root_path, aber die User-Agent ging vor. Man sieht auch, welche Regel den Block verursacht hat (Pattern Match)

Hallo,
nun recht vielen dank für deinen Post aber mod_security einfach so laufen zu lassen ist ein wenig Risikobehaftet, wenn man bedenkt wer bei mir alles an die Tür klopft und versucht reinzukommen... Ich werde halt mal sehen, dass ich erst einmal den Standardregelsatz von heise laufen lasse und der, der ärger macht in die blacklist kommt und die Ip gesperrt wird. Dann werde ich nach und nach sehen, dass ich die Regeln aktiviere. ich denke bestimmte Sätze von gotroot sind nicht schlecht wie z.B. blacklist oder rootkits bad robtos oder trojans. Deswegen werde ich die wohl eher nicht anpacken & ändern. Es wäre schon skuril wenn man weiß was alles so rumkreucht und fleucht. Da muß ich denke mal vertrauen haben in renomierte Anbieter dieser Regeln.

Gruß
Mowgly

Hallo,

mod_security mit einem Regelsatz, der nicht komplett ist, bringt dir aber auch nicht viel.

Du kannst natürlich auch debuggen, während du alles blockst - ist aber nicht die feine Art gegenüber den Benutzern. Ist das Problem mit den klopfenden Leuten so akut ? Ich ging nach deinem ersten Post von der Annahme aus, dass du mod_security gerade erst aufsetzt.

Am meisten Ärger machen bei Foren die Regelsätze gegen MySQL-Injections von gotroot, es dürfte schon einiges bringen, diese am Anfang außen vor zu lassen.

Grüße,
Chris

mysqlinjection und und wget geschichten mit http://xyz.de/../../xyz/wget=* komm auf Fachbegriff gearde nicht *bin momentan faul .. komme gerade von der Arbeit* . Nun man versucht über ein HTML Pfad Progamme auszuführen welche Scripte runterladen oder direkt ausführen, welche sich dann noch auf dem Server einnisten und nach Securityholes suchen.
Das sind die Hauptsächlichen Übeltäter. Die Programme sind größtenteils alle schon mit chmod 744 umgelegt worden.... aber es nervt halt.
Der Grundgedanke ist unter anderem: Erst Hütte zu und dann schauen was man öffnen kann ... wenn man die Hütte auf hat, kann sich jemand einnisten den man nicht sieht. Finde ich riskanter. Und dem User muß klar sein: Sicherheit geht vor .

Gruß
Mowgly

Remote File Inclusion ?

Also solche URLs in den logs:
Wenn du sagst, Sicherheit geht vor, dann kannst du auch die Regeln von gotroot nehmen, aktivieren... nebenbei loggen, und Regeln die irrtümlich greifen anpassen ?

Der Server wurde aber nicht bereits schon kompromittiert ?

Seit Version 2 kann mod_security auch mit einem positive model betrieben werden (alles wird abgeblockt außer Requests, für die es eine passende Positiv-Regel gibt). Das ist IMHO bei den meisten Setups nicht nur methodisch sauberer, sondern auch wesentlich ressourcenschonender als ein Negativ-Modell. Und wer will sich schon anmaßen, alle Eventualitäten im Ausschlußprinzip zu erwischen?
(Quelle: http://www.modsecurity.org/documentatio ... tml#N10027)

Ich krame mal den Artikel vor.
Da sich bei uns diverse Botten tummeln wird auch für mich mod_security wieder deutlich aktueller.
Für mich stellt sich die Frage, welche regeln Sinn machen oder wo man zuverlässige Regeln her bekommt.
Das negativ Modell ist aber aus meiner Sicht der beste Ansatz. So, kann ich erstmal alles Debugger lassen, prüfen, was rein kommt und dann daraus positive regeln ableiten.
Das eine oder andere Problem habe ich z.B. mit einzelnen Applikationen, false positives wenn jemand den webmailer nutzt z.B. oder das schon genannt Beispiel Foren.

Könnte eventuell hilfreich sein:
https://github.com/Flameeyes/modsec-flameeyes
https://blog.flameeyes.eu/tag/modsecurity

Unter https://waf.comodo.com/ stellt Comodo auch Rules bereit. Zumindest ein Blick darauf kann vielleicht nicht schaden.

Vielen Dank schon mal.