Web Application Firewall (ModSecurity)

Um Angriffe gegen Webanwendungen zu erkennen und zu verhindern, gleicht die Web Application Firewall (ModSecurity) alle Abfragen an Ihren Webserver und die zugehörigen Antworten vom Server mit ihren Regeln ab. Wenn diese Überprüfung erfolgreich verläuft, wird die HTTP-Abfrage an den Website-Content weitergegeben. Fällt die Überprüfung hingegen negativ aus, werden die vorher definierten Aktionen durchgeführt.

ModSecurity ist ein Modul für Apache. Daher kann es nur HTTP-Abfragen prüfen, die Apache erreichen. Apache wird aber auch durch einen weiteren Webserver ergänzt: nginx. Wenn Sie die Option PHP von nginx verarbeiten lassen des nginx-Webservers für den dynamischen Content Ihrer Website einschalten, kann die Web Application Firewall keine HTTP-Abfragen überprüfen, da sie nie Apache erreichen. Für den statischen Content gilt dies bei eingeschalteter Option Statische Dateien direkt durch nginx bedienen, da HTTP-Abfragen Apache nicht erreichen und somit ModSecurity diese nicht überprüft.

Hinweis: Administratoren, die von Plesk 11.5 upgraden wollen und die Web Application Firewall (ModSecurity) verwenden wollen, müssen einen neuen Lizenzschlüssel für Plesk 12 von Odin oder ihrem Anbieter erhalten.

So aktivieren Sie die Web Application Firewall:

  1. Gehen Sie zu Tools & Einstellungen > Web Application Firewall (ModSecurity) (in der Gruppe Sicherheit ). Die Komponente ModSecurity muss auf Ihrem Server installiert sein.


    Web_Application_Firewall

  2. Stellen Sie den Modus der Web Application Firewall auf Ein oder Nur Erkennung. Jede eingehende HTTP-Abfrage und die zugehörige Antwort werden mit einem Regelsatz verglichen. Wenn diese Überprüfung erfolgreich verläuft, wird die HTTP-Abfrage an den Website-Content weitergegeben. Fällt die Überprüfung hingegen negativ aus, wird das Ereignis protokolliert. Im Modus Nur Erkennung werden keine weiteren Aktionen ausgeführt. Im Modus Ein wird eine HTTP-Antwort mit einem Fehlercode ausgegeben.

    Hinweis: Die Modi der Web Application Firewall können auf Server- sowie auf Domainebene eingerichtet werden. Jedoch kann kann der Modus auf Domainebene nicht höher sein als der für den Server festgelegte Modus. Wenn beispielsweise die Web Application Firewall auf der Server-Ebene im Modus Nur Erkennung arbeitet, werden Sie sie für Domains nicht auf Ein einstellen können. In dem Fall werden nur die Modi Aus und Nur Erkennung angezeigt.

  3. Wählen Sie den Regelsatz aus, mit dem jede eingehende HTTP-Abfrage vom Web-Application-Firewall-Modul überprüft wird, oder laden Sie einen benutzerdefinierten Regelsatz hoch. Sie können die folgenden Regelsätze auswählen:
  4. Wenn der ausgewählte Regelsatz automatisch aktualisiert werden soll, setzen Sie das Häkchen bei Regelsätze aktualisieren und wählen den Aktualisierungszeitraum aus.
  5. Wählen Sie die vordefinierten Parameter aus oder geben Sie Ihre eigenen ModSecurity-Anweisungen an. Sie können die folgenden vordefinierten Parameter auswählen:

ModSecurity verwendet zwei Orte für Protokolle:

Eine Website kann u.U. nicht mehr wie erwartet funktionieren, wenn Sie den Modus der Web Application Firewall von Aus oder Nur Erkennung zu "Ein" ändern. Fehlercodes wie 403, 404 oder 500 sind dann im Fehlerprotokoll der Website finden und erscheinen wiederum nicht mehr, wenn Sie den Modus der Web Application Firewall zurück in Nur Erkennung oder Aus ändern. In diesem Fall sollten Sie das ModSecurity-Auditprotokoll analysieren, um herauszufinden, was genau passiert. Sie können zu strenge Sicherheitsregeln ausschalten oder die Website anpassen.

So finden Sie heraus, warum eine HTTP-Abfrage für eine Website nicht abgeschlossen werden konnte und schalten die entsprechende Sicherheitsregel aus:

  1. Gehen Sie zu Tools & Einstellungen > Web Application Firewall (ModSecurity).
  2. Klicken Sie auf den Link ModSecurity-Protokolldatei, um das Auditprotokoll herunterzuladen und es in einem neuen Browserfenster zu öffnen.
  3. Verwenden Sie die Suche (Strg+F in den meisten Webbrowsern), um Ereignisse in Verbindung mit der Website (dem Domainnamen) zu finden, die die Probleme verursacht haben. Suchen Sie zum Beispiel nach ihre_domain.tld. Der Browser markiert dann Einträge wie HOST: ihre_domain.tld. Suchen Sie drei Zeilen über dem markierten Eintrag eine Zeichenkette wie --eece5138-B--. Die acht Zeichen zwischen den Bindestrichen (in unserem Beispiel: eece5138) sind die ID des Ereignisses, das von der HTTP-Abfrage ausgelöst wurde.
  4. Suchen Sie weiter nach anderen Einträgen mit derselben Ereignis-ID. Halten Sie dabei Ausschau nach einem Eintrag mit einem H nach der Ereignis- ID (in unserem Beispiel: eece5138-H--). Dieser Eintrag enthält die ID und die Beschreibung der Sicherheitsregel, die während der Überprüfung der HTTP-Abfrage ausgelöst wurde. Die ID der Sicherheitsregel ist eine ganzzahlige Nummer in Anführungszeichen, die mit 3 beginnt und zusammen mit dem Präfix id in eckige Klammern gesetzt ist. Zum Beispiel [id "340003"].
  5. Finden Sie eine Sicherheitsregel-ID in jenem Ereignis, indem Sie eine Teilzeichenfolge wie [id "3 verwenden.
  6. Gehen Sie zu Tools & Einstellungen > Web Application Firewall (ModSecurity).
  7. Wählen Sie im Abschnitt Sicherheitsregeln die Sicherheitsregel mittels ID (z.B. 340003), Kennzeichnung (z.B. CVE-2011-4898) oder regulären Ausdrucks (z.B. XSS) aus und klicken Sie auf OK.

Nützliche Tipps, wenn vor dem Upgrade auf Plesk 12 auf Ihrem Server ModSecurity installiert war: