ModSecurity و OWASP Core Rule Set در دایرکت ادمین

فرض کنید بازدیدکننده یک فرم تماس می‌فرستد. ModSecurity می‌تواند درخواست او را با مجموعه‌ای از قوانین بررسی کند تا بعضی ورودی‌های مشکوک متوقف شوند. OWASP Core Rule Set یکی از همین مجموعه‌هاست. قانون امنیتی مثل کنترل ورودی است، اما ممکن است گاهی یک متن مجاز را هم اشتباه تشخیص دهد.

پس هنگام راه‌اندازی، چند فرم واقعی سایت را امتحان کنید: ورود، جست‌وجو و ارسال پیام. اگر یک فرم خطا داد، ساعت و مسیر درخواست را برای مدیر بفرستید. در گزارش امنیتی، شناسهٔ قانون مربوط پیدا می‌شود و می‌توان همان تشخیص را بررسی کرد.

استثنای لازم باید تا حد ممکن به همان قانون و مسیر محدود باشد. خاموش کردن همهٔ قوانین فقط برای اینکه یک فرم دوباره کار کند، نتیجهٔ موردنظر نیست. از طرف دیگر، صرف فعال بودن گزینهٔ ModSecurity در پنل ثابت نمی‌کند مجموعهٔ قوانین درست بارگذاری شده است؛ مدیر باید وجود قوانین و گزارش درخواست نمونه را هم ببیند.

نسخهٔ دایرکت ادمین، وب‌سرور و وضعیت فعلی ModSecurity را بررسی کنید. در یک محیط مدیریت‌شده، تنظیمات معمولاً توسط CustomBuild ساخته می‌شوند. بنابراین محل تغییر باید پایدار باشد؛ ویرایش مستقیم فایل تولیدشده ممکن است با بازسازی بعدی از بین برود. حساب معمولی هاست نیز مجوز نصب سراسری سرور را ندارد.

اگر از قبل مجموعهٔ قانون دیگری فعال است، ابتدا سیاست جابه‌جایی را مشخص کنید. فعال کردن چند تنظیم متعارض بدون شناخت ترتیب اجرا، نتیجهٔ واضحی نمی‌دهد. از گزینه‌ها و استثناهای قبلی نسخه بگیرید و یک دامنهٔ آزمایشی برای بررسی فرم، ورود و آپلود آماده کنید.

در نصب فعلی دارای ابزار da، مستندات DirectAdmin فعال‌سازی ModSecurity و انتخاب ruleset را توضیح می‌دهد. گزینهٔ modsecurity باید فعال و modsecurity_ruleset متناسب با مجموعهٔ انتخابی باشد. فرمان ساخت، مؤلفهٔ موردنظر را آماده می‌کند؛ نتیجهٔ آن باید در خروجی و سرویس واقعی بررسی شود.

پس از فعال‌سازی، مسیر لاگ را مطابق وب‌سرور پیدا کنید. Apache و Nginx ممکن است مسیر یکسانی نداشته باشند. یک پیام مسدودسازی باید همراه با دامنه، زمان و شمارهٔ قانون خوانده شود. تنها دیدن وضعیت فعال در پنل، اثبات نمی‌کند درخواست دامنهٔ شما واقعاً از موتور عبور می‌کند.

ورود مدیر، ارسال فرم، بارگذاری تصویر و مسیرهای فروشگاه را آزمایش کنید. اگر یک درخواست سالم مسدود شد، همان درخواست و شمارهٔ قانون را بررسی کنید. خاموش کردن کل WAF برای رفع یک خطای فرم، دامنهٔ حفاظت را بیش از نیاز کاهش می‌دهد. استثنا باید در کوچک‌ترین محدودهٔ لازم تعریف و دوباره امتحان شود.

در سطح کاربر، بخش Advanced Features و Web Application Firewall می‌تواند وضعیت و لاگ دامنه را نشان دهد. دسترسی و امکانات آن به سیاست مدیر وابسته است. قانون غیرفعال‌شده در سطح سراسری ممکن است در سطح حساب قابل فعال‌سازی دوباره نباشد؛ این تفاوت برای تشخیص اثر استثنا مهم است.

استثناهای ساخته‌شده و علت هر کدام را ثبت کنید. پس از به‌روزرسانی قواعد، مسیرهای مهم برنامه را دوباره امتحان کنید. یک استثنای قدیمی ممکن است دیگر لازم نباشد یا بیش از حد گسترده باشد. قابلیت اسکن آپلود نیز نیازمند پیش‌نیاز و تنظیم جداگانه است و صرف فعال بودن WAF آن را تضمین نمی‌کند.

نتیجهٔ خوب یعنی درخواست سالم کاربران انجام شود، درخواست آزمایشیِ مشمول قانون با دلیل روشن ثبت شود و تنظیمات در بازسازی پنل باقی بمانند. گزارش خطا باید به اصلاح هدفمند کمک کند، نه اینکه هر بار با خاموش کردن همهٔ قواعد از آن عبور کنیم.