ModSecurity
IT위키
더 많은 작업
- trustwave 사에 의해 제공되며 아파치 웹서버, IIS 웹서버 등을 지원하는 오픈 소스 웹 방화벽
- 요청(request) 필터링
- 클라이언트로부터 웹 요청이 들어올 때, 웹서버 또는 다른 모듈들이 처리하기 전에 ModSecurity가 요청 내용을 분석하여 필터링한다.
- 우회 방지 기술
- 경로와 파라미터를 분석하기 전에 정규화시켜 우회 공격을 차단한다.
- 즉, “//”, “\/”, “.”, “%00” 등 우회 공격용 스트링을 제거하고, 인코딩된 URL을 디코딩한다.
- HTTP 프로토콜 이해
- 엔진이 HTTP 프로토콜을 이해하기 때문에 전문적이고 정밀한 필터링을 수행할 수 있다.
- POST 페이로드(payload) 분석
- GET 방식 뿐만 아니라 POST 메소드를 사용해서 전송되는 컨텐츠도 분석 가능하다
- 감사 로깅(Audit logging)
- 사후 사고 분석을 위해 요청·응답의 세부 내용을 감사 로그로 남길 수 있다. POST 본문까지 기록할 수 있다.
- "세부 상황을 기록하는 기능이 없다"는 서술은 틀렸다.
- HTTPS 필터링
- 웹서버에 모듈로 끼워져 동작하므로 SSL/TLS 가 복호화된 뒤의 요청 데이터에 접근해 검사할 수 있다.
- 압축 콘텐츠 필터링
- 압축된 요청 본문도 풀어서 분석한다.
| 지시자 | 쓸 수 있는 값 | 뜻 |
|---|---|---|
| SecRuleEngine | On, Off, DetectionOnly | 규칙 엔진을 켠다. DetectionOnly 는 탐지해 기록만 하고 차단하지 않는다 |
| SecAuditEngine | On, Off, RelevantOnly | 감사 로그를 남긴다. On 은 모든 트랜잭션, RelevantOnly 는 경고·오류가 나거나 SecAuditLogRelevantStatus 에 맞는 상태 코드인 트랜잭션만 기록한다 |
| SecAuditLog | 파일 경로 | 감사 로그 파일 위치 |
| SecRequestBodyAccess | On, Off | 요청 본문(POST 데이터)을 검사할지 정한다 |
- DetectionOnly 는 SecRuleEngine 의 값이고 SecAuditEngine 에는 쓸 수 없다. 반대로 RelevantOnly 는 SecAuditEngine 의 값이다. On·Off 는 둘 다에 쓴다