############################# # < 웹호스팅 업체용 > # # 이 Rule은 다수의 웹사이트가 운영되는 웹호스팅 서버에서 활용가능한 최소공격차단 Rule입니다. # 이 Rule을 참고하여 각 웹사이트에 적합한 Rule로 커스트마이징하시기 바랍니다. # Rule 커스트마이징 후에는 공격탐지시 차단하도록 SecDefaultAction 에서 # pass를 deny로 수정하시기 바랍니다. # # Update : '09. 03. 11 # - 2.x 버전용 샘플룰 오류 수정 # - Mass SQL Injection 시그니쳐 추가 # - WebShell 시그니쳐 추가 # - 공개 게시판 솔루션 신규 취약점 추가 # - Tomcat, Oracle, MySQL, MSSQL 시그니쳐 추가 # ############################# ############################# # 1. ModSecurity 동작 유/무 # SecRuleEngine On | Off | DetectionOnly # On : ModSecurity 기능 활성화 # Off : ModSecurity 기능 비활성화 # DetectionOnly : ModSecurity 모니터링 모드 (SecDefaultAction 보다 선행) SecRuleEngine On ############################# # 2. 기본 설정 # 기본적으로 룰이 매치 될 경우 행위(Action) 지정 # SecDefaultAction "행위"` # 행위 : deny, pass, allow, status:apache error code, redirect:/error.html # # 룰 커스트마이징 완료 후 공격탐지시 차단하도록 SecDefaultAction 에서 # pass를 deny로 수정 필요 # SecDefaultAction "deny,log,phase:2,status:406,t:urlDecodeUni,t:htmlEntityDecode,t:lowercase" SecDefaultAction "deny,log,auditlog,phase:2,t:urlDecodeUni,t:htmlEntityDecode,t:lowercase" # 아파치의 기본 로그보다 자세한 공격관련 로그를 기록 SecAuditEngine RelevantOnly # 로그의 양을 줄이기 위해 필요한 4xx 또는 5xx 관련 에러만 남긴다. 404는 남기지 않는다. SecAuditLogRelevantStatus "^(?:5|4\d[^4])" # 로그 파일 구조 SecAuditLogType Serial SecAuditLog /home/apache_log/modsec_audit_log # 로그에 남길 부분 SecAuditLogParts "ABIFHZ" # 웹서버의 헤더 정보 변경 # Apache 설정의 ServerTokens값이 Full로 설정되 있어야 함. SecServerSignature "Microsoft-IIS/7.0" # 아규먼트 구분자 SecArgumentSeparator "&" # 다음의 메소드 이외에는 허용하지 않음. SecRule REQUEST_METHOD "(PUT|DELETE|TRACE)" "deny, log" SecRequestBodyAccess Off SecResponseBodyAccess Off SecResponseBodyMimeType (null) text/html text/plain text/xml SecResponseBodyLimit 524288 ############################# # 3. PHP 인젝션 취약 공격 방지(공개 게시판 솔루션 대상 공격 포함) SecRule REQUEST_URI "\.php" "chain, msg:'PHP Injection Attacks'" SecRule REQUEST_URI "(dir|page|)" chain SecRule REQUEST_URI "=(http|https|ftp)\:/" SecRule REQUEST_URI "shell_exec\(" "msg:'PHP Injection Attacks'" SecRule REQUEST_URI "/include/write\.php\?dir=(ftp|http):" "msg:'PHP Injection Attacks'" SecRule REQUEST_URI "/include/print_category\.php\?setup=1&dir=(ftp|http):" "msg:'PHP Injection Attacks'" SecRule REQUEST_URI "/zero_vote/error\.php\?dir=(ftp|http):" "msg:'PHP Injection Attacks'" SecRule REQUEST_URI "/outlogin\.php\?_zb_path=(ftp|http):" "msg:'PHP Injection Attacks'" SecRule REQUEST_URI "filename=\|" "msg:'PHP Injection Attacks'" SecRule REQUEST_URI "check_user_id\.php\?user_id=