ModSecurity
「ModSecurity」
Modsecと呼ばれることもあるModSecurityは、オープンソースの Web アプリケーション ファイアウォール(WAF) です。もともと Apache HTTP Server のモジュールとして設計されていましたが、Apache HTTP Server Microsoftを含む多くの異なるプラットフォームにまたがる他のセキュリティ機能と共に、一連のHypertext Transfer Protocol要求および応答フィルタリング機能を提供するように進化しました。 IISとNginx。 Apache ライセンス2.0の下でリリースされたフリー ソフトウェアです。
Modセキュリティ
原作者
イヴァン・リスティック
開発者 Trustwave SpiderLabs 初回リリース
2002 年 11 月。20年前 （ 2002-11 )
安定版リリース
3.0.6 / 2021 年 11 月 20 日; 12ヶ月前 （ 2021年11月20日)
リポジトリ
github .com /SpiderLabs /ModSecurity
で書かれている ++ で利用可能
英語
ライセンス
アパッチ ライセンス2.0
Webサイト
modsecurity.org _
無料でオープンソースのソフトウェア ポータル
このプラットフォームは、ユーザー定義のルールに基づいてHypertext Transfer Protocol通信をリアルタイムで監視、ロギング、およびフィルタリングするための「SecRules」と呼ばれるルール構成言語を提供します。
唯一の構成ではありませんが、ModSecurity は、OWASP ModSecurity Core Rule Set (CRS) を使用して一般的なクラスの脆弱性に対する保護を提供するために最も一般的に展開されます。これは、ModSecurity の SecRules 言語で書かれたオープンソースのルール セットです。このプロジェクトは、Open Web Application Security ProjectであるOWASPの一部です。他にもいくつかのルール セットが用意されています。
脅威を検出するために、ModSecurity エンジンは、Web サーバー内に組み込まれて展開されるか、Web アプリケーションの前にプロキシ サーバーとして展開されます。これにより、エンジンはエンドポイントへの着信および発信HTTP通信をスキャンできます。ルールの構成に応じて、エンジンは通信の処理方法を決定します。これには、パス、ドロップ、リダイレクト、特定のステータス コードの返信、ユーザー スクリプトの実行などの機能が含まれます。
コンテンツ
1 歴史
2 以前の Lynx ブラウザのブロック
3 参考文献
4 外部リンク
歴史
ModSecurity はIvan Ristićによって最初に開発されました。彼は、 Apache HTTP Server上のアプリケーション トラフィックを監視するという最終目標を持つモジュールを作成しました。最初のバージョンは 2002 年 11 月にリリースされ、Apache HTTP Server 1.3.xをサポートしていました。2004 年に Ivan は Thinking Stone を設立し、フルタイムでプロジェクトに取り組みました。バージョン 2.0 の書き直しに取り組んでいる間、Thinking Stone は 2006 年 9 月にアメリカとイスラエルのセキュリティ会社である Breach Security に買収されました。Ivan は引き続きバージョン 2.0 の開発を続け、その後 2006 年夏にリリースされました。
Ristić と Breach Security は、2008 年 2 月に大幅な構文変更を加えたバージョン 2.5 を大幅に書き直してリリースしました。2009 年に Ivan は Breach を離れ、SSL Labs を設立しました。Ivan が Breach Security を離れた直後、Trustwave Holdingsは 2010 年 6 月に Breach を買収し、ModSecurity を Apache ライセンスに再ライセンスしました。開発は継続され、新しいライセンスにより、ModSecurity を他の製品に簡単に統合できるようになりました。この結果、さまざまな商用製品で ModSecurity が着実に採用されています。ライセンスの変更により、ソフトウェアの移植も容易になりました。そのため、Microsoftは 2012 年 8 月にIISポートを提供し、Nginx のポートは2012年のBlack Hat ブリーフィングでリリースされました。
2017 年にはハンドブックの第 2 版がリリースされ、はChristian Foliniと Ivan Ristićによって書かれました。バージョン 2.9.2 までの ModSecurity をカバーします。
元は Apache モジュールであったため、ModSecurity を他のプラットフォームに移植するには時間がかかり、メンテナンス コストが高くつきました。この結果、2015 年 12 月に完全な書き直しが開始されました。この新しいイテレーションである libmodsecurity は、基盤となるアーキテクチャを変更し、ModSecurity を、API を介して Web サーバーと通信するスタンドアロン エンジンに分離します。このモジュラー アーキテクチャ ベースの WAF は、2018 年 1 月に一般利用が発表され 、 libmodsecurity (ModSecurity バージョン 3.0) になり、Nginx と Apache のコネクタをサポートしています。
2021 年に、Trustwave Holdingsは、2021 年 8 月 1 日に発効する Trustwave の ModSecurity サポートの販売終了 (EOS) と、2024 年 7 月 1 日に発効するサポートの終了 (EOL) を発表します。 ModSecurity コードのメンテナンスオープンソース コミュニティに提供されます。
以前の Lynx ブラウザのブロック
ほとんどの ModSecurity ディストリビューションに同梱されているデフォルトのルールは、OWASP ModSecurity Core Rule Set (CRS) です。これらのルールは、ユーザー エージェント文字列が変更されない限り、 Lynxブラウザーを「自動ツール」としてブロックし、「406 Not Acceptable」を返すために使用されていました。これは、 Lynxで作業している目の不自由なユーザーに不便をもたらしました。ただし、コア ルール セット 3.0 (CRS3) のリリースにより、Lynx ユーザー エージェントはルールをトリガーしなくなりました。
参考文献
^ https://github.com/SpiderLabs/ModSecurity/releases/tag/v3.0.6 ; 発行日: 2021 年 11 月 20 日。取得日: 2021 年 12 月 25 日。
^ 「4 つのステップで Apache 2 サーバーを保護する方法」 . Techrepublic.com。2016 年 11 月 18 日。2018年1月7日閲覧。
^ シャー、シュリーラジ。「mod_security による Web サービスの保護 – O’Reilly Media」 . Onlamp.com . 2018年1月7日閲覧。
^ Lardinois、フレデリック （2016 年 8 月 23 日)。「NGINX Plusの最新リリースはセキュリティに重点を置いています」 . Techcrunch.com . 2018年1月7日閲覧。
^ 「OWASP ModSecurity コア ルール セット – Web アプリケーション攻撃に対する防御の第一線」 . Coreruleset.org 。2018年1月7日閲覧。
^ ModSecurity ハンドブック。Feistyduck.com . 2018年1月7日閲覧。
^ 「ModSecurity バージョン 3.0 のお知らせ」 . www.trustwave.com 。2019年9月12日閲覧。
^ 「ModSecurity Web アプリケーション ファイアウォールの販売および Trustwave サポートの終了」 . trustwave.com 。2021年10月14日閲覧。
^ 「Lynx Browser? 406 Not Acceptable Errors を追放する」 . Walt.gregg.juneau.ak.us . 2018年1月7日閲覧。このブログが、Lynx ブロックの動機が「Linux コマンド」を実行している Web サーバーを停止することであったと言うのは間違っているに違いありません。Lynx を呼び出すコマンドは、デフォルトのユーザー エージェント文字列のように大文字の L で始まらないためです (そして、ブロックは大文字と小文字を区別します)。
外部リンク
公式ウェブサイト
ModSecurity の公式ドキュメント
Debian/Ubuntu で Apache を使用して mod_security をセットアップする方法
Linux ModSecurity の紹介とインストール ガイド
Searchsecurity.techtarget.com”