Tìm hiểu về MODSECRITY:

1. Giới thiệu
- ModSecurity là một web application firewall(WAF) được Ivan Ristic phát
triển dành cho Apache Web Server. Giống như những firewall thông thường
khác, nó lọc những lưu lượng dữ liệu vào và ra để có thể quyết định chặn lại
những lưu lượng mà nó nghi ngờ là độc hại dựa theo tập lệnh nó định nghĩa.
Nó còn có nhiều tính năng vượt trội khác như : HTTP transaction logging và
content injection…
- Các luật được tạo và chỉnh sửa sử dụng một định dạng văn bản đơn giản, nó
làm cho việc viết rules trở nên đơn giản hơn. Một khi đã quen với cú pháp
của ModSecurity, chúng ta có thể nhanh chóng viết được những rules để
block một exploit mới hoặc ngăn chặn một lỗ hổng.
- Có thể hình dung ModSecurity như là một trạm trung gian giữa HTTP
request và httpd (dịch vụ web server). Khi phát hiện ra một cuộc tấn công,
những chi tiết về vụ tấn công sẽ được lưu vào log file hoặc một email có thể
được gửi tới người quản trị viên để báo hiệu có một cuộc tấn công xảy ra trên
hệ thống.
- ModSecurity cho phép bạn bảo vệ server của mình thông qua việc viết các
luật nhằm bao phủ một dải các viễn cảnh tấn công có thể. Do đó,
ModSecurity là một lớp bổ sung có thể giúp bạn bảo vệ theo một cách không
cần bản vá.
- MODSECRITY có thể:

 Request filtering: tất cả các request gửi đến web server đều được phân
tích và càn lọc (filter) trước khi chúng được đưa đến các modules khác để
xử lý.
 Anti-evasion techniques: paths và parameters được chuẩn hóa trước khi
phân tích để chống evasion techniques.
 Understanding of the HTTP protocol: ModSecurity là web application
firewall nên nó có khả năng hiểu được HTTP protocol. ModSecurity có
khả năng càn lọc dựa trên các thông tin ở HTTP header hay có thể xem
xét đến từng parameters hay cookies của các requests…
 POST payload analysis: ngoài việc càn lọc dựa trên HTTP header,
ModSecurity có thể dựa trên nội dung (payload) của POST request.
 Audit logging: mọi request đều có thể được ghi lại (bao gồm cả POST)
để người quản trị có thể theo dõi nếu cần.
 HTTPS filtering: ModSecurity có thể phân tích HTTPS.
 Compressed content filtering: ModSecurity sẽ phân tích sau khi đã
decompress các request data.