NGINX整合OWASP核心規則集強化安全性

# CRS 異常評分閾值配置
# 此配置定義了觸發阻擋動作所需的累積異常評分
# 數值越低越嚴格，越高則越寬鬆

# 入站異常評分閾值
# 預設值為 5，表示單一嚴重規則觸發即阻擋
# 可根據應用程式特性調整：
# - 高安全性環境：保持 5
# - 一般應用程式：設為 10（需要兩個嚴重規則或多個低等級規則）
# - 誤報較多的環境：設為 15 或更高
SecAction \
  "id:900110,\
  phase:1,\
  nolog,\
  pass,\
  t:none,\
  setvar:tx.inbound_anomaly_score_threshold=5"

# 出站異常評分閾值
# 用於資料洩漏檢測（NGINX 環境中功能有限）
SecAction \
  "id:900111,\
  phase:1,\
  nolog,\
  pass,\
  t:none,\
  setvar:tx.outbound_anomaly_score_threshold=4"

# 警戒級別設定
# 控制哪些等級的規則會生效
# 1 = 只有嚴重等級
# 2 = 嚴重和錯誤
# 3 = 嚴重、錯誤和警告
# 4 = 所有等級（包括通知）
SecAction \
  "id:900000,\
  phase:1,\
  nolog,\
  pass,\
  t:none,\
  setvar:tx.paranoia_level=1"

# 安裝 ModSecurity 相依套件
# 這些套件提供 ModSecurity 核心功能所需的函式庫
sudo apt-get update
sudo apt-get install -y \
    apt-utils \
    autoconf \
    automake \
    build-essential \
    git \
    libcurl4-openssl-dev \
    libgeoip-dev \
    liblmdb-dev \
    libpcre++-dev \
    libtool \
    libxml2-dev \
    libyajl-dev \
    pkgconf \
    wget \
    zlib1g-dev

# 下載並編譯 ModSecurity 核心引擎
# 使用 v3/master 分支以獲取最新穩定版本
cd /opt
git clone --depth 1 -b v3/master --single-branch \
    https://github.com/SpiderLabs/ModSecurity
cd ModSecurity

# 初始化並更新子模組
# 這會下載必要的第三方相依元件
git submodule init
git submodule update

# 執行建置腳本
# 這會生成 configure 腳本
./build.sh

# 配置編譯選項
# --with-pcre 啟用 PCRE 正規表示式支援
# --with-lmdb 啟用 LMDB 持久化儲存
./configure \
    --with-pcre \
    --with-lmdb

# 編譯並安裝
# -j$(nproc) 使用所有 CPU 核心加速編譯
make -j$(nproc)
sudo make install

# 下載 ModSecurity-nginx 連接器
# 此模組將 ModSecurity 與 NGINX 整合
cd /opt
git clone --depth 1 \
    https://github.com/SpiderLabs/ModSecurity-nginx.git

# 下載與已安裝 NGINX 相同版本的原始碼
# 需要用來編譯動態模組
# 請將 1.24.0 替換為您的 NGINX 版本
NGINX_VERSION=1.24.0
wget http://nginx.org/download/nginx-${NGINX_VERSION}.tar.gz
tar -xzvf nginx-${NGINX_VERSION}.tar.gz
cd nginx-${NGINX_VERSION}

# 配置 NGINX 以編譯 ModSecurity 動態模組
# --with-compat 確保模組與已安裝的 NGINX 相容
./configure --with-compat \
    --add-dynamic-module=/opt/ModSecurity-nginx

# 編譯動態模組
make modules

# 將編譯好的模組複製到 NGINX 模組目錄
sudo cp objs/ngx_http_modsecurity_module.so /etc/nginx/modules/

# /etc/nginx/nginx.conf
# NGINX 主配置檔案

# 載入 ModSecurity 動態模組
# 此指令必須放在配置檔案的最上層，在 events 區塊之前
load_module modules/ngx_http_modsecurity_module.so;

user nginx;
worker_processes auto;

# 錯誤日誌配置
# ModSecurity 的警告和錯誤會記錄到此檔案
error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;

events {
    worker_connections 1024;
    use epoll;
    multi_accept on;
}

http {
    include /etc/nginx/mime.types;
    default_type application/octet-stream;

    # 自訂日誌格式，包含更多請求詳情
    log_format main '$remote_addr - $remote_user [$time_local] '
                    '"$request" $status $body_bytes_sent '
                    '"$http_referer" "$http_user_agent" '
                    '$request_time $upstream_response_time';

    access_log /var/log/nginx/access.log main;

    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 65;

    # 全域啟用 ModSecurity
    # 也可以在個別 server 或 location 區塊中啟用
    modsecurity on;

    # 指定 ModSecurity 主配置檔案路徑
    modsecurity_rules_file /etc/nginx/modsec/main.conf;

    include /etc/nginx/conf.d/*.conf;
}

# 下載 OWASP CRS 最新版本
# 請至 GitHub 確認最新版本號
cd /opt
CRS_VERSION=3.3.5
wget https://github.com/coreruleset/coreruleset/archive/v${CRS_VERSION}.tar.gz

# 解壓縮並移動到適當位置
tar -xzvf v${CRS_VERSION}.tar.gz
sudo mv coreruleset-${CRS_VERSION} /usr/local/owasp-crs

# 建立配置檔案
# 從範例檔案複製，保留原始檔案作為參考
cd /usr/local/owasp-crs
sudo cp crs-setup.conf.example crs-setup.conf

# 如果有特定應用程式需要排除規則
# 也需要複製相應的排除規則範例檔案
sudo cp rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example \
    rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
sudo cp rules/RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example \
    rules/RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf

# /etc/nginx/modsec/main.conf
# ModSecurity 主配置檔案
# 此檔案整合所有 ModSecurity 和 CRS 配置

# 包含 ModSecurity 推薦配置
# 這個檔案設定 ModSecurity 核心引擎的行為
Include /etc/nginx/modsec/modsecurity.conf

# 設定預設動作
# phase:1 處理請求標頭
# phase:2 處理請求主體
# deny 表示阻擋符合規則的請求
# status:403 回傳 HTTP 403 Forbidden
# log 記錄到錯誤日誌
# auditlog 記錄到稽核日誌
SecDefaultAction "phase:1,log,auditlog,deny,status:403"
SecDefaultAction "phase:2,log,auditlog,deny,status:403"

# 包含 OWASP CRS 設定檔
# 此檔案定義異常評分閾值、警戒級別等參數
Include /usr/local/owasp-crs/crs-setup.conf

# 包含 CRS 前置排除規則
# 這些規則在主要規則之前執行，用於排除已知的誤報
Include /usr/local/owasp-crs/rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf

# 包含所有 CRS 規則
# 使用萬用字元載入 rules 目錄中的所有 .conf 檔案
Include /usr/local/owasp-crs/rules/*.conf

# /etc/nginx/modsec/modsecurity.conf
# ModSecurity 核心引擎配置

# 啟用規則引擎
# On = 啟用並阻擋攻擊
# DetectionOnly = 只檢測不阻擋（適合初期測試）
# Off = 完全停用
SecRuleEngine On

# 請求主體處理設定
# 必須啟用才能檢查 POST 資料
SecRequestBodyAccess On

# 請求主體大小限制
# 超過此大小的請求將被拒絕
SecRequestBodyLimit 13107200
SecRequestBodyNoFilesLimit 131072

# 當請求主體超過限制時的處理方式
# Reject = 拒絕請求
# ProcessPartial = 處理已接收的部分
SecRequestBodyLimitAction Reject

# 回應主體處理設定
# NGINX 環境中建議停用以提升效能
SecResponseBodyAccess Off

# 暫存目錄設定
# 用於處理大型請求主體
SecTmpDir /tmp/
SecDataDir /tmp/

# 稽核日誌設定
# 記錄所有相關的安全事件
SecAuditEngine RelevantOnly
SecAuditLogRelevantStatus "^(?:5|4(?!04))"
SecAuditLogParts ABIJDEFHZ
SecAuditLogType Serial
SecAuditLog /var/log/nginx/modsec_audit.log

# 調試日誌設定
# 0 = 停用
# 1-9 = 不同詳細程度
SecDebugLog /var/log/nginx/modsec_debug.log
SecDebugLogLevel 0

# 引數分隔符
# 定義 URL 查詢字串中的參數分隔字元
SecArgumentSeparator &

# Cookie 格式版本
# 0 = Netscape cookies
# 1 = RFC 6265 cookies
SecCookieFormat 0

# Unicode 對應檔案
# 用於 Unicode 正規化處理
SecUnicodeMapFile unicode.mapping 20127

# 狀態引擎
# 追蹤 IP 位址和 Session 的狀態
SecStatusEngine On

# 測試 NGINX 配置語法
# 確保沒有語法錯誤
sudo nginx -t

# 如果測試通過，重新載入配置
# 使用 reload 而非 restart 以避免服務中斷
sudo nginx -s reload

# 檢查 ModSecurity 是否正確載入
# 查看錯誤日誌中的初始化訊息
sudo tail -f /var/log/nginx/error.log | grep -i modsecurity

# 安裝 Nikto
# Nikto 使用 Perl 編寫，需要 Perl 執行環境
git clone https://github.com/sullo/nikto
cd nikto

# 執行基本掃描
# -h 指定目標主機
# 這會發送數千個測試請求
perl program/nikto.pl -h localhost

# 執行更詳細的掃描
# -o 輸出結果到檔案
# -Format htm 使用 HTML 格式
# -Tuning x 指定測試類別
perl program/nikto.pl -h localhost \
    -o nikto_report.html \
    -Format htm \
    -Tuning 123456789abcde

# /usr/local/owasp-crs/rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
# 在此檔案中新增排除規則

# 排除特定 IP 位址的所有規則檢查
# 適用於已知的信任來源，如監控系統
SecRule REMOTE_ADDR "@ipMatch 10.0.0.100,192.168.1.0/24" \
    "id:1000,\
    phase:1,\
    pass,\
    nolog,\
    ctl:ruleEngine=Off"

# 排除特定 URI 路徑的規則檢查
# 適用於已知會觸發誤報的 API 端點
SecRule REQUEST_URI "@beginsWith /api/webhook" \
    "id:1001,\
    phase:1,\
    pass,\
    nolog,\
    ctl:ruleRemoveById=942100"

# 排除特定參數的 SQL 注入檢查
# 適用於需要接受類似 SQL 語法的欄位
SecRule ARGS:code "@rx .*" \
    "id:1002,\
    phase:2,\
    pass,\
    nolog,\
    ctl:ruleRemoveTargetById=942100;ARGS:code"

# 針對特定應用程式的排除規則範例

# WordPress 特定排除
# WordPress 的 AJAX 端點經常觸發誤報
SecRule REQUEST_URI "@beginsWith /wp-admin/admin-ajax.php" \
    "id:1100,\
    phase:1,\
    pass,\
    nolog,\
    ctl:ruleRemoveById=941100-941999"

# API 端點排除
# JSON API 可能包含需要特殊處理的資料格式
SecRule REQUEST_URI "@beginsWith /api/v1/" \
    "id:1101,\
    phase:1,\
    pass,\
    nolog,\
    ctl:ruleRemoveById=920420,\
    ctl:ruleRemoveById=921110"

# 檔案上傳端點排除
# 檔案內容檢查可能產生誤報
SecRule REQUEST_URI "@streq /upload" \
    "id:1102,\
    phase:1,\
    pass,\
    nolog,\
    ctl:requestBodyProcessor=URLENCODED,\
    ctl:ruleRemoveById=200002"

# 分析異常評分分布
# 從稽核日誌中提取所有異常評分
grep "Inbound Anomaly Score" /var/log/nginx/modsec_audit.log | \
    awk -F'=' '{print $NF}' | \
    sort -n | \
    uniq -c | \
    sort -rn

# 輸出範例：
#   1523 0      <- 大多數請求評分為 0（正常）
#    342 5      <- 觸發一個嚴重規則
#     89 10     <- 觸發兩個嚴重規則
#     12 15     <- 可能的攻擊
#      3 25     <- 明確的攻擊

# 修改 REQUEST-941-APPLICATION-ATTACK-XSS.conf
# 在規則變數列表中新增 REQUEST_URI

# 找到規則 941160（XSS 使用 script 標籤）
# 原始規則：
# SecRule REQUEST_COOKIES|!REQUEST_COOKIES:/__utm/|...

# 修改為包含 REQUEST_URI：
SecRule REQUEST_URI|REQUEST_COOKIES|!REQUEST_COOKIES:/__utm/|\
    REQUEST_COOKIES_NAMES|ARGS_NAMES|ARGS|XML:/* \
    "@rx (?i)<script[^>]*>[\s\S]*?" \
    "id:941160,\
    phase:2,\
    block,\
    capture,\
    t:none,t:utf8toUnicode,t:urlDecodeUni,t:htmlEntityDecode,t:jsDecode,t:cssDecode,t:removeNulls,\
    msg:'NoScript XSS InjectionChecker: HTML Injection',\
    logdata:'Matched Data: %{TX.0} found within %{MATCHED_VAR_NAME}: %{MATCHED_VAR}',\
    tag:'application-multi',\
    tag:'language-multi',\
    tag:'platform-multi',\
    tag:'attack-xss',\
    tag:'paranoia-level/1',\
    tag:'OWASP_CRS',\
    tag:'capec/1000/152/242',\
    ver:'OWASP_CRS/3.3.5',\
    severity:'CRITICAL',\
    setvar:'tx.xss_score=+%{tx.critical_anomaly_score}',\
    setvar:'tx.anomaly_score_pl1=+%{tx.critical_anomaly_score}'"

# 同樣修改規則 941320（XSS 使用 IE 濾鏡）
# 新增 REQUEST_URI 到檢查變數列表

# 測試 XSS 防護
# 這些請求應該被阻擋

# 測試基本 script 標籤注入
curl -v "http://localhost/?q=<script>alert('xss')</script>"

# 測試編碼後的 XSS
curl -v "http://localhost/?q=%3Cscript%3Ealert('xss')%3C/script%3E"

# 測試事件處理器 XSS
curl -v "http://localhost/?q=<img src=x onerror=alert('xss')>"

# 測試 SVG XSS
curl -v "http://localhost/?q=<svg/onload=alert('xss')>"

# /etc/nginx/modsec/main.conf
# 整合 Trustwave SpiderLabs 商業規則集

# 包含 ModSecurity 推薦配置
Include /etc/nginx/modsec/modsecurity.conf

# 設定預設動作
SecDefaultAction "phase:1,log,auditlog,deny,status:403"
SecDefaultAction "phase:2,log,auditlog,deny,status:403"

# 遠端規則載入失敗時的處理方式
# Abort = 停止 NGINX 啟動
# Warn = 記錄警告但繼續運行
SecRemoteRulesFailAction Warn

# 載入 Trustwave SpiderLabs 規則
# license-key 從 ModSecurity Dashboard 取得
# URL 由 Trustwave 提供
SecRemoteRules your-license-key https://rules.trustwave.com/...

# 仍然可以同時使用 OWASP CRS
# 兩套規則可以互補
Include /usr/local/owasp-crs/crs-setup.conf
Include /usr/local/owasp-crs/rules/*.conf

# 首先，在 Project Honeypot 網站註冊並取得 API 金鑰
# https://www.projecthoneypot.org/

# /etc/nginx/modsec/main.conf
# 新增 Project Honeypot 整合配置

# 啟用 IP 信譽檢查
SecHttpBlKey your-project-honeypot-api-key

# CRS 中的 IP 信譽規則會使用此金鑰
# 確保載入 REQUEST-910-IP-REPUTATION.conf

# 在 crs-setup.conf 中啟用 IP 信譽檢查
# 找到以下區塊並取消註解：

# -- [[ HTTP Blacklist - BL checks ]] -----------------------------------------------
#
# 啟用 Project Honeypot 檢查
SecAction \
 "id:900600,\
  phase:1,\
  nolog,\
  pass,\
  t:none,\
  setvar:tx.block_search_ip=1,\
  setvar:tx.block_suspicious_ip=1,\
  setvar:tx.block_harvester_ip=1,\
  setvar:tx.block_spammer_ip=1"

# /etc/nginx/modsec/modsecurity.conf
# 稽核日誌配置

# 稽核引擎模式
# On = 記錄所有交易
# Off = 停用稽核日誌
# RelevantOnly = 只記錄相關事件（推薦）
SecAuditEngine RelevantOnly

# 定義「相關」的狀態碼
# 記錄所有 5xx 錯誤和非 404 的 4xx 錯誤
SecAuditLogRelevantStatus "^(?:5|4(?!04))"

# 稽核日誌的組成部分
# A = 稽核日誌標頭
# B = 請求標頭
# C = 請求主體
# D = 保留
# E = 中間回應主體（目前不支援）
# F = 最終回應標頭
# G = 保留
# H = 稽核日誌尾端（包含觸發的規則）
# I = 請求主體（替代 C，尊重 SecUploadDir）
# J = 保留
# K = 符合規則的列表（完整的 SecRule 內容）
# Z = 最終分隔符
SecAuditLogParts ABIJDEFHZ

# 稽核日誌格式
# Serial = 單一檔案
# Concurrent = 每個交易一個檔案
SecAuditLogType Serial
SecAuditLog /var/log/nginx/modsec_audit.log

# 如果使用 Concurrent 模式，指定日誌目錄
# SecAuditLogStorageDir /var/log/nginx/modsec_audit/

# 查看最近被阻擋的請求
grep -A 20 "Action: Intercepted" /var/log/nginx/modsec_audit.log | tail -100

# 統計觸發最多的規則
grep "id \"" /var/log/nginx/modsec_audit.log | \
    sed 's/.*id "\([0-9]*\)".*/\1/' | \
    sort | uniq -c | sort -rn | head -20

# 找出攻擊來源 IP 排行
grep "\-A\-\-" /var/log/nginx/modsec_audit.log | \
    awk '{print $1}' | \
    sort | uniq -c | sort -rn | head -20

# 分析攻擊類型分布
grep "tag:" /var/log/nginx/modsec_audit.log | \
    grep -o 'attack-[a-z]*' | \
    sort | uniq -c | sort -rn

# 查看特定 IP 的所有請求
grep "203.0.113.50" /var/log/nginx/modsec_audit.log

# /etc/logstash/conf.d/modsecurity.conf
# Logstash 配置：解析 ModSecurity 稽核日誌

input {
  file {
    path => "/var/log/nginx/modsec_audit.log"
    start_position => "beginning"
    sincedb_path => "/var/lib/logstash/sincedb_modsec"

    # ModSecurity 稽核日誌使用 "--xxxxxxxx-Z--" 作為記錄分隔符
    # 這裡使用多行編解碼器來正確解析
    codec => multiline {
      pattern => "^--[a-fA-F0-9]{8}-A--$"
      negate => true
      what => "previous"
    }
  }
}

filter {
  # 解析 ModSecurity 稽核日誌格式
  grok {
    match => {
      "message" => [
        "--(?<transaction_id>[a-fA-F0-9]{8})-A--\n\[%{DATA:timestamp}\] %{DATA:unique_id} %{IP:source_ip} %{INT:source_port} %{IP:dest_ip} %{INT:dest_port}",
        "(?<section>[A-Z])--\n(?<content>[\s\S]*?)(?=\n--[a-fA-F0-9]{8}-)"
      ]
    }
  }

  # 解析時間戳
  date {
    match => [ "timestamp", "dd/MMM/yyyy:HH:mm:ss Z" ]
    target => "@timestamp"
  }

  # 新增地理位置資訊
  geoip {
    source => "source_ip"
    target => "geoip"
  }

  # 提取觸發的規則 ID
  if [content] =~ /id "/ {
    grok {
      match => { "content" => 'id "(?<rule_id>\d+)"' }
    }
  }
}

output {
  elasticsearch {
    hosts => ["localhost:9200"]
    index => "modsecurity-%{+YYYY.MM.dd}"
  }
}

# 在 crs-setup.conf 中停用不需要的規則類別
# 透過設定警戒級別為 1 來減少規則數量

SecAction \
  "id:900000,\
  phase:1,\
  nolog,\
  pass,\
  t:none,\
  setvar:tx.paranoia_level=1"

# 完全停用特定規則檔案
# 在 main.conf 中使用 SecRuleRemoveById 或不載入檔案

# 例如，停用 PHP 注入規則（如果不使用 PHP）
SecRuleRemoveById 933100-933199

# 編譯 ModSecurity 時啟用 Hyperscan
# 首先安裝 Hyperscan 函式庫
sudo apt-get install libhyperscan-dev

# 重新配置和編譯 ModSecurity
cd /opt/ModSecurity
./configure --with-pcre --with-lmdb --with-hyperscan
make -j$(nproc)
sudo make install

# 針對特定位置停用 ModSecurity
location /health {
    modsecurity off;
    return 200 'OK';
}

# 針對靜態檔案停用詳細檢查
location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
    modsecurity_rules '
        SecRuleEngine DetectionOnly
        SecRequestBodyAccess Off
    ';
    expires 30d;
}

# 監控 ModSecurity 處理時間
# 在 NGINX 日誌格式中加入請求處理時間
log_format detailed '$remote_addr - $remote_user [$time_local] '
                    '"$request" $status $body_bytes_sent '
                    '"$http_referer" "$http_user_agent" '
                    'rt=$request_time uct=$upstream_connect_time '
                    'uht=$upstream_header_time urt=$upstream_response_time';

# 使用 stub_status 監控 NGINX 效能
location /nginx_status {
    stub_status;
    allow 127.0.0.1;
    deny all;
}

# 監控系統資源使用
# 定期檢查 NGINX worker 進程的 CPU 和記憶體使用
ps aux | grep nginx | grep -v grep

# CRS 更新腳本範例
#!/bin/bash
# update-crs.sh - 更新 OWASP CRS 規則集

# 設定變數
CRS_DIR="/usr/local/owasp-crs"
BACKUP_DIR="/usr/local/owasp-crs-backup"
CRS_VERSION="3.3.5"

# 建立備份
echo "建立現有規則備份..."
cp -r $CRS_DIR $BACKUP_DIR-$(date +%Y%m%d)

# 下載新版本
echo "下載 CRS $CRS_VERSION..."
cd /tmp
wget https://github.com/coreruleset/coreruleset/archive/v${CRS_VERSION}.tar.gz

# 解壓縮到暫存目錄
tar -xzf v${CRS_VERSION}.tar.gz

# 備份自訂配置
cp $CRS_DIR/crs-setup.conf /tmp/crs-setup.conf.bak
cp $CRS_DIR/rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf \
   /tmp/exclusions.conf.bak

# 更新規則
rm -rf $CRS_DIR
mv coreruleset-${CRS_VERSION} $CRS_DIR

# 還原自訂配置
cp /tmp/crs-setup.conf.bak $CRS_DIR/crs-setup.conf
cp /tmp/exclusions.conf.bak \
   $CRS_DIR/rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf

# 測試 NGINX 配置
echo "測試 NGINX 配置..."
nginx -t

if [ $? -eq 0 ]; then
    echo "配置測試通過，重新載入 NGINX..."
    nginx -s reload
    echo "CRS 更新完成"
else
    echo "配置測試失敗，還原備份..."
    rm -rf $CRS_DIR
    mv $BACKUP_DIR-$(date +%Y%m%d) $CRS_DIR
    echo "已還原備份"
    exit 1
fi