Modsecurityの概要と特徴

・Webサーバーの通常のログは、マーケットの分析用途で記録する情報が少なく、HTTPのリクエストボディ部を記録していないといった問題があります。
　
・攻撃者もそれを知っているのでPOSTリクエストを使って攻撃を実行しています。
　
・ModSecurityは、リクエストの開始からレスポンスの終了まですべてのHTTPトランザクションにおけるログが可能となっています。
　
・HTTPデータ内のあるフィールドには機密性の高い情報が含まれる事もありますが、これらの情報が監視ログに記述される際にマスクするように設定する事も出来ます。

・攻撃を検知するためにHTTPトラフィックをリアルタイムにモニターする機能があります。
　
この場合、ModSecurityは侵入検知ツールとしての役割を担います。

Webアプリケーションに対する攻撃を防ぐためのアクションも直ちに実行できます。以下３つのアプローチがあります。
　
①ネガティブセキュリティモデル
　
・アノマリーなリクエスト、異常な振る舞い、一般的なWebアプリケーション攻撃をモニターします。
　
・IPアドレス、アプリケーションセッション、ユーザーアカウントを基に各リクエストのアノマリースコアを把握していて、高いアノマリースコアのリクエストの場合はログに記録したり拒否するなどのアクションをとります。
　
②ポジティブセキュリティモデル
　
・正当だと判断できるリクエストのみ受けつけ、それ以外のすべては拒否します。
　
・このモデルの場合は、防御対象のWebアプリケーションに対する深い知識が必要です。
　
・このモデルは、防御対象のアプリケーションを使い込んでいて深い知識があり、アップデートがまれでモデルのメンテナンスがあまり必要がない場合に適しています。
　
③既知の欠点、脆弱性
　
・外部パッチ（またはバーチャルパッチ）ツールとしての役割を担います。
　
・アプリケーションの脆弱性に対するパッチを用意するのに数週間かかる場合があります。
　
このModSecurityのバーチャルパッチによって、アプリケーション自身にパッチを適用したり、ソースに触れることなしに外部から仮想的にパッチを適用した状態にし、正規のパッチが適用されるまでの間、システムをセキュアに保つように維持します。

・フレキシブルルールエンジンは、ModSecurityの中心となる機能です。
　
・これは、ModSecurityルール言語によって実装されていて、HTTPトランザクションデータ用に設計されたプログラミング言語です。
　
・ModSecurityルール言語は使用しやすく、フレキシブルです。
一般的なオペレーションはシンプルですが複雑なオペレーションも可能です。
　
・ModSecurity同梱のModSecurityルールには、一般的なハードニング、プロトコルバリデーション、一般的なWebアプリケーションセキュリティ不具合などが設定された包括的なルールセットが含まれています。
このルールセットを学習ツールとして使用できるほど詳しくコメントされています。

ModSecurityは、組み込みのWebアプリケーションファイアウォールで、Apache、IIS、NginxなどのWebサーバーの一部としてデプロイできます。
　
このデプロイでは、下記メリットがあります。
　
①既存のネットワークの変更不要
　
既存のWebサーバーに簡単に導入できます。デフォルトは完全にパッシブなので導入後すぐにご検知による不具合が生じることがありません。
　
最初はパッシブで、徐々に必要な機能を自由に追加できます。不要になった機能はすぐに無効化、削除する事も出来ます。
　
②Single Point of Failure（単一障害点）とならない
　
ネットワークベースのデプロイとは違って、あらたに障害点を導入せずに済みます。
　
③ロードバランスやスケーリングの効果もある
　
ModSecurityは、Webサーバー内に組み込まれて動作するので、自動でロードバランスとスケーラビリティーの機能を持つことになります。
　
④オーバーヘッドが最小
　
Webサーバーのプロセス内で動作するので、ネットワーク通信のオーバーヘッドやデータ解析、変換のオーバーヘッドがありません。
　
⑤暗号化、圧縮化コンテンツに関する問題もない
　
多くのIDSシステムではSSLトラフィックの解析が困難と言われています。ModSecurityでは、トラフィックが復号化された後、圧縮を伸張した後の段階で位置で動作しているので問題ありません。

・リバースプロキシサーバーの一部として動作させることも可能です。
　
・このシナリオでは、リバースプロキシにModSecurityを導入するだけのバックエンドの多くのWebサーバーを保護する事が出来ます。

・OWASP（Open Web Application Security Project）
　
・OWASP ModSecurity Core Rule Set Project
https://www.owasp.org/index.php/Category:OWASP_ModSecurity_Core_Rule_Set_Project
　
・既知の脆弱性に特化したシグネチャに基づいているIDSやIDPとは異なり、CRSは、Webアプリケーション（多くはカスタムなコード）でたびたび発見される未知の脆弱性に対する全般的な保護の機能を提供します。
　
・CRSは詳しくコメント化されているので、ModSecurityの入門ガイドとしても使用できます。

Webアプリケーションを保護するため、CRSは下記手法を使用します。
　
・HTTP保護
　
HTTPプロトコルの違反やローカルに定義されて使用されているポリシーを検知します。
　
・一般的なWeb攻撃保護
　
一般的なWebアプリケーションセキュリティ攻撃を検知します。
　
・自動検知
　
ボット（遠隔操作などする悪用プログラム）、クローラー、スキャナー、その他の悪意のあるアクティビティを検知します。
　
・トロイの木馬攻撃を保護
　
・エラーを隠す
　
サーバーから送られたエラーメッセージを分からないように変換する。