vshn/modsecurity

ModSecurity Docker镜像

基于官方https://hub.docker.com/r/owasp/modsecurity-crs%E9%95%9C%E5%83%8F%E6%9E%84%E5%BB%BA%E3%80%82

• 包含在OpenShift上运行所需的必要调整。
• 使用MaxMind提供的GeoLite2国家数据库，遵循CC BY-SA 4.0许可证。
• 集成Cisco-TALOS提供的ClamAV防病毒扫描器，遵循https://github.com/Cisco-TALOS/clamav-devel/blob/master/COPYING%E3%80%82

支持的标签

• 
• 

使用方法

临时使用和调试：

console
$ docker run -p 80:80 -it -e PARANOIA=4 --rm vshn/modsecurity bash

使用Dockerfile：

Dockerfile
FROM vshn/modsecurity:3.1

ENV PARANOIA=1 \
    ANOMALY_INBOUND=500 \
    ANOMALY_OUTBOUND=400 \
    PORT=8000 \
    BACKEND=http://facade-svc:9000

VOLUME /opt/modsecurity/rules/before-crs
VOLUME /opt/modsecurity/rules/after-crs
VOLUME /var/log/modsecurity
VOLUME /tmp/modsecurity

使用Docker Compose启动ModSecurity和httpbin容器：

console
cd v3.1
docker-compose up

容器运行后，可发送如下请求：

console
curl -i http://localhost:8080/anything

curl -i -H 'Host: vshn.ch' http://localhost:8080/anything

curl -i http://localhost:8080/cookies/set/secret/random-value

所有支持的端点可参考httpbin.org。

配置

提供多种环境变量用于配置镜像。

最重要的环境变量如下：

• PARANOIA（默认：1）
  • 范围1-4。详情参见coreruleset.org/faq/中的“什么是偏执级别，应选择哪个级别？”部分。
• ANOMALY_INBOUND（默认：1000）
  • 入站异常分数阈值；建议从1000开始，逐步降低至5。
• ANOMALY_OUTBOUND（默认：1000）
  • 出站异常分数阈值；建议从1000开始，逐步降低至4。
• PORT（默认：8080）
  • Apache进程监听端口。
• BACKEND
  • 需由ModSecurity保护的服务IP/URL。
• BACKEND_WS
  • WebSocket服务的IP/URL（如使用）。

ModSecurity

• RULE_ENGINE
  • SecRuleEngine配置
• REQ_BODY_ACCESS
  • SecRequestBodyAccess配置
• RESP_BODY_ACCESS
  • SecResponseBodyAccess配置
• REQ_BODY_LIMIT
  • SecResponseBodyLimit配置
• RESP_BODY_LIMIT
  • SecRequestBodyLimit配置
• REQ_BODY_NOFILES_LIMIT
  • SecRequestBodyNoFilesLimit配置
• PCRE_MATCH_LIMIT
  • SecPcreMatchLimit配置
• PCRE_MATCH_LIMIT_RECURSION
  • SecPcreMatchLimitRecursion配置
• MODSEC_TAG
  • SecDefaultAction标签
• MODSEC_ALLOWED_METHODS
  • tx.allowed_methods配置
• MODSEC_ALLOWED_CONTENT
  • tx.allowed_request_content_type配置
• MODSEC_MAX_NUM_ARGS
  • tx.max_num_args配置
• MODSEC_ARG_NAME_LENGTH
  • tx.arg_name_length配置
• MODSEC_ARGS_COMBINED_SIZE
  • tx.total_arg_length配置
• MODSEC_MAX_FILE_SIZE
  • tx.max_file_size配置
• MODSEC_MAX_COMBINED_SIZE
  • tx.combined_file_sizes配置
• MODSEC_DEBUG_LOG
  • SecDebugLog配置
• MODSEC_DEBUG_LOGLEVEL
  • SecDebugLogLevel配置
• MODSEC_AUDIT_LOG_TYPE
  • SecAuditLogType配置
• MODSEC_AUDIT_LOG_FORMAT
  • SecAuditLogFormat配置
• MODSEC_AUDIT_LOG
  • SecAuditLog配置
• MODSEC_AUDIT_STORAGE
  • SecAuditLogStorageDir配置

默认值请查看Dockerfile。

Apache

• APACHE_RUN_USER
  • Apache进程运行的系统用户
• APACHE_RUN_GROUP
  • Apache进程运行的系统组
• HTTPD_MAX_REQUEST_WORKERS
  • MaxRequestWorkers配置（mpm_event模块）
• SERVER_NAME
  • ServerName配置（默认站点）
• SERVER_ADMIN
  • ServerAdmin配置（默认站点）
• APACHE_LOGLEVEL
  • LogLevel配置（默认站点）
• APACHE_ERRORLOG
  • ErrorLog配置（默认站点）
• APACHE_ACCESSLOG
  • CustomLog配置（默认站点）
• APACHE_PERFLOG
  • CustomLog配置（默认站点）
• REMOTEIP_INT_PROXY
  • RemoteIPInternalProxy配置（默认站点）
• REQ_HEADER_FORWARDED_PROTO
  • X-Forwarded-Proto请求头配置（默认站点）
• APACHE_TIMEOUT
  • Timeout配置（Apache全局）
• PROXY_PRESERVE_HOST（默认：on）
  • ProxyPreserveHost配置（默认站点）
• PROXY_SSL（默认：off）
  • SSLProxyEngine配置，可选on或off（默认站点）。若需完全验证后端证书（包括主机名），应将PROXY_PRESERVE_HOST设为off。
• PROXY_SSL_VERIFY（默认：none）
  • SSLProxyVerify配置，指定证书验证级别（none、optional、require、optional_no_ca）。
• PROXY_SSL_CHECK_PEER_NAME（默认：on）
  • SSLProxyCheckPeerName配置，可选on或off。是否检查后端证书的主机名。若PROXY_PRESERVE_HOST为on，此值应设为off。
• PROXY_SSL_CA_CERT（默认：/etc/ssl/certs/ca-certificates.crt）
  • SSLProxyCACertificateFile配置（默认站点）
• PROXY_TIMEOUT
  • ProxyTimeout配置（默认站点）

默认值请查看Dockerfile。

ClamAV防病毒

• CLAMD_SERVER（默认：127.0.0.1）
  • clamd服务运行的主机/IP
• CLAMD_PORT（默认：3310）
  • clamd监听的端口
• CLAMD_DEBUG_LOG（默认：off）
  • 是否启用ClamAV扫描调试日志

日志

遵循12-factor应用规范，审计日志、错误日志和访问日志均输出到控制台，由集群日志栈处理：

• 审计日志（默认：JSON格式输出到stdout）
  • 参见MODSEC_AUDIT_LOG
• 错误日志（默认：JSON格式输出到stdout）
  • 参见APACHE_ERRORLOG
• 访问日志（默认：JSON格式输出到stdout）
  • 参见APACHE_ACCESSLOG
  • 参见APACHE_PERFLOG

建议将/tmp/modsecurity挂载到临时存储，如emptyDir卷。相关配置如下：

• MODSEC_DATA_DIR（默认：/tmp/modsecurity/data）
  • SecDataDir配置
• MODSEC_TMP_DIR（默认：/tmp/modsecurity/tmp）
  • SecTmpDir配置
• MODSEC_UPLOAD_DIR（默认：/tmp/modsecurity/upload）
  • SecUploadDir配置

自定义规则

挂载自定义规则：

• 挂载到/opt/modsecurity/rules/before-crs/，规则将在核心规则集（CRS）之前加载。
• 挂载到/opt/modsecurity/rules/after-crs/，规则将在CRS之后加载。

所有自定义规则文件必须以.conf结尾才能被加载。

credits

本产品包含MaxMind创建的GeoLite2数据，可从[***]