[11월 27일] Mod_security 구축하기

Mod_security 구축하기

 

🛡️ 1단계: ModSecurity 코어 엔진 및 모듈 설치

Apache 웹 서버에 ModSecurity 모듈을 설치한다.

 

1. 패키지 목록 업데이트:

   sudo apt update
   

    

2. ModSecurity 패키지 설치: Apache용 ModSecurity 모듈을 설치한다.

   sudo apt install libapache2-mod-security2
   

    

3. Apache ModSecurity 모듈 활성화 확인: 설치 시 자동으로 활성화되지만, 한 번 더 확인한다.

   sudo a2enmod security2
   

    

4. 웹 서버 재시작: 모듈 적용을 위해 Apache를 재시작한다.

   sudo systemctl restart apache2
   

    

---

 

🛡️ 2단계: ModSecurity 기본 설정 변경 (Detection → Prevention 모드)

ModSecurity는 기본적으로 탐지 모드(Detection Only) 로 되어 있어. 실제 차단 기능을 사용하려면 설정을 변경해야 한다.

 

✅ 2-1. ModSecurity 설정 파일 백업

sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf

 

✅ 2-2. ModSecurity 설정 열기

sudo nano /etc/modsecurity/modsecurity.conf

 

✅ 2-3. 이 부분을 수정

SecRuleEngine DetectionOnly 
→ SecRuleEngine On 으로 변경

 

이제 실제 공격 요청을 차단하게 됨.

 

---

 

🛡️ 3단계: OWASP Core Rule Set(CRS) 설치

ModSecurity는 엔진일 뿐이고, 실제 보안 규칙은 따로 설치해야 한다. 가장 많이 사용하는 규칙은 OWASP CRS이다.

 

✅ 3-1. CRS 다운로드

cd /usr/share/modsecurity-crs/ sudo git clone https://github.com/coreruleset/coreruleset.git

 

* Ubuntu 기본 설치에 /usr/share/modsecurity-crs/ 디렉토리가 이미 있을 수도 있으니 아래 명령으로 확인:

ls /usr/share/

 

* 만약 해당 디렉토리가 없다면:

sudo git clone https://github.com/coreruleset/coreruleset.git /usr/share/modsecurity-crs

 

✅ 3-2. 실제 위치 확인

ls /usr/share/modsecurity-crs/coreruleset

 

이 경로 안에 crs-setup.conf.example가 있는지 확인한다.

 

---

 

✅ 3-3. 파일 복사

위 명령에서 파일이 보였다면:

sudo cp /usr/share/modsecurity-crs/coreruleset/crs-setup.conf.example /usr/share/modsecurity-crs/coreruleset/crs-setup.conf

 

---

🧩 참고: CRS v4.x는 구조가 바뀜

CRS 4.x에서는 디렉토리 구조가 이렇게 생김:

coreruleset/ crs-setup.conf.example rules/

/usr/share/modsecurity-crs/에는 추가 파일만 있음.

 

---

 

🛡️ 4단계: Apache에 CRS Include 설정 확인

 

security2.conf 파일에 정확한 Include 경로가 들어갔는지 다시 확인한다.

sudo nano /etc/apache2/mods-enabled/security2.conf

 

 

맨 아래에 다음 두 줄이 있어야 한다 (경로는 CRS v4 기준):

IncludeOptional /usr/share/modsecurity-crs/coreruleset/crs-setup.conf

IncludeOptional /usr/share/modsecurity-crs/coreruleset/rules/*.conf

 

 

다음부분을 주석 처리한다.

# IncludeOptional /usr/share/modsecurity-crs/*.load

 

저장 후 종료.

---

 

🛡️ 5단계: Apache 설정 구문 검사

 

오타나 잘못된 설정이 있으면 여기서 잡아낸다.

sudo apachectl configtest

 

정상이라면:

Syntax OK

 

---

 

🛡️ 6단계: Apache 재시작

 

규칙 적용을 위해 웹 서버를 재시작한다

sudo systemctl restart apache2

 

---

 

🧪 7단계: 기본 테스트

 

아래 URL을 호출해보면 ModSecurity가 차단하는지 확인할 수 있다.

http://your-server/?test=../etc/passwd

 

→ 정상이라면 403 Forbidden 또는 ModSecurity 차단 페이지가 뜬다.

 

---

 

📜 8단계: 로그 확인 (가장 중요)

 

 

ModSecurity는 모든 차단 기록을 /var/log/apache2/modsec_audit.log 에 기록한다.

 

로그가 기록되는지 확인

sudo tail -f /var/log/apache2/modsec_audit.log

 

→ 위에서 테스트한 공격 패턴이 로그에 기록되면 ModSecurity + CRS 적용 완료.

 

 

---

 

커스텀 룰 작성하기

 

✅ 1단계: Audit 로그가 활성화되어 있어야 함

sudo nano /etc/modsecurity/modsecurity.conf

#다음과 같이 수정
SecAuditEngine On
SecAuditLog /var/log/apache2/modsec_audit.log
SecAuditLogParts ABIJDEFHZ

sudo systemctl restart apache2

 

---

 

✅ 2단계: 커스텀 룰 파일 생성

sudo nano /etc/modsecurity/custom_rules.conf

 

---

 

🎯 3단계: “탐지되면 무조건 audit log에 남는” 룰 작성

예를 들어 URL 파라미터에 attack_test 라는 값이 오면 반드시 modsec_audit.log에 기록되도록 할 수 있다.

✔ 예시 룰

 

SecRule ARGS "attack_test" \ "id:100001, \ phase:2, \ t:none, \ log, \ auditlog, \ msg:'Custom test rule triggered', \ severity:2"

 

옵션설명

 

auditlog	→ 항상 modsec_audit.log에 기록됨 (핵심!)
log	→ error.log에도 기록됨
id:100001	룰 ID (겹치지 않도록 100k대 추천)
phase:2	요청 본문/파라미터 검사 phase
msg	로그에 표시될 메시지

 

---

 

🔗 4단계: Apache에 룰 포함시키기

sudo nano /etc/apache2/mods-enabled/security2.conf

다음과 같은 룰이 있는지 확인한다.

 

---

 

🔄 5단계: Apache 재시작

sudo systemctl restart apache2

 

---

 

🧪 6단계: 테스트

 

 

attack_test를 넣어서 공격

http://your-ip/?test=attack_test

 

그 다음 audit 로그 확인

sudo tail -f /var/log/apache2/modsec_audit.log

 

여기서 아래와 비슷한 로그가 보여야 한다.

Message: Custom test rule triggered RuleId: 100001

 

---

🎉 결과

 

이제 ModSecurity는 특정 패턴을 탐지하면 audit log에 반드시 기록하도록 작동하게 됨.