لاگ Guardian در ModSecurity

تعاریف مقاله

ModSecurity®:
یک ماژول امنیتی برای وب‌سرور Apache که درخواست‌های HTTP رو مانیتور و فیلتر می‌کنه تا جلوی حملات وب (SQL Injection، XSS، DoS و غیره) گرفته بشه.

Guardian Log / SecGuardianLog:
دستور پیکربندی در ModSecurity که به کمک httpd-guardian می‌تونه درخواست‌های وب رو بررسی و رفتار IPها رو مانیتور کنه.

httpd-guardian script:
یک اسکریپت مانیتورینگ که به کمک مکانیزم piped log تعداد و سرعت درخواست‌های هر IP رو محاسبه می‌کنه (در بازه‌های یک دقیقه و پنج دقیقه) و در صورت رسیدن به آستانه (threshold)، هشدار می‌ده یا اون IP رو بلاک می‌کنه.

DoS Attack (Denial of Service):
نوعی حمله که در اون مهاجم با ارسال تعداد زیادی درخواست به سرور باعث از کار افتادن یا کندی خدمات میشه.

Spread Toolkit:
یک ابزار متن‌باز برای ارتباطات توزیع‌شده و مدیریت پیام‌ها. httpd-guardian همراه نسخه‌ای از این ابزار عرضه میشه، اما برای عملکردش اجباری نیست.

CVS (Concurrent Versioning System):
یک سیستم کنترل نسخه قدیمی برای دانلود و مدیریت سورس‌کد از مخازن.

COPY_LOG variable:
متغیری در اسکریپت httpd-guardian که اگر مقداردهی بشه، داده‌های دریافتی از Apache رو داخل فایل لاگ مشخص‌شده ذخیره می‌کنه

مرور کلی

این مقاله نحوه نصب و پیکربندی اسکریپت httpd-guardian در Apache رو توضیح می‌ده. این اسکریپت به شما اجازه می‌ده از دستور SecGuardianLog در ModSecurity استفاده کنید.

اسکریپت httpd-guardian درخواست‌های وب‌سرور رو از طریق مکانیزم piped log مانیتور می‌کنه تا حملات DoS رو شناسایی کنه. این اسکریپت تعداد درخواست‌هایی که یک آدرس IP ارسال می‌کنه رو می‌شماره و سرعت ارسال رو در بازه‌های یک دقیقه‌ای و پنج دقیقه‌ای محاسبه می‌کنه.

وقتی تعداد درخواست‌ها به یک آستانه مشخص (threshold) برسه، اسکریپت یا هشدار صادر می‌کنه یا IP رو مسدود می‌کنه.
پیغام‌های خطا از اسکریپت httpd-guardian در مسیر زیر ذخیره می‌شن:

/var/log/apache2/error_log

بعد از دانلود و پیکربندی اسکریپت، می‌تونید مسیر اون رو در بخش Guardian Log در رابط WHM داخل قسمت ModSecurity® Configuration وارد کنید:

WHM » Home » Security Center » ModSecurity® Configuration

نکته:
اسکریپت httpd-guardian همراه نسخه‌ای از Spread toolkit (یک ابزار متن‌باز) عرضه میشه که می‌تونید اون رو پیکربندی کنید. اما استفاده از این ابزار برای عملکرد اسکریپت اجباری نیست.

نصب و پیکربندی اسکریپت httpd-guardian

برای نصب و پیکربندی مراحل زیر رو انجام بدید:

• دانلود مخزن apache-tools از سایت SourceForge:
• دستور زیر رو به‌عنوان کاربر root اجرا کنید:

 cvs -z3 -d:pserver:anonymous@a.cvs.sourceforge.net:/cvsroot/apache-tools co -P apache-tools 

اگر سیستم شما ابزار CVS رو نداره، می‌تونید با دستور زیر نصبش کنید: yum install cvs

• ویرایش فایل http-guardian:
• فایل /root/apache-tools/http-guardian رو با یک ویرایشگر متن باز کنید و تغییرات دلخواه رو اعمال کنید.

برای مثال، اگر می‌خواید سیستم داده‌های دریافتی از Apache رو ذخیره کنه، متغیر COPY_LOG رو مقداردهی کنید. مثل:

# $COPY_LOG = "/var/lib/http-guardian.log"; my $COPY_LOG;

(کافیست مقدار $COPY_LOG رو برابر مسیر فایل لاگ قرار بدید).

• وارد WHM بشید:

به‌عنوان کاربر root وارد WHM بشید و به مسیر زیر برید:

WHM » Home » Security Center » ModSecurity® Configuration

• ثبت مسیر اسکریپت در WHM:
• مسیر اسکریپت httpd-guardian رو در قسمت Guardian Log وارد کنید. مثل: /root/apache-tools/httpd-guardian

• ذخیره تغییرات و ری‌استارت Apache:
• بعد از ذخیره تغییرات در WHM، آپاچی رو ری‌استارت کنید و بررسی کنید که اسکریپت اجرا شده باشه. برای اینکار دستور زیر رو اجرا کنید:

ps faux | grep httpd-guardian | grep -v grep خروجی نمونه: root 24722 0.0 0.3 28872 3272 ? S 19:31 0:00 \_ /usr/bin/perl -w /root/apache-tools/httpd-guardian

✅ خلاصه:
httpd-guardian ابزاریه که با ModSecurity کار می‌کنه و حملات DoS رو با محاسبه سرعت درخواست‌های IP تشخیص می‌ده. می‌تونه IP رو بلاک یا هشدار بده. برای استفاده باید از SourceForge دانلود، ویرایش و در WHM معرفی بشه.

کیان پور