こんにちは！AI/BI部のK.です。

インターネット上の脅威が日々進化する中、Webサーバーのセキュリティを確保することは、もはや選択肢ではなく必須の要件となっています。特にNginxを使用するUbuntuサーバーの場合、効果的なセキュリティ対策が重要です。本記事では、ModSecurityとCrowdsecという2つの強力なセキュリティツールを使用して、Nginxサーバーの防御力を高める具体的な手順を解説します。これらのツールを適切に設定することで、一般的なWeb攻撃からサーバーを保護し、システムの安全性を大幅に向上させることができます。

＊この記事では、概念については詳しく説明せず、簡単に説明します。この記事では、サーバーの安全性を高めるためのセットアップと構築の手順に焦点を当てます。

nginxとは

nginx（エンジンエックス・engine-Xという読み方）は、高速なWebサーバーソフトウェアです。多くのWebサイトで利用されており、リバースプロキシ機能や負荷分散機能を持っているため、効率的にリソースを管理できます。

WAF（Web Application Firewall）とは

WAF（ワフ：Webアプリケーションファイアウォール）は、Webアプリケーションの脆弱性を悪用した「個人情報の窃取」や「Webサイト改ざん」などの攻撃からWebサイトを保護するツールです。

ModSecurityとは

ModSecurityは、Apache ServerやNginx、Microsoft IISのモジュールで、Webサーバーのモジュールとしてインストールするホスト型WAFです。ApacheやNginx、IISを運用しているエンジニアにとっては、インストールの手順も難しくありません。

CrowdSecとは

CrowdSecは、IP動作解析とIPレピュテーションの両方に依存する無料のオープンソースの大規模マルチプレイヤー・ファイアウォールです。CrowdSecは訪問者の行動を分析し、あらゆる種類の攻撃に対して適応した対応を提供します。このソリューションを使用すると、ユーザー同士で相互に保護することができます。インターネット・プロトコル (IP) がブロックされるたびにコミュニティメンバーに通知が送信されるため、各自でIPをブロックすることができます。このソリューションは、6大陸100か国以上の顧客に使用されています。

現状（前提/背景）

• – パブリックIPを持って、ポートを開いて、ウェブサービスなどを公開している
• – nginxを使って、すでにHTTPS、ドメイン証明書設定してあり
• – 対象OS：Ubuntu 22.0.5 LTS(Jammy)

Ubuntuに必要なdependenciesをインストール:

sudo apt update && sudo apt upgrade
sudo apt install gcc make build-essential autoconf automake libtool \
libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config \
libgeoip-dev libyajl-dev doxygen libpcre++-dev libpcre2-16-0 libpcre2-dev \
libpcre2-posix3 zlib1g zlib1g-dev pkgconf libxslt1-dev libgd-dev liblmdb-dev \
libpcre3-dev libssl-dev libxml2-dev -y

現在インストールされているnginxバージョン:

nginx -V
nginx version: nginx/1.27.1
                    ^^^^^^^^

cd /usr/local/src
git clone --recursive https://github.com/owasp-modsecurity/ModSecurity ModSecurity
git clone https://github.com/SpiderLabs/ModSecurity-nginx
wget http://nginx.org/download/nginx-1.27.1.tar.gz
#                                    ^^^^^^
#                                    バージョンを変えてください

cd ModSecurity
chmod a+x ./build.sh
./build.sh
./configure
make
sudo make install

tar -xvzf nginx-1.27.1.tar.gz
cd nginx-1.27.1
./configure \
--with-compat \
--with-openssl=/usr/include/openssl/ \
--add-dynamic-module=/usr/local/src/ModSecurity-nginx
make modules

cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/
sudo cp /opt/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsecurity.conf
sudo cp /opt/ModSecurity/unicode.mapping /etc/nginx/unicode.mapping

sudo touch /etc/nginx/modules-enabled/50-mod-http-modsecurity.conf
sudo nano /etc/nginx/modules-enabled/50-mod-http-modsecurity.conf
# 以下のラインを貼り付け
load_module /usr/share/nginx/modules/ngx_http_modsecurity_module.so;
# 保存する(ESC:wq)

sudo vi /etc/nginx/nginx.conf

modsecurity on;
modsecurity_rules_file /etc/nginx/modsecurity.conf;

git clone https://github.com/coreruleset/coreruleset.git /etc/nginx/owasp-crs
sudo cp /etc/nginx/owasp-crs/crs-setup.conf{.example,}
sudo vi /etc/nginx/modsecurity.conf

Include owasp-crs/crs-setup.conf
Include owasp-crs/rules/*.conf

# これを検索
SecRuleEngine DetectionOnly
# 以下のように編集する
SecRuleEngine On

# これを検索
SecAuditLogParts ABIJDEFHZ
# 以下のように編集する
SecAuditLogParts ABCEFHJKZ

# これを検索
SecResponseBodyAccess Off
# 以下のように編集する
SecResponseBodyAccess On

sudo systemctl restart nginx

curl 'http://www.example.com/?q="><script>alert(1)</script>'

curl "http://www.example.com/?q='1 OR 1=1"

sudo apt update
sudo apt install -y curl gnupg apt-transport-https

mkdir -p /etc/apt/keyrings/
curl -fsSL https://packagecloud.io/crowdsec/crowdsec/gpgkey | gpg --dearmor > /etc/apt/keyrings/crowdsec_crowdsec-archive-keyring.gpg
sudo vi /etc/apt/sources.list.d/crowdsec_crowdsec.list

deb [signed-by=/etc/apt/keyrings/crowdsec_crowdsec-archive-keyring.gpg] https://packagecloud.io/crowdsec/crowdsec/any any main
deb-src [signed-by=/etc/apt/keyrings/crowdsec_crowdsec-archive-keyring.gpg] https://packagecloud.io/crowdsec/crowdsec/any any main

sudo apt update && sudo apt install -y crowdsec

sudo apt install crowdsec-firewall-bouncer-iptables

sudo apt install nginx lua5.1 libnginx-mod-http-lua luarocks gettext-base lua-cjson
sudo apt install crowdsec-nginx-bouncer

cscli decisions add --ip xxx.xxx.xxx.xxx

cscli decisions delete --ip xxx.xxx.xxx.xxx