ModSecurity nedir?
ModSecurity, Apache, Nginx ve IIS gibi web sunucularına modül olarak eklenen, açık kaynaklı bir web uygulaması güvenlik duvarı (WAF) motorudur. Gelen HTTP isteklerini kurallarla karşılaştırarak SQL enjeksiyonu, XSS gibi saldırıları engeller ve ayrıntılı kayıt tutar.
ModSecurity yalnızca bir motordur; ne yapacağını kural setleri belirler. En yaygın kullanılan kural koleksiyonu OWASP Core Rule Set (CRS) adıyla bilinir ve genel web saldırılarına karşı geniş bir koruma sunar.
Nasıl çalışır?
İstek sunucuya ulaştığında ModSecurity istek başlıklarını ve gövdesini inceler, aşamalar halinde kuralları değerlendirir. Kural eşleşirse istek engellenebilir, kaydedilebilir ya da yalnızca puanlanabilir. CRS’te anomali puanlama yöntemi kullanılır: her şüpheli işaret puan ekler ve toplam eşik değeri aşarsa istek reddedilir.
Motorun iki temel çalışma modu vardır: yalnızca algılama (kayıt tutar, engellemez) ve engelleme. Yeni kurulumda önce algılama modunda başlayıp günlükleri incelemek önerilir.
Sunucu ve hosting ortamında
cPanel/WHM, Plesk ve DirectAdmin gibi kontrol panellerinde ModSecurity genellikle birkaç adımda etkinleştirilir; panele göre kural seti yönetimi sunulur. Günlükler çoğunlukla web sunucusunun hata kayıtlarında ya da ayrı bir denetim günlüğünde (audit log) tutulur.
Kural eşleşmeleri meşru işlemleri de etkileyebilir; örneğin bir form gönderimi ya da yönetim paneli isteği yanlışlıkla engellenebilir. Bu durumda tüm koruma kapatılmaz; yalnızca ilgili kural belirli yol veya parametre için istisna edilir.
Nasıl korunulur?
- Kural setini (örneğin OWASP CRS) güncel tutun
- Önce algılama modunda çalıştırıp günlükleri inceleyin, sonra engellemeye geçin
- Yanlış pozitifler için kuralın tamamını kapatmak yerine dar istisnalar tanımlayın
- Denetim günlüklerini düzenli gözden geçirin ve diğer izleme araçlarıyla ilişkilendirin
- Anomali eşiğini sitenizin ihtiyacına göre kademeli sıkılaştırın
- ModSecurity’yi yama yönetiminin yerine koymayın, onu tamamlayıcı katman olarak kullanın
Sık yapılan hatalar
- Yanlış pozitif görünce motoru tamamen kapatmak
- Kuralları hiç güncellememek
- İstek gövdesi denetimini kapatıp önemli saldırıları kaçırmak
- Denetim günlüklerini hiç okumamak veya disk dolmasına izin vermek
Sık sorulan sorular
ModSecurity nedir ve ne işe yarar?
Web sunucusuna eklenen açık kaynaklı bir WAF motorudur. Gelen istekleri kurallara göre inceleyerek uygulama katmanı saldırılarını engeller ve kayıt tutar.
ModSecurity ile OWASP CRS arasındaki fark nedir?
ModSecurity kuralları çalıştıran motordur. CRS ise bu motora yüklenen hazır ve topluluk tarafından bakımı yapılan kural koleksiyonudur.
ModSecurity siteyi yavaşlatır mı?
Her isteği incelediği için küçük bir ek yük getirir. Doğru ayarlanmış bir kurulumda bu etki çoğu site için ihmal edilebilir düzeydedir; çok sayıda kural ya da ayrıntılı gövde denetimi etkiyi artırabilir.
Bu terimin geçtiği rehberler
İlgili terimler
- Olay müdahale (incident response)Bir güvenlik ihlalini tespit etme, sınırlama, ortadan kaldırma ve ondan öğrenme sürecini yöneten planlı yaklaşım.
- Saldırı yüzeyiBir sistemin saldırganın erişebileceği tüm noktalarının toplamı.
- Sandbox (kum havuzu)Bir programı sistemin geri kalanından yalıtılmış ortamda çalıştırma yöntemi.
- Sertleştirme (hardening)Bir sistemin gereksiz özelliklerini kapatıp güvenli yapılandırmaya getirilmesi.
- SIEMGünlükleri tek yerde toplayıp ilişkilendiren ve uyarı üreten güvenlik izleme sistemi.
- Sızma testi (penetration test)Yetkili uzmanların bir sistemi saldırgan gibi test ederek açıkları bulması.