ModSecurity ajoute une couche de filtrage applicatif devant vos sites web. Il ne remplace ni les mises à jour, ni une configuration Apache propre, ni un pare-feu réseau. En revanche, il peut bloquer ou journaliser des requêtes clairement suspectes avant qu’elles n’atteignent WordPress, PHP, un CMS ancien ou une application maison.
L’ancien tutoriel utilisait Debian Squeeze, des backports manuels et les règles Atomicorp/ASL. Cette méthode a fait son temps. Aujourd’hui, la base saine consiste à installer ModSecurity avec les paquets Debian/Ubuntu, puis à utiliser l’OWASP Core Rule Set.
ModSecurity, à quoi ça sert ?
ModSecurity est un WAF, pour Web Application Firewall. Il analyse les requêtes HTTP et peut détecter, journaliser ou bloquer des comportements suspects.
Il peut notamment aider contre :
- les injections SQL ;
- les attaques XSS ;
- les tentatives de local file inclusion ;
- les remote file inclusions ;
- les payloads malformés ;
- certaines attaques contre les formulaires ;
- les scans automatisés trop bruyants ;
- les requêtes qui ciblent des failles connues.
Le point important : ModSecurity a besoin de règles. Sans règles utiles, c’est surtout un moteur qui attend qu’on lui donne du travail. Et comme tout outil de sécurité, il peut aussi produire des faux positifs. Donc on l’installe, on observe, on ajuste, puis on bloque. Pas l’inverse.
