Antiguamente, ModSecurity permitía establecer políticas de whitelist de forma muy sencilla con la directiva REMOTE_ADDR: SecRule REMOTE_ADDR «^127.0.0.1$» nolog,allow En las versiones actuales de ModSecurity, si establecemos esta regla y ejecutamos un configtest de Apache (o reiniciamos el servicio si somos valientes…) recibiremos el siguiente error de configuración: Syntax error on line 30 of /etc/httpd/conf.d/mod_security.conf: Seguir leyendo
seguridad apache
Deshabilitar mod_security por virtualhost, location, reglas, IP…
ModSecurity es un excelente módulo de Apache que actua a modo de firewall de aplicaciones Web y que provee protección contra ataques, permite monitorizar el tráfico HTTP y realizar análisis en tiempo real. Hace ya 7 años que publiqué una guía de instalación que en principio todavía es válida así que podéis echarle un vistazo. Seguir leyendo
Apache: permitir acceso a un directorio con autenticación para una IP / CIDR
En su día, en el artículo de trucos sobre .htaccess vimos como configurar la autenticación (solicitando usuario y password) para un directorio dentro de un website (o para el website completo). En este caso lo que vamos a hacer es proteger un directorio pero excluir una IP o rango CIDR para que pueda acceder al Seguir leyendo
Cambiar el AP_DOC_ROOT en suEXEC instalado por RPM
suEXEC por seguridad trae los siguientes parámetros compilados y sin posibilidad de ser modificados: # suexec -V -D AP_DOC_ROOT=»/var/www» -D AP_GID_MIN=100 -D AP_HTTPD_USER=»apache» -D AP_LOG_EXEC=»/var/log/httpd/suexec.log» -D AP_SAFE_PATH=»/usr/local/bin:/usr/bin:/bin» -D AP_UID_MIN=500 -D AP_USERDIR_SUFFIX=»public_html» Si lo hemos instalado compilando a través de las sources, no hay problema, se recompila y ya está. Pero si lo hemos instalado por Seguir leyendo
Instalación y configuración de Mod_Security
ModSecurity es un firewall de aplicaciones Web embebible que ejecuta como módulo del servidor web Apache, provee protección contra diversos ataques hacia aplicaciones Web y permite monitorear tráfico HTTP, así como realizar análisis en tiempo real sin necesidad de hacer cambios a la infraestructura existente (Definición Wikipedia). Compilación: Bajamos la última versión estable y compilamos: Seguir leyendo