如何使用模块控制对web应用程序的恶意调用？

Question

有很多商业软件(Akamai、Cloudflare等)来控制恶意调用/攻击(XSS、注入、DDOS等)。不过，我们可以在Nginx中使用ModSecurity吗？如何在Lua中编写自定义规则以避免我的web应用程序的主要漏洞。我能得到一些这方面的指导吗？是否有任何开源模板可供遵循？

Answer 1

ModSecurity核心规则在这里设置开发人员的职责。首先，ModSecurity规则是用"SecLang“编写的，这是一种特定于领域的语言，用于表示ModSecurity规则和逻辑。也可以编写Lua脚本来提供非常定制的行为，但在实践中很少需要这样做。

如果您想从一组很好的ModSecurity WAF规则开始，以保护web应用程序，请看一下核心规则集(CRS)，它可以在coreruleset.org上找到。CRS是一组事实上的免费和开源的WAF/ModSecurity规则，由一些非常大的WAF供应商和服务提供商使用。

有很多很好的资源可以帮助您开始使用Nginx + ModSecurity。我会在这里查几个：

• 预先制作的Nginx + ModSecurity的Docker图像，以及Apache + ModSecurity (https://github.com/coreruleset/modsecurity-docker)
• 预先制作的Docker图像: Nginx + ModSecurity +核心规则集，这是事实上的免费和开放源代码的WAF规则集(https://github.com/coreruleset/modsecurity-crs-docker)。
• 克里斯蒂安·福里尼的教程系列将在网际网上建立你自己的Nginx + ModSecurity从头开始安装(https://www.netnea.com/cms/nginx-modsecurity-tutorials/)
• ModSecurity (v3)参考手册(https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual-%28v3.x%29)
• 来自活跃鸭子的ModSecurity手册，如果你要在现实世界中使用ModSecurity (https://www.feistyduck.com/books/modsecurity-handbook/)的话，它值每一分钱。
• 官方核心规则集文档，用于特定于CRS的信息(https://coreruleset.org/docs/)