mcpField
I
implementing-web-application-logging-with-modsecurity

implementing-web-application-logging-with-modsecurity

github.com/mukul975安全35.2k135 次安装8 周前更新
代码仓库

关于 implementing-web-application-logging-with-modsecurity

面向配置 Web 服务器安全控制的团队，介绍使用 ModSecurity 实施 Web 应用日志记录。内容涵盖 OWASP CRS 规则部署、审计日志、误报调优及向 SIEM 转发事件。

主要功能

  1. 01配置 ModSecurity 检测与拦截
  2. 02部署 OWASP CRS 规则
  3. 03设置相关事件审计日志
  4. 04调优误报与规则排除项
  5. 05将审计日志转发至 SIEM

适用场景

  1. 01建立 Web 应用日志记录
  2. 02使安全控制符合合规要求
  3. 03在 SIEM 中关联 WAF 事件

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill implementing-web-application-logging-with-modsecurity

安装后在 Claude Code 中输入/implementing-web-application-logging-with-modsecurity确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

使用 ModSecurity 实现 Web 应用日志记录

概述

ModSecurity 是一款开源 WAF 引擎，可与 Apache、Nginx 和 IIS 配合使用。OWASP 核心规则集（CRS）提供了通用攻击检测规则，覆盖 SQL 注入、XSS、 RCE、LFI 以及其他 OWASP Top 10 攻击。ModSecurity 会在 审计日志中记录完整的请求/响应数据，用于取证分析，并生成告警输入到 SIEM 平台。

何时使用

  • 在您的环境中部署或配置使用 ModSecurity 实现 Web 应用日志记录能力时
  • 在建立符合合规要求的安全控制措施时
  • 在为该领域构建或改进安全架构时
  • 在开展需要此实现的安全评估时

先决条件

  • 带有 ModSecurity v3 模块的 Web 服务器（Apache 2.4+ 或 Nginx）
  • 已安装 OWASP CRS v4.x
  • 日志聚合基础设施（ELK、Splunk 或 Wazuh）

步骤

  1. 安装 ModSecurity 并以 DetectionOnly 模式配置 SecRuleEngine
  2. 部署 OWASP CRS v4 并设置偏执级别（PL1-PL4）
  3. 配置 SecAuditEngine，仅记录相关日志
  4. 使用 SecRuleRemoveById 和规则排除项调整误报
  5. 在调优期结束后切换到阻断模式（SecRuleEngine On）
  6. 将审计日志转发到 SIEM 进行关联分析和告警

预期输出

ModSecurity: Warning. Pattern match "(?:union\s+select)" [file "/etc/modsecurity/crs/rules/REQUEST-942-APPLICATION-ATTACK-SQLI.conf"] [line "45"] [id "942100"] [msg "SQL Injection Attack Detected via libinjection"] [severity "CRITICAL"]

评论

支持 Markdown