私はサーバーのクリーンインストールをしていますが、実際に必要Apachemod_securityモジュール。
私は自分のサーバーに関してはセキュリティに少し偏執的だと思っています。しかし、mod_security の新しい構成をインストールしてデバッグするという面倒な作業を行う価値はあるのでしょうか?
答え1
クライアントとサーバー間のやりとりを細かく制御したい場合は、mod_security が最適です。これは、「Web アプリケーション ファイアウォール」(WAF) を実装する場合に最適なオープン ソース ソリューションです。
適切な設定と特定のアプリケーションに適したルールの記述に時間を費やしたくない場合は、メリットはさらに限定されます。
ネットワーク ベースやホスト ベースの IDS などの他のセキュリティ ソリューションと同様に、WAF も普及しつつあります。WAF は業界の標準になる可能性を秘めているようです。ただし、IDS と同様に、mod_security の良し悪しは、それを担当する人がどれだけやる気があるかによって決まります。
自分で開発していないアプリケーションがあり、特に懸念がある場合は、アプリケーションを変更することなく、mod_security を使用して潜在的なリスクを制限できます。