Я делаю чистую установку своего сервера и ищу совета о том, стоит ли мне на самом деленуждатьсямодуль Apache mod_security.
Я считаю себя немного параноиком в вопросах безопасности, когда дело касается моих серверов, но стоит ли тратить все эти хлопоты на установку и отладку новой конфигурации mod_security?
решение1
Если вы хотите иметь тонкую манипуляцию взаимодействием между клиентом и вашим сервером, mod_security — это то, что вам нужно. Это прекрасное решение с открытым исходным кодом, если вы хотите реализовать «брандмауэр веб-приложений». (WAF)
Если вы не хотите тратить время на правильную настройку и написание правил, подходящих для ваших конкретных приложений, преимущества будут более ограниченными.
Как и другие решения безопасности, такие как сетевые и хостовые IDS, WAF становятся все более распространенными. Похоже, что у WAF есть потенциал стать стандартом в отрасли. Тем не менее, как и в случае с IDS, mod_security хорош лишь настолько, насколько готов его сделать ответственный за него человек.
Если у вас есть приложение, которое вы не разрабатывали и которое вас особенно беспокоит, вы можете ограничить потенциальный риск с помощью mod_security, не внося изменений в приложение.