Mod Security es un módulo para Apache que se encarga de proporcionarle un nivel de seguridad adicional a nuestro servidor web muy potente y personalizable.

Funciona como una barrera entre la red (y/o Internet) y nuestro servidor web, donde mediante un conjunto de reglas podemos establecer una serie de acciones (bloquear, informar en un registro, ignorar, etc...) para eventos de todo tipo.

Es especialmente potente, por tres razones:

Preparación y compilación de mod_security

Antes de comenzar, tenemos que asegurarnos de estar utilizando Apache en su versión 2.x o superior, ya que mod_security2 funciona bajo estas versiones.

Instalación y configuración de modsecurity

Listo. Ya tenemos el ModSecurity eficientemente compilado para nuestra máquina. Sólo nos queda instalarlo.

Es bastante importante seguir las instrucciones anteriores para evitar mensajes de errores como "Invalid command 'SecRuleEngine', perhaps mis-spelled or defined by a module not included in the server configuration" o similares.

Arrancamos de nuevo el servidor Apache con un /etc/init.d/httpd start. Notar que en el paquete de conjunto de reglas de mod_security vienen varios: (configuración base, violaciones de protocolo, políticas HTTP, inyecciones SQL, inyecciones XSS, robots scrappers, etc...), incluir los que el administrador considere necesario, ya que hemos incluído todos los ficheros .conf que tengamos en la carpeta.

Reglas para ModSecurity

Las reglas de este programa son muy potentes y haría falta otro artículo para explicar como construirlas, pero un ejemplo muy básico sería el siguiente:

La directiva SecRule crea una regla que examina las cabeceras, más concretamente la ID del navegador (el User Agent) para comprobar si casa con larbin_2.6.3 (¡Ojo! Esto es una expresión regular). Si es así, avisamos al módulo para que informe en el registro (log) y descarte el acceso (drop).

Por último, si estás interesado en crear tu propio conjunto de reglas, añado algunos enlaces de referencia, ya que si estabas manejando la posibilidad de basarte en los conjutos de reglas por defecto, aviso que las expresiones regulares que utilizan tienen un nivel un poco sofisticado:

Enlaces de interés:

Hoy me he decidido a hacer algo que desde hace algún tiempo quería dedicarle unos minutos. Una vez leí en una web que recopilan datos y hacen estadísticas sobre servidores web que casi un 80% de los servidores no usan técnicas de compresión al vuelo en sus servidores.

Sin embargo, la idea es bien sencilla:

En la primera imágen podemos ver como suelen actuar la mayoría de los servidores. El cliente realiza una petición al servidor web, el cuál le responde enviandole la página web. Pongamos como ejemplo que la página ocupa 50 Kb.

Muchos webmasters se preocupan por el gasto de ancho de banda que puede consumir su servidor web (u otros servicios), ya que no es infinito y el gasto que se consuma en cualquier momento, limitará el ancho de banda disponible para otros navegantes.

En cambio, en la segunda imágen que vemos, lo que ocurre es que, al hacer la petición el cliente, el servidor web se encarga de comprimir esos datos antes de enviarlos, encargandose el navegador del cliente de descomprimirlos antes de mostrarlos. En algunos casos, este sistema puede ahorrar... ¡¡hasta un 70% de ancho de banda!!

Técnicamente, recordar que el Apache 1.3 usa el módulo mod_gzip para la compresión de datos, pero el Apache 2.0 realiza la compresión a través de otro módulo, el mod_deflate.

A todos los que tengáis servidor propio, os recomiendo echarle un vistazo a este sistema, en algunos casos puede sugerir un ahorro de ancho de banda realmente considerable:

• URL: Emezeta.COM
• Antes: 27.215 (27Kb) Despues: 8.833 (8Kb) (Reducción al: 32%)
• URL: Estadísticas Febrero 2005
• Antes: 136.454 (136Kb) Despues: 4.534 (4Kb) (Reducción al: 3%)
• URL: Diccionario canario
• Antes: 1.202 (1Kb) Despues: 417 (0'4Kb) (Reducción al: 34%)

Para obtener estos datos solo tenemos que modificar la forma en que Apache crea nuestros logs con la ayuda del módulo mod_log_config. Eso sí, habrá que tener en cuenta los posibles efectos secundarios, que aunque datan de hace bastante tiempo, nunca está de más saberlo.