为什么选择ModSecurity？

ModSecurity是Apache/Nginx的模块化Web应用防火墙，具有以下独特优势：

• 开源免费：相比商业WAF节省大量成本
• 跨平台支持：兼容主流Web服务器和Linux发行版
• 灵活规则系统：支持OWASP CRS等标准规则集
• 实时防护：可拦截90%以上常见Web攻击

环境准备与依赖安装

在开始安装前，请确保：

1. 云服务器已安装LAMP/LEMP环境
2. root或sudo权限
3. 至少1GB可用内存

# 通用依赖安装
sudo apt-get install -y build-essential libxml2-dev libcurl4-openssl-dev \
liblua5.3-dev libyajl-dev ssdeep libpcre3-dev

主流Linux发行版安装指南

Ubuntu/Debian系统

sudo apt-get install -y libapache2-mod-security2
sudo a2enmod security2
sudo systemctl restart apache2

CentOS/RHEL系统

sudo yum install -y mod_security
sudo systemctl restart httpd

Nginx特别配置

Nginx需要编译安装ModSecurity模块：

git clone --depth 1 https://github.com/SpiderLabs/ModSecurity
cd ModSecurity && ./build.sh
./configure && make && make install

核心配置文件详解

主要配置文件位于/etc/modsecurity/modsecurity.conf，关键参数：

参数	说明	推荐值
SecRuleEngine	规则引擎模式	On（生产环境）
SecRequestBodyLimit	请求体大小限制	128MB
SecDebugLogLevel	调试日志级别	0（生产环境）

规则集管理与自定义规则

OWASP CRS是官方推荐的规则集：

git clone https://github.com/coreruleset/coreruleset /etc/modsecurity/crs/
cp /etc/modsecurity/crs/crs-setup.conf.example /etc/modsecurity/crs-setup.conf

自定义规则示例

# 阻止特定User-Agent
SecRule REQUEST_HEADERS:User-Agent "badbot" "deny,status:403"

性能优化5大技巧

1. 启用规则预处理：减少重复规则匹配
2. 调整SecAuditLogParts：只记录必要字段
3. 使用PCRE JIT：加速正则匹配
4. 定期清理审计日志：防止磁盘占满
5. 禁用非必要规则：通过规则ID精准控制

常见问题解决方案

问题1：误拦截合法请求

解决方案：检查modsec_audit.log，添加白名单规则：

SecRuleUpdateTargetById 941100 "!ARGS:param_name"

问题2：性能下降明显

解决方案：

• 降低SecRuleEngine为DetectionOnly模式测试
• 使用SecAction "phase:1,nolog,pass,ctl:ruleEngine=On"动态开启