# Uża ModSecurity u l-OWASP Core Rule Set > Uża ModSecurity u OWASP CRS: agħżel l-engine t-tajba, fehem l-limiti tal-anomaliji u l-livelli ta' paranoja u ikkontrolla l-allarmi foloz b'mod immirat. Sors: https://phpsos.de/mt/blog/modsecurity-owasp-crs/ Stat: 25/10/2026 Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6 **Fil-qosor:** ModSecurity huwa Web Application Firewall li taħdem fis-server tal-web; l-OWASP Core Rule Set (CRS) jagħti magħha regoli disponibbli liberament kontra tipi komuni ta' attakk. Għal Apache l-proġett CRS jirrakkomanda ModSecurity v2, għal Nginx jiġu kkunsidrati l-konnettur v3 jew Coraza. Ibda fil-modalità ta' imblukkar b'limiti għoljin ħafna tal-anomaliji, ċekknuhom gradwalment u ittratta allarmi foloz b'eċċezzjonijiet immirati. Aġġornament ta' PHP ma jissostitwixxix dan. ## WAF proprja bħala saff addizzjonali Minn PHP2Shell ħafna kumpaniji jistaqsu jekk għandhomx bżonn Web Application Firewall. Min iwassal il-websajts tiegħu permezz ta' Cloudflare, skont Cloudflare, mill-21 ta' Ottubru 2026 għandu regoli ta' protezzjoni attivi awtomatikament. Min ma jagħmilx hekk jew ma jridx jgħaddi t-traffiku permezz ta' terza persuna jista' joperaha WAF direttament fuq is-server tiegħu. L-aktar kombinazzjoni magħrufa għal dan hija ModSecurity mal-OWASP Core Rule Set. It-tnejn huma open source u bla ħlas. Is-CRS huwa ġabra ta' regoli ġenerali ta' identifikazzjoni, pereżempju kontra SQL injection, Cross-Site Scripting jew l-introduzzjoni ta' fajls. Il-proġett jiddeskrivi l-għan tiegħu stess bħala identifikazzjoni ġenerali ta' attakki b'kemm jista' jkun ftit allarmi foloz, bħala blokk wieħed fost bosta. B'hekk hija msemmija wkoll il-limitu. WAF tivverifika talbiet u tweġibiet, ma tirranġax vulnerabbiltà fl-interpretatur ta' PHP. Għaliex għandek bżonn it-tnejn tiddeskrivih [WAF jew aġġornament: għaliex għandek bżonn it-tnejn](https://phpsos.de/mt/blog/waf-oder-update/). ## Liema engine taqbel mas-server tal-web tiegħek Ir-regolament jeħtieġ engine li jesegwih. Skont id-dokumentazzjoni tas-CRS hemm tliet għażliet kompatibbli: | Engine | Server tal-web | Klassifikazzjoni skont il-proġett CRS | |---|---|---| | ModSecurity v2 | Apache (modulu) | implimentazzjoni ta' referenza, rakkomandat għal Apache | | ModSecurity v3 (libModSecurity) | l-aktar Nginx permezz ta' konnettur | biss il-konnettur ta' Nginx huwa verament użabbli fil-produzzjoni; ma jgħaddix 2 sa 4 fil-mija tat-testijiet CRS | | Coraza | proxies u integrazzjonijiet bbażati fuq Go | tgħaddi kompletament is-suite tat-testijiet CRS v4 | Għall-isfond: ModSecurity ilu żmien twil jiġi żviluppat minn Trustwave. Trustwave ħabbar fl-2021 li se jtemm l-iżvilupp fl-2024. Fil-25 ta' Jannar 2024 il-proġett għadda lill-OWASP Foundation. Għal installazzjonijiet ġodda ivverifika liema verżjoni twassal id-distribuzzjoni tiegħek u kemm hi aġġornata. ## Kif jaħdem il-Core Rule Set Is-CRS fl-issettjar standard ma jibblokkax mal-ewwel anomalija suspettuża. Jaħdem b'punti ta' anomalija: kull regola attivata żżid punti skont is-severità tagħha, u biss meta s-somma taqbeż limitu t-talba tiġi rrifjutata. 1. Livelli ta' severità: kritiku 5 punti, żball 4, twissija 3, avviż 2. 2. Limitu għal talbiet: `tx.inbound_anomaly_score_threshold`, standard 5. 3. Limitu għal tweġibiet: `tx.outbound_anomaly_score_threshold`, standard 4. 4. Livell ta' paranoja 1 sa 4 fil-`crs-setup.conf`: Livell 1 huwa l-protezzjoni bażika għal kull server fuq l-internet, Livell 2 skont il-proġett jaqbel ma' applikazzjonijiet b'data veru tal-utenti bħal ħwienet online, Livell 3 u 4 iġibu ħafna aktar allarmi foloz. Livell ogħla ta' paranoja jagħraf aktar, imma jipproduċi wkoll aktar allarmi foloz. Għall-biċċa l-kbira tal-websajts tal-kumpaniji Livell 1 huwa l-bidu, Livell 2 mira aktar tard. ## Introduċi ModSecurity b'OWASP CRS mingħajr ma twaqqaf il-websajt Il-proġett CRS jirrakkomanda għal installazzjonijiet ġodda li l-modalità ta' imblukkar tixgħel minn dejjem, imma b'limiti għoljin ħafna, sa 10000, u mbagħad jitbaxxew gradwalment. Hekk tiġbor esperjenza b'aċċessi veri, mingħajr ma teskludi utenti. Il-limiti tissettjahom fil-`crs-setup.conf`: ```apache # crs-setup.conf: fażi tal-bidu b'limiti għoljin ħafna SecAction \ "id:900110,\ phase:1,\ pass,\ t:none,\ nolog,\ setvar:tx.inbound_anomaly_score_threshold=10000,\ setvar:tx.outbound_anomaly_score_threshold=10000" ``` L-inklużjoni taħt Apache ssegwi l-ordni li d-dokumentazzjoni tas-CRS tippreskrivi għall-plugins. Mogħdijiet jvarjaw skont id-distribuzzjoni: ```apache SecRuleEngine On Include /etc/modsecurity/crs/crs-setup.conf Include /etc/modsecurity/crs/plugins/*-config.conf Include /etc/modsecurity/crs/plugins/*-before.conf Include /etc/modsecurity/crs/rules/*.conf Include /etc/modsecurity/crs/plugins/*-after.conf ``` Wara tevalwa l-audit log, li huwa ffissat f'`SecAuditLog`. Kif tfittex sistematikament fil-protokolli tiddeskrivih [Evalwa l-logs tas-server tal-web wara attakk](https://phpsos.de/mt/ratgeber/logfiles-auswerten/). Baxxi l-limiti f'stadji, pereżempju fuq diversi ġimgħat, sakemm tilħaq il-valur standard. ## Ittratta allarmi foloz b'mod immirat L-allarmi foloz huma normali, speċjalment f'backends tas-CMS b'editors li jaħżnu HTML. L-agħar reazzjoni hija li titfi l-WAF. Aħjar huma żewġ għodod. L-ewwel, plugins: Il-proġett CRS iżomm plugins b'regoli ta' eċċezzjoni għal applikazzjonijiet komuni, pereżempju għal WordPress. Jiġu kkupjati fil-folder tal-plugins u mgħabbija permezz tal-linji Include murija hawn fuq. Il-lista uffiċjali iżommha l-proġett fid-direttorju tal-plugins tiegħu. It-tieni, eċċezzjonijiet proprji u dojoq. Minflok ma titfi regola kullimkien, tneħħiha biss għall-mogħdija fejn tfixkel: ```apache # Eċċezzjoni proprja, tgħabbiha QABEL ir-regoli CRS (pereżempju f'*-before.conf) SecRule REQUEST_URI "@beginsWith /admin/editor/speichern" \ "id:1000010,\ phase:1,\ pass,\ nolog,\ ctl:ruleRemoveById=941100" ``` L-ID tar-regola tiehdu mill-audit log tal-allarm falz. Iddokumenta kull eċċezzjoni b'raġuni u data, biex aktar tard tkun tista' tiġi vverifikata. > **Suġġeriment:** > Wara kull bidla fil-limiti jew fl-eċċezzjonijiet ittestja t-toroq kritiċi tal-applikazzjoni tiegħek: login, ordni, pagament, formola ta' kuntatt u redazzjoni. WAF li tibblokka ordnijiet tintefa malajr. Għal servers Apache jixraq li l-WAF tinħadem flimkien mal-bqija tal-konfigurazzjoni; il-bażijiet jinsabu taħt [Ikkonfigura Apache għal PHP b'mod sigur](https://phpsos.de/mt/blog/apache-fuer-php-absichern/). Kif regoli ta' Cloudflare għandhom jiġu kklassifikati b'paragun juri [Regoli ta' protezzjoni ta' Cloudflare kontra PHP2Shell](https://phpsos.de/mt/blog/cloudflare-waf-php2shell/). Il-miżuri tranżitorji fuq is-server innifsu jinsabu taħt [Miżuri immedjati meta ma tistax tippatchja għadek](https://phpsos.de/mt/php2shell/sofortmassnahmen-ohne-patch/). ## Konklużjoni: WAF teħtieġ manutenzjoni ModSecurity mal-OWASP Core Rule Set jagħtik Web Application Firewall b'saħħitha mingħajr spejjeż ta' liċenzja u mingħajr dipendenza fuq servizz estern. Il-prezz huwa xogħol: tagħżel l-engine skont is-server tal-web, tibda b'limiti għoljin, tevalwa allarmi foloz, iżżomm eċċezzjonijiet u żżomm ir-regoli aġġornati. Min ma jistax joffri dan l-isforz spiss jaqbel aħjar ma' WAF fil-cloud ikkonfigurata tajjeb. Min joffrih jikseb saff li jaqbad ħafna attakki standard u jagħti ħjiel prezzjuż fl-audit logs. Fl-ebda każ ma jissostitwixxi l-aġġornament: kontra PHP2Shell jipproteġu biss PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 jew backport ikkonfermat, segwit mir-restart tal-proċessi kollha ta' PHP. ## Kif tgħin PHP SOS b'mod konkret? - **Nagħżlu l-engine:** nivverifikaw is-server tal-web, id-distribuzzjoni u l-pakketti eżistenti u nirrakkomandaw il-kombinazzjoni t-tajba. - **Nintroduċu:** ninstallaw CRS b'limiti għoljin fil-bidu, ngħaqqdu plugins adattati u nistabbilixxu r-reġistrazzjoni. - **Nirranġaw:** fuq diversi ġimgħat nevalwaw allarmi foloz, noħolqu eċċezzjonijiet immirati u nbaxxu l-limiti. - **Niklassifikaw:** bħala parti mill-[WAF u patching virtwali](https://phpsos.de/mt/leistungen/waf-virtuelles-patching/) inwaħħlu l-WAF mal-miżuri tranżitorji u mat-triq lejn il-patch regolari. ## Mistoqsijiet frekwenti **L-OWASP CRS jipproteġi minn PHP2Shell?** M'għandekx tassumi dan. Il-Core Rule Set jagħraf mudelli ġenerali ta' attakk u mhuwiex immirat għal vulnerabbiltà speċifika. Cloudflare jindika wkoll li ma' PHP2Shell regoli bbażati fuq id-data tat-talba waħedha mhumiex biżżejjed. L-aġġornament ta' PHP jibqa' obbligatorju. **Liema engine għandi nieħu għal Nginx?** Skont il-proġett CRS, ma' ModSecurity v3 biss il-konnettur ta' Nginx huwa verament użabbli fil-produzzjoni, u v3 ma jgħaddix parti żgħira mit-testijiet tas-CRS. Alternattiva hija Coraza, li skont il-proġett tgħaddi kompletament is-suite tat-testijiet CRS v4. Għal Apache l-proġett jirrakkomanda ModSecurity v2. **ModSecurity għadu miżmum?** Skont id-dokumentazzjoni tas-CRS, Trustwave kien ħabbar li se jtemm l-iżvilupp fl-2024. Fil-25 ta' Jannar 2024 il-proġett ingħata lill-OWASP Foundation u minn dakinhar jitkompla hemmhekk. **Kif nipprevjeni li l-WAF twaqqaf il-ħanut tiegħi?** Ibda b'limiti għoljin ħafna tal-anomaliji, kif jirrakkomanda l-proġett CRS, u ċekknuhom gradwalment. Evalwa fl-istess ħin il-protokolli u oħloq eċċezzjonijiet immirati għall-applikazzjoni tiegħek, minflok ma titfi regoli b'mod ġenerali. ## Sorsi - [OWASP CRS: dokumentazzjoni](https://coreruleset.org/) - [OWASP Top 10](https://owasp.org/www-project-top-ten/) - [Blog ta' Cloudflare](https://blog.cloudflare.com/) - [php.net: avviżi tas-sigurtà](https://www.php.net/)