Apache mod_security CRS Ayarları

Apache mod_security ve CRS'ye Giriş

Web uygulamaları günümüz siber tehditlerinin başlıca hedefleri arasında yer almaktadır. Bu tehditlere karşı güçlü bir savunma hattı oluşturmak, her web sitesi yöneticisi için temel bir önceliktir. İşte bu noktada Apache mod_security modülü ve OWASP Core Rule Set (CRS) devreye girer. Mod_security, Apache HTTP Sunucusu için tasarlanmış açık kaynaklı bir web uygulama güvenlik duvarıdır (WAF). Amacı, web uygulamalarına yönelik SQL enjeksiyonu, siteler arası komut çalıştırma (XSS), uzaktan dosya dahil etme (RFI) ve yerel dosya dahil etme (LFI) gibi çeşitli saldırı türlerini tespit etmek ve engellemektir. CRS ise mod_security için özel olarak geliştirilmiş, kapsamlı bir kural setidir. Bu kural seti, dünya genelindeki güvenlik uzmanları tarafından sürekli güncellenen ve bilinen birçok saldırı desenini içeren akıllı kurallar bütünüdür. Böylece, web sunucunuz, potansiyel tehlikelere karşı proaktif bir koruma kalkanına sahip olur.

Web Güvenliğinde mod_security CRS'nin Önemi

mod_security ve CRS'nin birlikte kullanımı, web güvenliği stratejisinin vazgeçilmez bir parçasıdır. Bu entegre sistem, sadece bilinen zafiyetlere karşı değil, aynı zamanda sezgisel analiz yeteneği sayesinde sıfır gün (zero-day) saldırılarına karşı da koruma sağlar. Bir web uygulamasının güvenlik açıklarını kapatmak zaman alıcı ve maliyetli olabilir; ancak WAF, bu açıklar yamalanana kadar bir tampon görevi görür. Örneğin, bir uygulamada yeni keşfedilmiş bir SQL enjeksiyon zafiyeti varsa, CRS kuralları bu tür enjeksiyon girişimlerini otomatik olarak engelleyebilir. Bununla birlikte, PCI DSS gibi güvenlik standartlarına uyum sağlamak isteyen kuruluşlar için de mod_security CRS kritik bir gereksinimdir. Ek olarak, saldırganların web sunucusuna erişim sağlayabileceği yüzey alanını önemli ölçüde daraltarak genel güvenlik duruşunu güçlendirir. Bu nedenle, web uygulamalarınızın güvende olduğundan emin olmak için mod_security CRS ayarlarını doğru yapmak büyük önem taşır.

mod_security Temel Kurulum ve Aktivasyonu

mod_security'yi Apache sunucunuza kurmak genellikle dağıtımınızın paket yöneticisi aracılığıyla kolayca gerçekleştirilir. Örneğin, Debian veya Ubuntu tabanlı sistemlerde `sudo apt install libapache2-mod-security2` komutuyla, CentOS veya RHEL sistemlerde ise `sudo yum install mod_security` komutuyla kurulum yapabilirsiniz. Kurulumun ardından, Apache modülünü etkinleştirmeniz gerekir; bu işlem genellikle `a2enmod security2` komutuyla veya yapılandırma dosyasında ilgili satırı etkinleştirerek yapılır. Daha sonra, mod_security'nin ana yapılandırma dosyası olan `modsecurity.conf` dosyasını `modsecurity.conf-recommended` şablonundan kopyalayıp düzenlemeniz tavsiye edilir. Bu dosyada `SecRuleEngine On` yönergesini bularak mod_security motorunu açmanız gerekmektedir. Son olarak, Apache servisini yeniden başlatarak yaptığınız değişiklikleri uygulayabilirsiniz. Bu adımlar, mod_security'nin temel işleyişi için gerekli altyapıyı hazırlar ve CRS kurallarını kullanmaya başlamanızın önünü açar.

CRS (Core Rule Set) Anlayışı ve Çalışma Prensipleri

OWASP Core Rule Set (CRS), mod_security için özel olarak tasarlanmış bir dizi kural koleksiyonudur. Bu kurallar, çeşitli kategorilere ayrılmış olup, web trafiğini gerçek zamanlı olarak analiz ederek potansiyel saldırıları tespit eder. CRS'nin çalışma prensibi, gelen HTTP isteklerini (başlıklar, URI, parametreler, istek gövdesi) belirli kalıplarla veya bilinen kötü amaçlı imzalarla karşılaştırmaktır. Örneğin, bir SQL enjeksiyonu denemesi, belli anahtar kelimelerin veya özel karakter dizilerinin varlığıyla algılanabilir. CRS, bu analizleri isteklerin farklı aşamalarında gerçekleştirir ve her tespit edilen anomaliye bir "güvenlik puanı" atar. Bir isteğin toplam güvenlik puanı belirli bir eşiği aştığında, mod_security bu isteği engeller ve genellikle bir hata günlüğüne kaydeder. Başka bir deyişle, CRS, bir detektör gibi çalışır ve web uygulamanızı tehlikeli girdilerden korumak için dinamik bir savunma mekanizması sunar.

Sık Kullanılan CRS Yapılandırma Seçenekleri

CRS'nin gücü, sunduğu esnek yapılandırma seçeneklerinden gelir. Ana yapılandırma dosyası genellikle `crs-setup.conf` adını taşır ve burada birçok önemli ayarı özelleştirebilirsiniz. En temel ayarlardan biri Paranoia Level (PL) seçimidir. PL1'den PL4'e kadar değişen bu seviyeler, uygulanan kural yoğunluğunu belirler. Örneğin, PL1 en az kuralı uygularken, PL4 en katı kuralları devreye sokar ve güvenlik ile hatalı pozitifler arasında bir denge kurmanızı gerektirir. Ek olarak, `SecDefaultAction` yönergesi ile anomali puanı eşiğini ayarlayabilirsiniz. Bu eşik aşıldığında mod_security'nin ne yapacağını (örneğin, isteği engellemek veya sadece günlüğe kaydetmek) belirler. Belirli bir IP adresini veya URL'yi güvenlik kontrollerinden muaf tutmak için dışlama kuralları (`SecRuleRemoveById`, `SecRuleEngine Off`) tanımlayabilirsiniz. Örnek olarak, dahili bir yönetim paneli için IP adresinizi beyaz listeye ekleyebilirsiniz. Bu seçenekler, CRS'yi web uygulamanızın özel ihtiyaçlarına göre hassaslaştırmanıza olanak tanır.

Hatalı Pozitifleri Önlemek İçin CRS Kurallarını Test Etme ve Ayarlama

mod_security CRS'yi devreye alırken en yaygın zorluklardan biri hatalı pozitiflerdir (false positives). Meşru kullanıcı isteklerinin yanlışlıkla kötü niyetli olarak algılanması ve engellenmesi, kullanıcı deneyimini olumsuz etkileyebilir. Bu nedenle, CRS'yi canlı ortama almadan önce kapsamlı testler yapmak kritik önem taşır. Öncelikle, mod_security'yi denetleme (audit) modunda çalıştırarak tüm engellemeleri günlüğe kaydetmesini sağlayın. `audit.log` veya Apache'nin `error.log` dosyalarını düzenli olarak inceleyerek hangi kuralların hangi istekleri tetiklediğini belirleyebilirsiniz. Eğer bir kural meşru bir isteği hatalı şekilde engelliyorsa, o kuralı ya tamamen kaldırabilir (`SecRuleRemoveById`) ya da belirli bir URL veya parametre için istisna tanımlayabilirsiniz. Bununla birlikte, her bir kuralı tek tek kaldırmak yerine, daha spesifik dışlama kuralları yazmak genellikle daha iyi bir yaklaşımdır. Bu, sürekli bir deneme-yanılma ve ince ayar sürecini gerektirir, ancak nihayetinde web uygulamanızın güvenliğini sağlamlaştırırken kullanıcı akışını kesintisiz tutmanıza yardımcı olur.

mod_security CRS İçin İleri Düzey İpuçları ve Sürekli Bakım

mod_security CRS'nin etkinliğini sürdürmek, sadece bir kerelik kurulumdan ibaret değildir; sürekli bakım ve güncellemeler gerektirir. Öncelikle, OWASP CRS projesini düzenli olarak takip ederek en son kural setlerini ve güncellemeleri uygulamanız önemlidir. Siber tehditler sürekli geliştiği için, eski kurallar yetersiz kalabilir. Ek olarak, web uygulamanızın özel ihtiyaçlarına yönelik özel kurallar (custom rules) yazmak, genel CRS tarafından kapsanmayan belirli zafiyetlere karşı ek koruma sağlayabilir. Örneğin, uygulamanıza özgü bir API'nin özel bir desenini ihlal eden istekleri engelleyen bir kural tanımlayabilirsiniz. Performans açısından, çok sayıda kuralın sunucu üzerinde ek yük oluşturabileceğini unutmamak gerekir; bu nedenle, gereksiz kuralları devre dışı bırakmak veya sadece belirli sanal hostlar için uygulamak performansı optimize edebilir. Sonuç olarak, mod_security CRS'yi bir SIEM (Security Information and Event Management) sistemiyle entegre etmek, güvenlik olaylarını merkezi olarak izlemenize ve daha hızlı tepki vermenize olanak tanır. Aktif log izleme ve periyodik denetimler, mod_security CRS'nin uzun vadede güvenilir bir güvenlik kalkanı olarak kalmasını sağlar.