Hướng Dẫn Cài Đặt & Cấu Hình Web Application Firewall (WAF) Cho Nginx

Trong kỷ nguyên mà các cuộc tấn công mạng ngày càng tinh vi, việc chỉ dựa vào tường lửa truyền thống ở lớp mạng (Layer 3/4) là không còn đủ để bảo vệ các ứng dụng web phức tạp. Để đối phó với những hiểm họa nhắm thẳng vào mã nguồn như SQL Injection, Cross-Site Scripting (XSS) hay Path Traversal, bạn cần một "người gác cổng" thông minh hơn: Web Application Firewall (WAF).

Bài viết này sẽ hướng dẫn bạn cách triển khai ModSecurity v3 - một giải pháp WAF mã nguồn mở hàng đầu thế giới - kết hợp cùng Nginx để tạo ra một hệ thống phòng thủ vững chắc.

1. WAF là gì và tại sao bạn bắt buộc phải có?

WAF hoạt động ở lớp ứng dụng (Layer 7), nó phân tích sâu vào nội dung của các yêu cầu HTTP/HTTPS. Khác với tường lửa thông thường chỉ kiểm tra địa chỉ IP và cổng, WAF sẽ "đọc" các tham số, cookie và header để phát hiện các mẫu hành vi độc hại.

• Ngăn chặn SQL Injection: Chặn đứng các nỗ lực chèn lệnh SQL trái phép vào form hoặc URL.
• Chống XSS: Loại bỏ các mã script độc hại được chèn vào trang web để đánh cắp session người dùng.
• Virtual Patching: Bảo vệ website khỏi các lỗ hổng chưa kịp cập nhật bản vá (0-day).

2. Cài đặt ModSecurity v3 trên Nginx

Để ModSecurity hoạt động hiệu quả nhất với Nginx, chúng ta sử dụng thư viện libmodsecurity và module kết nối modsecurity-nginx.

Bước 1: Cài đặt các thành phần cốt lõi

sudo apt update
sudo apt install libmodsecurity3 libmodsecurity-dev modsecurity-crs -y

Bước 2: Cấu hình ModSecurity

Chúng ta cần chuẩn bị file cấu hình chính cho ModSecurity:

sudo mkdir -p /etc/nginx/modsecurity
sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/nginx/modsecurity/modsecurity.conf
# Chuyển từ chế độ DetectionOnly sang ProcessPartial (hoặc On) để thực sự chặn tấn công
sudo sed -i 's/SecRuleEngine DetectionOnly/SecRuleEngine On/' /etc/nginx/modsecurity/modsecurity.conf

3. Tích hợp bộ quy tắc OWASP Core Rule Set (CRS)

OWASP CRS là "linh hồn" của WAF, nó chứa hàng ngàn quy tắc được cập nhật liên tục để nhận diện các kiểu tấn công mới nhất.

# Thêm CRS vào file cấu hình chính
echo "Include /etc/nginx/modsecurity/modsecurity.conf" | sudo tee /etc/nginx/modsecurity/main.conf
echo "Include /usr/share/modsecurity-crs/crs-setup.conf" | sudo tee -a /etc/nginx/modsecurity/main.conf
echo "Include /usr/share/modsecurity-crs/rules/*.conf" | sudo tee -a /etc/nginx/modsecurity/main.conf

4. Kích hoạt trên Nginx

Mở file cấu hình site của bạn và thêm các chỉ thị sau vào trong block server:

server {
    listen 443 ssl;
    ...
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsecurity/main.conf;
    ...
}

5. Kiểm tra hiệu năng và Debug

Việc bật WAF sẽ làm tăng một chút thời gian xử lý yêu cầu (latency). Bạn nên theo dõi log thường xuyên để tinh chỉnh các quy tắc tránh việc chặn nhầm (False Positive):

# Kiểm tra log chặn của ModSecurity
tail -f /var/log/modsec_audit.log

# Kiểm tra log lỗi của Nginx
tail -f /var/log/nginx/error.log

Xử lý False Positives

Nếu WAF chặn nhầm một tính năng hợp lệ của website, bạn có thể loại trừ quy tắc đó bằng ID:

# Thêm vào cuối file modsecurity.conf
SecRuleRemoveById 949110

ModSecurity là một công cụ cực kỳ mạnh mẽ nhưng cũng đòi hỏi sự am hiểu sâu sắc để vận hành hiệu quả. Hãy bắt đầu bằng chế độ DetectionOnly trong vài ngày trước khi chuyển sang On hoàn toàn để đảm bảo website hoạt động mượt mà.