Интеграция Imunify 360 WAF с ispmanager 6

Подготовка панели ispmanager 6

В панели ispmanager 6 в разделе Конфигурация ПО для веб-сервера установите компонент WAF.

После этого создайте пользователя панели с именем imunifyui. Для пользователя создайте сайт, на котором будет доступен веб-интерфейс Imunify360, например imunify360.example.com. Удалите все файлы из домашней директории сайта и создайте каталог im360.

Установка и настройка Imunify360

Подключитесь к серверу по SSH и убедитесь, что на сервере установлена утилита nc.

Затем на сервере создайте каталог etc/sysconfig/imunify360/generic/. Загрузите в каталогetc/sysconfig/imunify360данный скрипт get-panel-info.sh.

Сделайте загруженный скрипт исполняемым:

chmod +x /etc/sysconfig/imunify360/get-panel-info.sh

Если сервер находится за NAT, измените значение переменной local host на локальный IP-адрес сервера.

Проверьте работу скрипта get-panel-info.sh:

/etc/sysconfig/imunify360/get-panel-info.sh

Скачайте python-скрипт ispmanager_integration.py и разместите его в каталоге /etc/sysconfig/imunify360 , после чего сделайте его исполняемым:

chmod +x /etc/sysconfig/imunify360/ispmanager_integration.py

Затем проверьте работу скрипта:

/etc/sysconfig/imunify360/ispmanager_integration.py users
/etc/sysconfig/imunify360/ispmanager_integration.py domains

Следующим шагом скачайте конфигурационный файл для интеграции integration.conf. Для переменной ui_path укажите путь до домашней директории вашего сайта с поддоменом imunify360.

Переместите конфигурационный файл в каталог Imunify360:

mv integration.conf /etc/sysconfig/imunify360/

Создайте файл для ModSecurity:

touch /etc/sysconfig/imunify360/generic/modsec.conf

В основном файле конфигурации Apache по пути /etc/apache2/apache2.conf (для RHEL-based систем путь - /etc/httpd/conf/httpd.conf) укажите путь до этого файла:

IncludeOptional /etc/sysconfig/imunify360/generic/modsec.conf

Скачайте скрипт установки и запустите его:

wget https://repo.imunify360.cloudlinux.com/defence360/i360deploy.sh
bash i360deploy.sh --key %КЛЮЧ_ЛИЦЕНЗИИ%

Если сервер управляется Debian-based системой, то для работы WAF потребуется дополнительно внести изменения в часть файлов.

Сначала переименуйте файл modsecurity.conf-recommended:

mv /etc/modsecurity/modsecurity.conf{-recommended,}

Затем в файле по пути /etc/modsecurity/modsecurity.conf замените значение параметра SecRuleEngine на On. После, в файле /etc/apache2/mods-enabled/security2.conf раскомментируйте строку IncludeOptional /etc/modsecurity/*.conf.

После внесения изменений, перезапустите службу lsws:

service lsws restart

Проверить корректность работу WAF можно следующей командой:

curl 'http://exapmle.com/?q="><script>alert(123)</script>'

Панель Imunify360 будет доступна по адресу https://imunify360.example.com/im360/ под пользователем root.

Обратите внимание на то, что LiteSpeed не сможет прочитать некоторые правила из-за их специфики, поэтому в панели управления LiteSpeed будут появляться ошибки их чтения - это ожидаемое поведение.

Отключение базовых правил WAF

Если вы хотите использовать только правила от Imunify360, необходимо внести изменения в конфигурацию Apache.

Для Debian-based систем в файле по пути /etc/apache2/mods-enabled/security2.conf закомментируйте строку IncludeOptional /etc/modsecurity/*.conf, а в следующей строке после параметра SecDataDir впишите строку SecRuleEngine On.

Для RHEL-based систем в файле по пути /etc/httpd/conf.d/mod_security.conf закомментируйте следующей строки:

• IncludeOptional modsecurity.d/*.conf
• IncludeOptional modsecurity.d/activated_rules/*.conf
• IncludeOptional modsecurity.d/local_rules/*.conf

После внесения изменений перезапустите веб-сервер:

service lsws restart