huschi.net

Problem:

Regelmäßig kommen auf gut besuchten Webseiten DoS (Denial of Service) Attacken vor. Entweder sind es spielende Script-Kiddies, schlecht programmierte Spider/Crawler oder echte Angriffe.

Funktion:

Ein (hier Web-)Server wird mit so vielen Anfragen bombardiert, daß er entweder ganz Langsam wird, oder auf Grund ausgehendem Speicher gar nicht mehr Antwortet.
Konsequenz ist häufig der Absturz des Serverdienstes oder manchmal sogar ein vollkommener Ausfall des Rechners selbst.

Abhilfe:

Um Apache selbst zu schützen, gibt es zwei Apache-Module:
1. mod_security
2. mod_evasive (Download auf huschi.net)

Während <code>mod_securitycode> mehr für den Schutz vor seltsamen/verdächtigen Query-Strings zuständig ist, ist <code>mod_evasivecode> konkret gegen DoS-Angriffe.

mod_evasive erstellt eine interne Liste von IP-Adresse und angeforderten URLs. Sollten hier gewisse (frei definierbare) Schwellwerte überschritten werden, antwortet es automatisch mit einem 403, sperrt diese IP für 10 Sekunden und kann noch weitere Funktionen ausführen. (Z.B. Logging oder Warnungs-Mail versenden.)

Installation mod_security

Das Apache-Modul mod_security erhält man in den aktuellen Distributionen direkt als Software-Paket. So ist es z.B. unter Debian ganz schnell installiert:

apt-get install libapache2-mod-security
a2enmod mod-security

Es fehlen nur noch die richtigen Einstellungen in der <code>apache2.confcode>:

<IfModule mod_security.c>
  SecFilterEngine On
  # URL-Validierung aktivieren
  SecFilterCheckURLEncoding On
  # Unicode-Validierung aktivieren
  SecFilterCheckUnicodeEncoding On
  # HTTP-POST-Daten verarbeiten
  SecFilterScanPOST On
  # Standard-Aktion für zutreffende Filterregeln
  SecFilterDefaultAction "deny,log,status:403"
  # Filterregeln aus mod-security.d einbinden
  Include /etc/apache2/mod-security.d/[^.#]*
</IfModule>

Mit dem letzten Befehl wird ein Verzeichnis für die weiteren, selbst zu erstellenden Config-Files angegenben. Dort platzieren wir die eigentlichen Filter.
Beispiele finden wir bereits auf der Platte: <code> /usr/share/doc/libapache2-mod-security/examples/code>.

Installation mod_evasive

Das Modul <code>mod_evasivecode> gibt es noch nicht als Distributions-Pakete. Also müssen wir es selber kompilieren.
Voraussetzung für jede Kompilation mit Apache ist natürlich das Apache-Devel-Paket!

#Prüfe auf Apache-Devel
whereis apxs
whereis apxs2
#Download und entpacken:
cd /usr/local/src/
wget http://www.huschi.net/download/mod_evasive_1.10.1.tar.gz
tar xzf mod_evasive_*
cd mod_evasive

Nun prüfen wir, ob es den angegebenen Mailer gibt (<code>whereis mailcode>) und welche Parameter er braucht. Das Modul ist auf <code>sendmailcode> ausgerichtet. Das Programm <code>/usr/bin/mailcode> kann aber auch der <code>mailxcode> sein.
In dem Fall darf der Parameter <code>-tcode> nicht verwendet werden und es wird in den Emails keine Subjekts angegeben.

edit mod_evasive20.c
#suche nach "#define MAILER" und korrigiere den Pfad.

Wer den <code>mailxcode> einsetzt, muss folgende Code-Änderungen machen:

#define MAILER	"/usr/bin/mail -s \"HTTP BLACKLIST %s\" %s"
[....]
              snprintf(filename, sizeof(filename), MAILER, r->connection->remote_ip, email_notify);
              file = popen(filename, "w");
              if (file != NULL) {
//              fprintf(file, "To: %s\n", email_notify);
//              fprintf(file, "Subject: HTTP BLACKLIST %s\n\n", r->connection->remote_ip);
                fprintf(file, "mod_evasive HTTP Blacklisted %s\n", r->connection->remote_ip);

Nun bauen wir das Modul und binden es im Apache ein.

#Einfaches Compilieren mit Apache-Tool apxs:
apxs2 -cia mod_evasive20.c
#suchen wo das fertige Modul ist:
ls -l /usr/lib/apache2/mod_evasive*
ls -l /usr/lib/apache2/modules/mod_evasive*

#dementsprechend wird ein load-file angelegt:
echo "LoadModule evasive20_module  /usr/lib/apache2/mod_evasive20.so" > /etc/apache2/mods-available/mod_evasive.load
ln -s /etc/apache2/mods-available/mod_evasive.load /etc/apache2/mods-enabled/.

Nun fehlt nur noch die Datei <code>/etc/apache2/mods-available/mod_evasive.confcode> die ebenfalls ins Verzeichnis <code>mods-enabledcode> gelinkt werden muß:

<IfModule mod_evasive20.c>
    DOSHashTableSize    3097
    DOSPageCount        2
    DOSSiteCount        50
    DOSPageInterval     1
    DOSSiteInterval     1
    DOSBlockingPeriod   10
    DOSEmailNotify      webmaster@meine-domain.tld
</IfModule>

Achtung: im beiliegenden Readme steht auch noch die Direktive <code>DOSLogDircode>. Die ist recht ungünstig benannt, da sie nichts mit Logfiles zu tun hat, sondern eher mit <code>Lock-Filescode>. Am besten läßt man sie per Default auf <code>/tmp/code>. Falls man die Lockfiles doch woanders ablegen möchte (z.B. in <code>/var/lock/code>) so sollte man sicherstellen, dass der Apache-User (<code>www-datacode> oder <code>wwwruncode>) Schreibrechte darauf hat.
(Dies wird leider in einigen Howto's nicht erwähnt. Weshalb mod_evasive dann nicht funktioniert.)

Links:

• Bericht zu mod_security
• Artikel auf Heise.de: Web-Server mit mod_security absichern
• Artikel zu mod_evasive im Linux-Magazin
• Da auf NuclearElephant.com die Datei momentan nicht vorhanden ist, stelle ich sie hier zum Download zur verfügung.