Alauda Container Platform
  • 简体中文

    • ModSecurity

    ModSecurity 是一种开源 Web 应用程序防火墙（WAF），旨在保护 Web 应用程序免受恶意攻击。它由开源社区维护，支持多种编程语言和 Web 服务器。平台负载均衡器（ALB）支持配置 ModSecurity，可在 Ingress 级别单独进行配置。

    目录

    术语操作步骤方法一：添加注解方法二：配置 CR相关说明覆盖配置示例商标声明

    术语

    术语说明
    owasp-core-rulesOWASP 核心规则集是一套开源规则集，用于检测和防止常见的 Web 应用程序攻击。

    操作步骤

    通过向相应资源的 YAML 文件添加注解或配置 CR 来配置 ModSecurity。

    方法一：添加注解

    将以下注解添加到相应 YAML 文件的 metadata.annotations 字段中，以配置 ModSecurity。

    • Ingress-Nginx 兼容注解

      注解类型适用对象说明
      nginx.ingress.kubernetes.io/enable-modsecurityboolIngress启用 ModSecurity。
      nginx.ingress.kubernetes.io/enable-owasp-core-rulesboolIngress启用 OWASP 核心规则集。
      nginx.ingress.kubernetes.io/modsecurity-transaction-idstringIngress用于标识每个请求的唯一事务 ID，便于记录日志和调试。
      nginx.ingress.kubernetes.io/modsecurity-snippetstringIngress, ALB, FT, Rule允许用户插入自定义 ModSecurity 配置，以满足特定的安全需求。

    • ALB 特殊注解

      注解类型适用对象说明
      alb.modsecurity.cpaas.io/use-recommendboolIngress启用或禁用推荐的 ModSecurity 规则；设置为 true 以应用预定义的安全规则集。
      alb.modsecurity.cpaas.io/cmrefstringIngress引用特定配置，例如，可通过指定 ConfigMap 的引用路径（$ns/$name#$section）加载自定义安全配置。

    方法二：配置 CR

    1. 打开需要配置的 ALB、FT 或 Rule 配置文件。

    2. 根据需要在 spec.config 下添加以下字段。

      { 'modsecurity': {
      'enable': true, # Enable or disable ModSecurity
      'transactionId': '$xx', # Use ID from Nginx
      'useCoreRules': true, # Add modsecurity_rules_file /etc/nginx/owasp-modsecurity-crs/nginx-modsecurity.conf
      'useRecommend': true, # Add modsecurity_rules_file /etc/nginx/modsecurity/modsecurity.conf
      'cmRef': '$ns/$name#$section', # Add configuration from ConfigMap
    } }

    3. 保存并应用配置文件。

    相关说明

    覆盖

    如果未在 Rule 中配置 ModSecurity，它会尝试在 FT 中查找配置；如果 FT 中也没有配置，则会使用 ALB 中的配置。

    配置示例

    以下示例部署一个名为 waf-alb 的 ALB，以及一个名为 hello 的演示后端原生应用。此外，还会部署一个名为 ing-waf-enable 的 Ingress，其中定义了 /waf-enable 路由并配置 ModSecurity 规则。任何包含查询参数 test 且其值中包含字符串 test 的请求都将被阻止。

    cat <<EOF | kubectl apply -f -
apiVersion: crd.alauda.io/v2
kind: ALB2
metadata:
  name: waf-alb
  namespace: cpaas-system
spec:
  config:
    loadbalancerName: waf-alb
    projects:
      - ALL_ALL
    replicas: 1
  type: nginx
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    nginx.ingress.kubernetes.io/enable-modsecurity: "true"
    nginx.ingress.kubernetes.io/modsecurity-transaction-id: "$request_id"
    nginx.ingress.kubernetes.io/modsecurity-snippet: |
      SecRuleEngine On
      SecRule ARGS:test "@contains test" "id:1234,deny,log"
  name: ing-waf-enable
spec:
  ingressClassName: waf-alb
  rules:
    - http:
        paths:
          - backend:
              service:
                name: hello
                port:
                  number: 80
            path: /waf-enable
            pathType: ImplementationSpecific
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ing-waf-normal
spec:
  ingressClassName: waf-alb
  rules:
    - http:
        paths:
          - backend:
              service:
                name: hello
                port:
                  number: 80
            path: /waf-not-enable
            pathType: ImplementationSpecific
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: hello
spec:
  replicas: 1
  selector:
    matchLabels:
      service.cpaas.io/name: hello
      service_name: hello
  template:
    metadata:
      labels:
        service.cpaas.io/name: hello
        service_name: hello
    spec:
      containers:
        - name: hello-world
          image: hashicorp/http-echo
          imagePullPolicy: IfNotPresent
---
apiVersion: v1
kind: Service
metadata:
  name: hello
spec:
  internalTrafficPolicy: Cluster
  ipFamilies:
    - IPv4
  ipFamilyPolicy: SingleStack
  ports:
    - name: http
      port: 80
      protocol: TCP
      targetPort: 5678
  selector:
    service_name: hello
  sessionAffinity: None
  type: ClusterIP
EOF

    商标声明

    NGINX® 是 F5, Inc. 在美国及其他国家/地区的注册商标。

    Alauda 是独立供应商。本产品与 F5, Inc. 无关联，未获得其认可或赞助。所有商标均为其各自所有者的财产，在此仅用于标识目的。