免費版 WAF ModSecurity 增加網站安全性

在大部分成功被駭客入侵的網站案例中，大多都屬於網頁程式設計師的疏忽，或本身缺乏安全的意識而開發的軟體，很容易造成網頁主機被入侵成功的危機，如果不確定自己有沒有被入侵，可以參考我之前寫的5個自我檢視資料庫之安全性的方法，先自行檢測看看。

一般為了預防像是 XSS、SQL Injection 此類的安全性漏洞，大多會購買WAF（Web Application Firewall，網頁應用程式防火牆）來阻絕駭客，但類似的產品，價格往往相當的昂貴，絕非一般中小企業所能負擔。 相關 WAF 資訊可以參考：

網頁應用防火牆(Web Application Firewal, WAF)

或許有人會說為什麼要砸大錢買WAF？WAF不過是至標不治本的東西，程式本身有漏洞應該是將漏洞修補起來就好了，當然這是正確的觀念，如果你的維護的是小系統可能還可以迅速做修補，但如果是大型的 ERP 系統在現實上就沒有那麼簡單了，而且在修補的過程中沒有任何防護的話，還是有一段的空窗期喔。

為了獲得最好的安全效果，我們需要雙管齊下，一方面必須提高管理者和開發者的安全意識，另一方面儘可能提高應用系統的安全性。

因此，本文將介紹這款開放原始碼的軟體 ModSecurity，免費為您的網站主機多加一層保護。

ModSecurity 簡介

ModSecurity是一個開放原始碼的WAF（Web Application Firewall，網頁應用程式防火牆），是一個入侵偵測與防護引擎，它可以作為你的服務器基礎安全設施，目前支援Apache、IIS、Nginx 等..可增強這些 Web 伺服器的安全性和保護Web應用程式避免遭受來自已知與未知的攻擊。

網址：http://www.modsecurity.org/

ModSecurity功能特點

1. 即時監控和攻擊檢測
2. 攻擊防禦和即時修補
3. 靈活的規則引擎
4. 嵌入式模式部署
5. 基於網絡的部署
6. 可移植性

ModSecurity新特性

1. 增加狀態報告(Status Reporting)
2. 增加JSON解析器
3. 添加@detectXSS模塊
4. 連接限制(SecConnReadStateLimit/SecConnWriteStateLimit)支持黑白名單
5. 增加新變量FULL_REQUEST和FULL_REQUEST_LENGTH，支持對請求的所有內容進行規則限制。

簡單的說 ModSecurity 可保護您的 Web 應用程式免受複雜的攻擊，阻止線上身份竊取，並防止資料經由應用程式洩露，建議系統管理者都可以安裝這個防護措施。