Exibir código-fonte para ModSecurity e Fail2ban

== Implementação de WAF com ModSecurity (OWASP CRS v4) e Fail2Ban no Debian Linux ==

Este guia fornece o passo a passo completo para instalar, configurar e hardening de um servidor web Apache rodando WordPress utilizando o '''ModSecurity v2 (WAF)''', o '''OWASP Core Rule Set (CRS) v4''' com o plugin oficial de exclusões para WordPress, e a integração com o '''Fail2Ban''' para bloqueio automático de atacantes a nível de firewall.

=== Passo 1: Atualização do Sistema e Instalação dos Pacotes ===
Primeiramente, atualize os repositórios do sistema operacional Debian e instale os módulos necessários do Apache e o Fail2Ban.

<pre>
sudo apt update && sudo apt upgrade -y
sudo apt install libapache2-mod-security2 fail2ban unzip -y
</pre>

=== Passo 2: Configuração e Ativação do ModSecurity ===
Por padrão, o ModSecurity é instalado no modo de simulação (DetectionOnly). É necessário criar o arquivo de configuração de produção e ativar o motor de regras.

1. Duplique o arquivo de configuração recomendado:
<pre>
sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf
</pre>

2. Edite o arquivo principal:
<pre>
sudo nano /etc/modsecurity/modsecurity.conf
</pre>

3. Altere a seguinte diretiva no início do arquivo para ativar o bloqueio (mude de <code>DetectionOnly</code> para <code>On</code>):
<pre>
SecRuleEngine On
</pre>

=== Passo 3: Instalação do OWASP Core Rule Set (v4) ===
O Debian traz por padrão regras antigas. Para garantir a segurança moderna e suporte a plugins isolados, instalamos a versão estável atualizada do OWASP CRS v4 direto da fonte.

1. Crie o diretório de destino e acesse-o:
<pre>
sudo mkdir -p /etc/modsecurity/owasp-crs
cd /etc/modsecurity/owasp-crs
</pre>

2. Faça o download da última release estável do repositório oficial da OWASP:
<pre>
sudo wget https://github.com
</pre>

3. Extraia o conteúdo baixado e limpe os arquivos temporários:
<pre>
sudo tar -xvf v4.9.0.tar.gz
sudo mv coreruleset-4.9.0/* ./
sudo rm -rf coreruleset-4.9.0 v4.9.0.tar.gz
</pre>

4. Crie o arquivo base de parametrização do CRS:
<pre>
sudo cp crs-setup.conf.example crs-setup.conf
</pre>

=== Passo 4: Instalação do Plugin de Exclusão do WordPress ===
Para evitar falsos positivos no WordPress (erros como o Gutenberg falhar ao salvar posts ou problemas na API REST), deve-se usar o plugin oficial da OWASP para CRS v4.

1. Acesse o diretório de plugins do WAF:
<pre>
cd /etc/modsecurity/owasp-crs/plugins
</pre>

2. Baixe o código fonte estável diretamente do repositório específico da OWASP:
<pre>
sudo wget https://github.com
</pre>

3. Extraia os arquivos e posicione-os na pasta raiz de plugins:
<pre>
sudo unzip master.zip
sudo cp wordpress-rule-exclusions-plugin-master/plugins/wordpress-rule-exclusions-config.conf ./
sudo cp wordpress-rule-exclusions-plugin-master/plugins/wordpress-rule-exclusions-before.conf ./
sudo rm -rf wordpress-rule-exclusions-plugin-master master.zip
</pre>

=== Passo 5: Vinculação das Regras no Apache ===
Configure o Apache para carregar todos os módulos e os arquivos criados rigorosamente na ordem correta exigida pela arquitetura de plugins do CRS v4.

1. Abra o arquivo de configuração do módulo de segurança do Apache:
<pre>
sudo nano /etc/apache2/mods-enabled/security2.conf
</pre>

2. Substitua integralmente o bloco interno da tag <code>&lt;IfModule security2_module&gt;</code> pelo código abaixo:
<pre>
<IfModule security2_module>
    # Diretório de dados e arquivo base do ModSecurity
    SecDataDir /var/cache/modsecurity
    Include /etc/modsecurity/modsecurity.conf

    # 1. Configuração base do OWASP CRS
    Include /etc/modsecurity/owasp-crs/crs-setup.conf

    # 2. Configurações dos Plugins (Carregados ANTES das regras gerais)
    Include /etc/modsecurity/owasp-crs/plugins/*-config.conf
    Include /etc/modsecurity/owasp-crs/plugins/*-before.conf

    # 3. Regras de Ataque Gerais do OWASP CRS
    Include /etc/modsecurity/owasp-crs/rules/*.conf
    
    # 4. Plugins que rodam DEPOIS das regras básicas
    Include /etc/modsecurity/owasp-crs/plugins/*-after.conf
</IfModule>
</pre>

3. Valide se a sintaxe estrutural do Apache não possui erros:
<pre>
sudo apache2ctl configtest
</pre>
*Certifique-se de que o comando retorne apenas a mensagem: '''Syntax OK'''.*

4. Reinicie o serviço do Apache se o teste passar com sucesso:
<pre>
sudo systemctl restart apache2
</pre>

=== Passo 6: Integração Automatizada com o Fail2Ban ===
O ModSecurity enviará os alertas de segurança para o arquivo de erros do Apache. O Fail2Ban lerá esse arquivo e bloqueará o IP do atacante diretamente no firewall do Linux após seguidas tentativas de ataque.

1. Abra o arquivo de configuração global do Fail2Ban para definir uma Whitelist e evitar o seu próprio banimento:
<pre>
sudo nano /etc/fail2ban/jail.local
</pre>

2. Localize a seção <code>[DEFAULT]</code> e certifique-se de que a linha <code>ignoreip</code> contenha o IP da sua rede administrativa:
<pre>
[DEFAULT]
ignoreip = 127.0.0.1/8 ::1 SEU_IP_DE_CASA_OU_ESCRITORIO
</pre>

3. Crie um arquivo isolado para a "Jail" (jaula) do ModSecurity:
<pre>
sudo nano /etc/fail2ban/jail.d/apache-modsecurity.conf
</pre>

4. Insira a seguinte regra:
<pre>
[apache-modsecurity]
enabled  = true
port     = http,https
filter   = apache-modsecurity
logpath  = /var/log/apache2/error.log
maxretry = 3
findtime = 600
bantime  = 3600
</pre>

5. Reinicie o serviço do Fail2Ban para aplicar a nova jaula:
<pre>
sudo systemctl enable fail2ban
sudo systemctl restart fail2ban
</pre>

=== Passo 7: Comandos de Auditoria, Testes e Operação ===

* '''Simular um ataque (WAF e Fail2Ban):''' Execute o comando abaixo a partir de uma máquina externa para validar se o servidor retorna erro 403. Se executado 3 vezes seguidas dentro de 10 minutos, seu IP externo será completamente banido do servidor.
<pre>
curl -I "http://seu-dominio-wordpress.com"
</pre>

* '''Monitorar logs do ModSecurity em tempo real:'''
<pre>
sudo tail -f /var/log/apache2/error.log
</pre>

* '''Verificar os IPs banidos atualmente pelo Fail2Ban:'''
<pre>
sudo fail2ban-client status apache-modsecurity
</pre>

* '''Remover o banimento (Unban) de um IP legítimo pego por engano:'''
<pre>
sudo fail2ban-client set apache-modsecurity unbanip IP_DO_USUARIO
</pre>