Guilherme: /* Passo 6: Integração Automatizada com o Fail2Ban */

2026-08-31T20:11:03Z

‎Passo 6: Integração Automatizada com o Fail2Ban

Guilherme: /* Passo 4: Instalação do Plugin de Exclusão do WordPress */

2026-08-31T20:03:26Z

‎Passo 4: Instalação do Plugin de Exclusão do WordPress

Guilherme at 20:01, 31 August 2026

2026-08-31T20:01:15Z

Guilherme: Created page with "== Implementação de WAF com ModSecurity (OWASP CRS v4) e Fail2Ban no Debian Linux == Este guia fornece o passo a passo completo para instalar, configurar e hardening de um..."

2026-08-31T19:58:41Z

Created page with "== Implementação de WAF com ModSecurity (OWASP CRS v4) e Fail2Ban no Debian Linux == Este guia fornece o passo a passo completo para instalar, configurar e hardening de um..."

Página nova

== Implementação de WAF com ModSecurity (OWASP CRS v4) e Fail2Ban no Debian Linux ==

Este guia fornece o passo a passo completo para instalar, configurar e hardening de um servidor web Apache rodando WordPress utilizando o '''ModSecurity v2 (WAF)''', o '''OWASP Core Rule Set (CRS) v4''' com o plugin oficial de exclusões para WordPress, e a integração com o '''Fail2Ban''' para bloqueio automático de atacantes a nível de firewall.

=== Passo 1: Atualização do Sistema e Instalação dos Pacotes ===
Primeiramente, atualize os repositórios do sistema operacional Debian e instale os módulos necessários do Apache e o Fail2Ban.

<pre>
sudo apt update && sudo apt upgrade -y
sudo apt install libapache2-mod-security2 fail2ban unzip -y
</pre>

=== Passo 2: Configuração e Ativação do ModSecurity ===
Por padrão, o ModSecurity é instalado no modo de simulação (DetectionOnly). É necessário criar o arquivo de configuração de produção e ativar o motor de regras.

1. Duplique o arquivo de configuração recomendado:
<pre>
sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf
</pre>

2. Edite o arquivo principal:
<pre>
sudo nano /etc/modsecurity/modsecurity.conf
</pre>

3. Altere a seguinte diretiva no início do arquivo para ativar o bloqueio (mude de <code>DetectionOnly</code> para <code>On</code>):
<pre>
SecRuleEngine On
</pre>

=== Passo 3: Instalação do OWASP Core Rule Set (v4) ===
O Debian traz por padrão regras antigas. Para garantir a segurança moderna e suporte a plugins isolados, instalamos a versão estável atualizada do OWASP CRS v4 direto da fonte.

1. Crie o diretório de destino e acesse-o:
<pre>
sudo mkdir -p /etc/modsecurity/owasp-crs
cd /etc/modsecurity/owasp-crs
</pre>

2. Faça o download da última release estável do repositório oficial da OWASP:
<pre>
sudo wget https://github.com
</pre>

3. Extraia o conteúdo baixado e limpe os arquivos temporários:
<pre>
sudo tar -xvf v4.9.0.tar.gz
sudo mv coreruleset-4.9.0/* ./
sudo rm -rf coreruleset-4.9.0 v4.9.0.tar.gz
</pre>

4. Crie o arquivo base de parametrização do CRS:
<pre>
sudo cp crs-setup.conf.example crs-setup.conf
</pre>

=== Passo 4: Instalação do Plugin de Exclusão do WordPress ===
Para evitar falsos positivos no WordPress (erros como o Gutenberg falhar ao salvar posts ou problemas na API REST), deve-se usar o plugin oficial da OWASP para CRS v4.

1. Acesse o diretório de plugins do WAF:
<pre>
cd /etc/modsecurity/owasp-crs/plugins
</pre>

2. Baixe o código fonte estável diretamente do repositório específico da OWASP:
<pre>
sudo wget https://github.com
</pre>

3. Extraia os arquivos e posicione-os na pasta raiz de plugins:
<pre>
sudo unzip master.zip
sudo cp wordpress-rule-exclusions-plugin-master/plugins/wordpress-rule-exclusions-config.conf ./
sudo cp wordpress-rule-exclusions-plugin-master/plugins/wordpress-rule-exclusions-before.conf ./
sudo rm -rf wordpress-rule-exclusions-plugin-master master.zip
</pre>

=== Passo 5: Vinculação das Regras no Apache ===
Configure o Apache para carregar todos os módulos e os arquivos criados rigorosamente na ordem correta exigida pela arquitetura de plugins do CRS v4.

1. Abra o arquivo de configuração do módulo de segurança do Apache:
<pre>
sudo nano /etc/apache2/mods-enabled/security2.conf
</pre>

2. Substitua integralmente o bloco interno da tag <code><IfModule security2_module></code> pelo código abaixo:
<pre>
<IfModule security2_module>
# Diretório de dados e arquivo base do ModSecurity
SecDataDir /var/cache/modsecurity
Include /etc/modsecurity/modsecurity.conf

# 1. Configuração base do OWASP CRS
Include /etc/modsecurity/owasp-crs/crs-setup.conf

# 2. Configurações dos Plugins (Carregados ANTES das regras gerais)
Include /etc/modsecurity/owasp-crs/plugins/*-config.conf
Include /etc/modsecurity/owasp-crs/plugins/*-before.conf

# 3. Regras de Ataque Gerais do OWASP CRS
Include /etc/modsecurity/owasp-crs/rules/*.conf

# 4. Plugins que rodam DEPOIS das regras básicas
Include /etc/modsecurity/owasp-crs/plugins/*-after.conf
</IfModule>
</pre>

3. Valide se a sintaxe estrutural do Apache não possui erros:
<pre>
sudo apache2ctl configtest
</pre>
*Certifique-se de que o comando retorne apenas a mensagem: '''Syntax OK'''.*

4. Reinicie o serviço do Apache se o teste passar com sucesso:
<pre>
sudo systemctl restart apache2
</pre>

=== Passo 6: Integração Automatizada com o Fail2Ban ===
O ModSecurity enviará os alertas de segurança para o arquivo de erros do Apache. O Fail2Ban lerá esse arquivo e bloqueará o IP do atacante diretamente no firewall do Linux após seguidas tentativas de ataque.

1. Abra o arquivo de configuração global do Fail2Ban para definir uma Whitelist e evitar o seu próprio banimento:
<pre>
sudo nano /etc/fail2ban/jail.local
</pre>

2. Localize a seção <code>[DEFAULT]</code> e certifique-se de que a linha <code>ignoreip</code> contenha o IP da sua rede administrativa:
<pre>
[DEFAULT]
ignoreip = 127.0.0.1/8 ::1 SEU_IP_DE_CASA_OU_ESCRITORIO
</pre>

3. Crie um arquivo isolado para a "Jail" (jaula) do ModSecurity:
<pre>
sudo nano /etc/fail2ban/jail.d/apache-modsecurity.conf
</pre>

4. Insira a seguinte regra:
<pre>
[apache-modsecurity]
enabled = true
port = http,https
filter = apache-modsecurity
logpath = /var/log/apache2/error.log
maxretry = 3
findtime = 600
bantime = 3600
</pre>

5. Reinicie o serviço do Fail2Ban para aplicar a nova jaula:
<pre>
sudo systemctl enable fail2ban
sudo systemctl restart fail2ban
</pre>

=== Passo 7: Comandos de Auditoria, Testes e Operação ===

* '''Simular um ataque (WAF e Fail2Ban):''' Execute o comando abaixo a partir de uma máquina externa para validar se o servidor retorna erro 403. Se executado 3 vezes seguidas dentro de 10 minutos, seu IP externo será completamente banido do servidor.
<pre>
curl -I "http://seu-dominio-wordpress.com"
</pre>

* '''Monitorar logs do ModSecurity em tempo real:'''
<pre>
sudo tail -f /var/log/apache2/error.log
</pre>

* '''Verificar os IPs banidos atualmente pelo Fail2Ban:'''
<pre>
sudo fail2ban-client status apache-modsecurity
</pre>

* '''Remover o banimento (Unban) de um IP legítimo pego por engano:'''
<pre>
sudo fail2ban-client set apache-modsecurity unbanip IP_DO_USUARIO
</pre>

@@ Linha 128: / Linha 128: @@
 <pre>
 [DEFAULT]
-ignoreip = 127.0.0.1/8 ::1 SEU_IP_DE_CASA_OU_ESCRITORIO
+ignoreip = 127.0.0.1/8 ::1 200.145.117.0/24 200.145.118.0/24 200.145.119.128/25 200.145.120.0/22
 </pre>

@@ Linha 65: / Linha 65: @@
 . Baixe o código fonte estável diretamente do repositório específico da OWASP:
 <pre>
-sudo wget https://github.com
+baixar o release em https://github.com/coreruleset/wordpress-rule-exclusions-plugin
 </pre>

@@ Linha 40: / Linha 40: @@
 . Faça o download da última release estável do repositório oficial da OWASP:
 <pre>
-sudo wget https://github.com
+baixar o release em https://github.com/coreruleset/coreruleset
 </pre>
 . Extraia o conteúdo baixado e limpe os arquivos temporários:
 <pre>
-sudo tar -xvf v4.9.0.tar.gz
+tar -xvf v4.9.0.tar.gz
-sudo mv coreruleset-4.9.0/* ./
+mv coreruleset-4.9.0/* ./
-sudo rm -rf coreruleset-4.9.0 v4.9.0.tar.gz
+rm -rf coreruleset-4.9.0 v4.9.0.tar.gz
 </pre>

ModSecurity e Fail2ban - Revision history

Guilherme: /* Passo 6: Integração Automatizada com o Fail2Ban */

Guilherme: /* Passo 4: Instalação do Plugin de Exclusão do WordPress */

Guilherme at 20:01, 31 August 2026

Guilherme: Created page with "== Implementação de WAF com ModSecurity (OWASP CRS v4) e Fail2Ban no Debian Linux == Este guia fornece o passo a passo completo para instalar, configurar e hardening de um..."