해시 방어를 구현하기 위한 ModSecurity 지시자와 규칙

암호화 해시 토큰을 이용해 데이터 조작 방지

데이터 조작 공격을 방지하기 위해 ModSecurity를 이용해 아웃바운드 HTML 데이터에

추가적인 해시 토큰을 구현하는 방법을 사용한다.

 

웹개발자는 데이터 조작을 방지하기 위해 웹 브라우저의 보안에 의존할 수 없다.

 

해시 방어를 구현하기 위한 ModSecurity의 지시자와 규칙에는 몇가지 예시가 있는데

이에 대해 알아보았다.

 

첫 번째 지시자는 리버스 프락시 설정일 경우에만 필요하다.

=>응답 데이터를 gzip형식으로 압축할 경우에만 사용

=>응답 HTML 데이터를 파싱하고 수정하는데 필요

 

ModSecurity는 기본적으로 트랙잭션 데이터를 메모리에 복사하고

실제 연결을 버퍼링하는 동안 검사한다.

 

하지만 다음 두 지시자는 동시에 사용되며 새롭게 교체될 수 있다.

 

그 다음의 네개의 지시자들은 기본적인 설정을 구성한다.

마지막 지시자는 해시 토큰의 유효성을 검증하고 규칙을 확인한다.

 

해시 토큰 불일치와 해시 토큰 누락 공격에 대해서도 알아볼 필요가 있다.

---

출처: ModSecurity를 활용한 웹 애플리케이션 방어 레시피_라이언 바넷 지음