HƯỚNG DẪN QUẢN LÝ MODSECURITY WAF TRÊN VPANEL

ModSecurity là Web Application Firewall (WAF) mã nguồn mở, tích hợp sẵn trong OpenLiteSpeed để chặn các cuộc tấn công ở tầng HTTP: SQL injection, XSS, LFI, RFI, path traversal, bot độc hại và các mẫu tấn công OWASP Top 10. vPanel đóng gói sẵn OWASP Core Rule Set (CRS) và cung cấp giao diện đồ họa để bật/tắt toàn server, quản lý từng rule, xem audit log và ghi đè cấu hình cho từng domain.

---

1. Truy cập trang quản lý ModSecurity

Đăng nhập Admin Panel trên cổng :2087. Ở thanh menu trái, mở Security và nhấn ModSecurity WAF.

Tổng quan giao diện

Bật / tắt ModSecurity

• Bật công tắc Master Switch sang On để kích hoạt WAF cho toàn bộ domain.
• Nếu một domain gặp false positive, hãy chuyển tạm sang DetectionOnly để chỉ ghi log mà không chặn traffic thật.
• Nhấn Save & Reload — vPanel ghi cấu hình mới và reload OpenLiteSpeed.

Cấu hình khởi đầu khuyến nghị: Engine = On, Paranoia = 1. Nâng paranoia sau khi đã theo dõi log ít nhất một tuần.

---

2. Quản lý các Rule WAF

Mở tab Rules để xem toàn bộ danh sách rule.

Bảng Rule

Tắt một Rule

Khi một rule liên tục kích hoạt trên traffic hợp lệ:

1. Mở Details để đọc mô tả và hiểu rule khớp mẫu nào.
2. Kiểm tra audit log (mục 3) để xác nhận request là hợp lệ.
3. Tắt công tắc Status trên hàng của rule đó.
4. Nhấn Save & Reload để áp dụng.

Tắt rule cốt lõi làm giảm mức bảo vệ. Nên ưu tiên whitelist URI hoặc tham số cụ thể thay vì tắt rule toàn server.

Lọc

Dùng ô Search để lọc theo rule ID hoặc từ khóa. Kết hợp với dropdown Category để xem tất cả rule cùng nhóm.

---

3. Xem Audit Log

Mở tab Audit Log để xem các request đã được ModSecurity ghi nhận hoặc chặn.

Bảng log

Lọc log

• Timeframe: 1 giờ, 24 giờ, 7 ngày, hoặc tùy chỉnh.
• Domain: chỉ hiển thị sự kiện của một domain.
• Action: chỉ lọc sự kiện blocked.
• Source IP: truy vết một IP đáng ngờ.

Phân tích sự kiện

Nhấn Details để xem:

• Full request — headers, body và query string.
• Matched rule — nội dung rule và payload bị match.
• Response action — HTTP status trả về client (thường là 403).

Dựa vào đó bạn quyết định: whitelist URI, tắt rule, hoặc chặn IP ở tầng firewall (CSF).

---

4. Ghi đè cấu hình theo Domain

Mở tab Per-Domain Settings để cấu hình ModSecurity riêng cho từng website.

Các chế độ

Ngoại lệ theo Domain

Với mỗi domain, bạn có thể thêm các rule ID vào Ignore List — các rule này sẽ không kích hoạt trên domain đó nhưng vẫn hoạt động ở các domain khác. Định dạng: mỗi rule một dòng, ví dụ:

CodeCopy
941100
942200
949110

Nhấn Save & Reload để áp dụng.

Khi thêm ngoại lệ, hãy ghi lý do vào ô Notes để admin sau này biết vì sao rule bị bỏ qua.

---

5. Xử lý sự cố

---

Chúc bạn quản trị Server an toàn và hiệu quả!