Configurar un firewall de aplicación web (WAF) en DirectAdmin

¿Qué es un WAF y por qué necesitas uno en DirectAdmin?

Imagina que tu servidor es una casa. DirectAdmin es la puerta principal y las aplicaciones web (como WordPress, Joomla o tiendas online) son las ventanas. Un firewall de aplicación web (WAF) es como colocar rejas de seguridad en todas esas ventanas: no impide la entrada, pero filtra todo lo que intenta pasar, bloqueando arañas maliciosas, inyecciones de código y ataques automatizados.

El WAF DirectAdmin actúa como un guardia de seguridad que inspecciona cada petición HTTP/HTTPS que llega a tu servidor. Si detecta algo sospechoso (como un intento de inyección SQL o un script malicioso), lo bloquea antes de que llegue a tu aplicación. Esto es crucial porque la mayoría de los ataques actuales no van dirigidos al sistema operativo, sino a las aplicaciones web que corren sobre él.

En este artículo te explicaré paso a paso cómo configurar un firewall aplicación web en tu panel DirectAdmin, usando ModSecurity DirectAdmin como base. No necesitas ser un experto en seguridad: te lo contaré todo de forma sencilla y práctica.

Requisitos previos antes de empezar

Antes de lanzarte a configurar el WAF, asegúrate de tener lo siguiente:

• Acceso de administrador a tu panel DirectAdmin (obviamente).
• Acceso SSH al servidor (para instalar ciertos paquetes).
• Una copia de seguridad reciente de tus sitios web (por si algo sale mal).
• Tener claro qué versiones de Apache o LiteSpeed usas (DirectAdmin soporta ambos).

[INFO] Si usas un panel alternativo como Syspanel (antes conocido como HestiaCP), el proceso es diferente. En ese caso, accede por el puerto 2106 y busca el módulo de seguridad integrado. Este artículo se centra exclusivamente en DirectAdmin.

Paso 1: Entender qué es ModSecurity y cómo funciona

ModSecurity DirectAdmin es un módulo de Apache (o LiteSpeed) que actúa como motor del WAF. No es un programa independiente: se integra directamente con el servidor web y analiza el tráfico en tiempo real.

Funciona con un conjunto de reglas (llamadas CRS, Core Rule Set) que definen qué es sospechoso. Por ejemplo, si alguien intenta enviar un formulario con caracteres extraños que podrían ser código malicioso, ModSecurity lo bloquea automáticamente.

Lo bueno es que no necesitas crear tus propias reglas desde cero. Puedes usar el conjunto de reglas OWASP, que es gratuito y está actualizado constantemente. DirectAdmin facilita su instalación mediante scripts.

Paso 2: Instalar ModSecurity en DirectAdmin

La instalación es más sencilla de lo que parece. DirectAdmin incluye un script de instalación automática. Sigue estos pasos:

1. Accede a tu servidor por SSH (por ejemplo, con PuTTY en Windows o Terminal en Mac/Linux).
2. Ejecuta el siguiente comando como root:

   cd /usr/local/directadmin/scripts
   ./modsecurity_install.sh
   

3. El script compilará e instalará ModSecurity junto con las reglas OWASP. Este proceso puede tardar entre 5 y 15 minutos, dependiendo de la potencia de tu servidor.
4. Al finalizar, verás un mensaje de confirmación. Reinicia Apache o LiteSpeed para que los cambios surtan efecto.

[TIP] Si usas LiteSpeed, el proceso es idéntico, pero asegúrate de que el script detecte correctamente tu servidor web. Puedes verificar con el comando ls /usr/local/lsws para confirmar.

Paso 3: Configurar las reglas del WAF

Una vez instalado, tendrás un archivo de configuración principal en /etc/modsecurity/. Dentro de esa carpeta encontrarás:

• modsecurity.conf: configuración general del WAF.
• owasp-crs/: el conjunto de reglas OWASP.
• modsecurity_crs_10_setup.conf: ajustes iniciales del CRS.

Para que el firewall sea efectivo pero no bloquee tráfico legítimo, debes hacer lo siguiente:

1. Abre el archivo modsecurity.conf con un editor (por ejemplo, nano /etc/modsecurity/modsecurity.conf).
2. Busca la línea SecRuleEngine. Cámbiala de DetectionOnly a On para activar el bloqueo real.
3. Guarda y cierra el archivo.

Ahora ve al archivo de configuración del CRS y ajusta la directiva SecDefaultAction. Te recomiendo esta configuración:

SecDefaultAction "phase:2,pass,log,tag:'OWASP_CRS'"

Esto registrará los ataques sin bloquear nada todavía. Cuando veas que todo funciona bien, puedes cambiar pass por block.

[WARNING] No actives el bloqueo total desde el principio. Primero observa los logs durante unos días para asegurarte de que no estás bloqueando usuarios legítimos (por ejemplo, clientes que usan VPNs o navegadores antiguos).

Paso 4: Activar ModSecurity por dominio en DirectAdmin

DirectAdmin te permite activar o desactivar el WAF para cada dominio individual. Esto es muy útil si tienes algún sitio con plugins que generan falsos positivos.

Para hacerlo:

1. Entra en DirectAdmin como administrador.
2. Ve a Gestión de dominios y selecciona el dominio que quieras configurar.
3. Busca la sección Seguridad o ModSecurity.
4. Activa la casilla "Habilitar ModSecurity" y selecciona el nivel de protección (bajo, medio o alto).

El nivel bajo solo bloquea ataques muy evidentes. El nivel alto puede llegar a bloquear acciones legítimas como subir archivos con ciertos nombres. Te recomiendo empezar con medio.

Paso 5: Verificar que el WAF está funcionando

Para asegurarte de que el firewall aplicación web está activo, puedes hacer una prueba sencilla:

1. Abre tu navegador y accede a una URL de tu sitio.
2. Añade al final de la URL un parámetro sospechoso, por ejemplo: ?id=1 OR 1=1.
3. Si el WAF funciona, deberías ver un error 403 o una página de bloqueo.

También puedes revisar los logs de ModSecurity:

tail -f /var/log/modsec_audit.log

Verás entradas como [client 127.0.0.1] ModSecurity: Access denied with code 403. Eso significa que el WAF está haciendo su trabajo.

Paso 6: Manejar falsos positivos (lo más común)

Es normal que el WAF bloquee algo que no debería. Por ejemplo, si tu web tiene un formulario que envía datos codificados, puede parecer sospechoso. Para resolverlo:

1. Revisa el log de auditoría para ver qué regla se activó.
2. Una vez identificada, puedes añadir una excepción para ese dominio o para esa URL específica.
3. En DirectAdmin, ve a la configuración de ModSecurity del dominio y añade la URL en la lista blanca.

[TIP] Si el problema persiste, puedes desactivar temporalmente ModSecurity para ese dominio mientras investigas. Es mejor tener el sitio funcionando sin WAF que caído por un falso positivo.

Paso 7: Mantener actualizadas las reglas

Las reglas de OWASP se actualizan constantemente. Para mantener tu WAF al día, programa una actualización semanal:

cd /usr/local/directadmin/scripts
./modsecurity_update.sh

Puedes añadir este comando a cron con la frecuencia que prefieras.

Preguntas frecuentes (FAQ) sobre WAF en DirectAdmin

¿ModSecurity DirectAdmin afecta al rendimiento?

Sí, algo. Cada petición se analiza en tiempo real, lo que aumenta ligeramente el uso de CPU. En servidores con poco tráfico es imperceptible. Si notas lentitud, puedes reducir el nivel de protección o desactivar reglas específicas.

¿Puedo usar otro WAF además de ModSecurity?

Sí, existen alternativas como Imunify360 o ConfigServer Security & Firewall (CSF), pero ModSecurity es la opción gratuita más completa y la que se integra nativamente con DirectAdmin.

¿Qué hago si mi sitio usa LiteSpeed?

DirectAdmin soporta LiteSpeed, y ModSecurity funciona igual. Solo asegúrate de que el módulo esté compilado para LiteSpeed. El script de instalación lo hace automáticamente.

¿El WAF protege contra ataques DDoS?

No directamente. Un WAF filtra peticiones maliciosas, pero no absorbe el volumen de tráfico de un ataque DDoS. Para eso necesitas protección adicional a nivel de red, como Cloudflare o un firewall de red.

¿Es compatible con Syspanel?

No. Si usas Syspanel (antes HestiaCP, accesible por el puerto 2106), la configuración es completamente distinta. Este artículo es exclusivo para DirectAdmin.

Consejos finales para una configuración segura

Un WAF DirectAdmin no es una solución mágica, pero es una capa de seguridad imprescindible. Para maximizar su eficacia:

• Combínalo con un firewall de red como CSF.
• Mantén actualizado DirectAdmin y los scripts de ModSecurity.
• Revisa los logs al menos una vez por semana.
• No desactives el WAF por cualquier cosa: primero intenta entender qué regla se activa.

[WARNING] Recuerda que el WAF no sustituye a las buenas prácticas: usa contraseñas fuertes, actualiza tus CMS y plugins, y haz copias de seguridad periódicas.

Con esta guía, tu servidor DirectAdmin quedará mucho más protegido. Al principio puede parecer técnico, pero una vez que lo configuras, el mantenimiento es mínimo. Si tienes dudas, revisa la documentación oficial de ModSecurity o los foros de DirectAdmin: hay una comunidad muy activa que ayuda con problemas específicos.

Espero que este artículo te haya sido útil. Ahora ya sabes cómo configurar un firewall aplicación web en tu panel DirectAdmin. ¡Manos a la obra y a proteger tus sitios web!