我有我的Apache安装在Nginx后面。 所以每一个进来的请求都是由Nginx首先处理的。 如果有需要的dynamic内容请求被发送到在端口8080监听的Apache。
很基本的反向代理设置。
现在使用这个设置，第一个入口点是Nginx。 是否仍然需要安装ModSecurity来保护Apache免受不必要的请求。
或者我应该专注于保护Nginx，因为这是第一个入口点。
所有的build议都欢迎。
我想说的是尽可能地强化NginX，如果你的站点正在托pipe可以由最终用户贡献的任何types的web应用或dynamic内容（比如注释），那么在Apache服务器上使用ModSecurity是的。 如果你的网站有表格，那么ModSecurity是一个好主意。
ModSecurity并不保护Apache。 它保护webapps和forms，它是从剥削服务。 所以它的目的是帮助保护网站免受XSS ， SQL注入和CSRF / XSRF攻击。
你的主要焦点应该是应用程序本身。 像Nginx和mod_security这样的东西是有用的插件，也许是第一道防线，但是如果你的web应用程序有明显的漏洞，它们什么也不能做。