ニュースのポイント
- ModSecurityはwebserver/LCP.jsonのLCP_WEBSERVER_MODSECURITYにOff・DetectionOnly・Onを指定して有効にする。まずDetectionOnlyで始め、チューニング後にOnへ移行することが推奨されている。独自のmodsecurity.confを置くと既定設定が置き換わるため、必要な設定をすべて含める必要がある。
- コンテナは入れ替わり得るため、SecAuditLogは/dev/stdoutにしてLiferay Cloud Consoleへ流す。SecAuditEngineはRelevantOnlyにして警告・エラー等のみ記録し、SecAuditLogPartsからレスポンスボディを記録するEを外すとログ量を抑えられる（著者の事例）。
- NginxのerrorログにModSecurityのMatchedメッセージが出るため、error_log /dev/stdout warnを設定する。Cloud Consoleのログ保持は30日で、長期保存にはlcp logコマンドで定期的にダウンロードする運用が紹介されている。
編集部コメント
記事の出発点となる設定例（SecAuditEngine RelevantOnly、SecAuditLogParts ABIJDFHZK、SecAuditLog /dev/stdout、SecDebugLogLevel 3など）が示されています。Eを外してもレスポンスボディの検査自体が止まるわけではない（SecResponseBodyAccessで制御）点は注意が必要です。
WAFをいきなり有効化せず、まず検知のみで運用してログを確認する、という進め方はPaaS以外でも参考になります。
出典：liferay.dev（David H Nebinger、2026年8月18日）（この記事は出典をもとに編集部が要約・解説したものです。詳細は原文をご確認ください。）