CRS-setup.conf 内で異常スコアリング レベルを 8 に設定しました。監査ログを確認すると、次のエントリが表示されます。
--f0d8a724-H--
Message: Warning. detected XSS using libinjection. [file "/etc/httpd/modsecurity.d/owasp-modsecurity-crs/rules/REQUEST-941-APPLICATION-ATTACK-XSS.conf"] [line "64"] [id "941100"] [rev "2"] [msg "XSS Attack Detected via libinjection"] [data "Matched Data: found within ARGS:page: /One-Initial-Bordered-Card?cross-sell=1"] [severity "CRITICAL"] [ver "OWASP_CRS/3.0.0"] [maturity "1"] [accuracy "9"] [tag "application-multi"] [tag "language-multi"] [tag "platform-multi"] [tag "attack-xss"] [tag "OWASP_CRS/WEB_ATTACK/XSS"] [tag "WASCTC/WASC-8"] [tag "WASCTC/WASC-22"] [tag "OWASP_TOP_10/A3"] [tag "OWASP_AppSensor/IE1"] [tag "CAPEC-242"]
Apache-Error: [file "apache2_util.c"] [line 271] [level 3] [client %s] ModSecurity: %s%s [uri "%s"]%s
Apache-Handler: application/x-httpd-php
Stopwatch: 1512753208830562 28609 (- - -)
Stopwatch2: 1512753208830562 28609; combined=1561, p1=361, p2=888, p3=55, p4=215, p5=41, sr=54, sw=1, l=0, gc=0
SecRuleEngine をデバッグではなくオンに切り替えた場合、上記のイベントはブロックされますか? そのイベントが異常スコア 8 を超えなかったため、このリクエストが許可されたと想定してよいでしょうか? 監査ログには、しきい値 8 を超えたことが明確に示されている他のイベントがあります。したがって、監査ログにしきい値を超えたことが明確に示されていない限り、リクエストはブロックされないと想定するのは妥当でしょうか?
その場合、SecRuleEngine がオンに設定されている場合にブロックされるイベントのみをログに記録するように監査ログを構成する方法はありますか? しきい値レベルを超えない部分的な一致は監査ログに表示したくありません。
答え1
SecRuleEngine をデバッグではなくオンに切り替えた場合、上記のイベントはブロックされますか? そのイベントが異常スコア 8 を超えなかったため、このリクエストが許可されたと想定してよいでしょうか? 監査ログには、しきい値 8 を超えたことが明確に示されている他のイベントがあります。したがって、監査ログにしきい値を超えたことが明確に示されていない限り、リクエストはブロックされないと想定するのは妥当でしょうか?
はい、その通りです。
その場合、SecRuleEngine がオンに設定されている場合にブロックされるイベントのみをログに記録するように監査ログを構成する方法はありますか? しきい値レベルを超えない部分的な一致は監査ログに表示したくありません。
いいえ、ありません。これが、私が異常モードのスコアリングを嫌う主な理由の 1 つです。一度オンにしても、このノイズが表示されます。攻撃がブロックされるかどうかを知る唯一の方法は、最後に異常チェックが実行されるかどうかです (ルール ID 949110 - 949118)。