☰

Puntuación de anomalías de seguridad del mod en el registro de auditoría

tag-icon • tag-icon linux apache-2.4 mod-security
Puntuación de anomalías de seguridad del mod en el registro de auditoría

He configurado mi nivel de puntuación de anomalía en 8 en CRS-setup.conf. Cuando reviso mi registro de auditoría, veo la siguiente entrada:

--f0d8a724-H--
Message: Warning. detected XSS using libinjection. [file "/etc/httpd/modsecurity.d/owasp-modsecurity-crs/rules/REQUEST-941-APPLICATION-ATTACK-XSS.conf"] [line "64"] [id "941100"] [rev "2"] [msg "XSS Attack Detected via libinjection"] [data "Matched Data:  found within ARGS:page: /One-Initial-Bordered-Card?cross-sell=1"] [severity "CRITICAL"] [ver "OWASP_CRS/3.0.0"] [maturity "1"] [accuracy "9"] [tag "application-multi"] [tag "language-multi"] [tag "platform-multi"] [tag "attack-xss"] [tag "OWASP_CRS/WEB_ATTACK/XSS"] [tag "WASCTC/WASC-8"] [tag "WASCTC/WASC-22"] [tag "OWASP_TOP_10/A3"] [tag "OWASP_AppSensor/IE1"] [tag "CAPEC-242"]
Apache-Error: [file "apache2_util.c"] [line 271] [level 3] [client %s] ModSecurity: %s%s [uri "%s"]%s
Apache-Handler: application/x-httpd-php
Stopwatch: 1512753208830562 28609 (- - -)
Stopwatch2: 1512753208830562 28609; combined=1561, p1=361, p2=888, p3=55, p4=215, p5=41, sr=54, sw=1, l=0, gc=0

Si enciendo mi SecRuleEngine en lugar de depurarlo, ¿se bloqueará el evento anterior? ¿Estoy en lo cierto al suponer que, dado que ese evento no superó la puntuación de anomalía de 8, habría permitido esta solicitud? Tengo otros eventos en mi registro de auditoría que indican claramente que exceden el umbral de 8, entonces, ¿es una suposición justa que, a menos que el registro de auditoría indique específicamente que excedió el umbral, la solicitud NO se bloqueará?

Si ese es el caso, ¿hay alguna manera de configurar el registro de auditoría para registrar solo eventos que se bloquearían en caso de que SecRuleEngine esté activado? No quiero ver ninguna coincidencia parcial en mi registro de auditoría que no supere los niveles de umbral.

Respuesta1

Si enciendo mi SecRuleEngine en lugar de depurarlo, ¿se bloqueará el evento anterior? ¿Estoy en lo cierto al suponer que, dado que ese evento no superó la puntuación de anomalía de 8, habría permitido esta solicitud? Tengo otros eventos en mi registro de auditoría que indican claramente que exceden el umbral de 8, entonces, ¿es una suposición justa que, a menos que el registro de auditoría indique específicamente que excedió el umbral, la solicitud NO se bloqueará?

Si, eso es correcto.

Si ese es el caso, ¿hay alguna manera de configurar el registro de auditoría para registrar solo eventos que se bloquearían en caso de que SecRuleEngine esté activado? No quiero ver ninguna coincidencia parcial en mi registro de auditoría que no supere los niveles de umbral.

No no hay. Y esta es una de las principales razones por las que no me gusta la puntuación en modo anomalía. Incluso una vez que lo enciendas verás este ruido. La única forma de saber si un ataque será bloqueado es si se ejecuta la verificación de anomalías al final (ID de regla 949110 - 949118).

información relacionada