☰

Pontuação de anomalia de segurança de mod no log de auditoria

tag-icon • tag-icon linux apache-2.4 mod-security
Pontuação de anomalia de segurança de mod no log de auditoria

Configurei meu nível de pontuação de anomalia para 8 em meu CRS-setup.conf. Quando reviso meu log de auditoria, vejo a seguinte entrada:

--f0d8a724-H--
Message: Warning. detected XSS using libinjection. [file "/etc/httpd/modsecurity.d/owasp-modsecurity-crs/rules/REQUEST-941-APPLICATION-ATTACK-XSS.conf"] [line "64"] [id "941100"] [rev "2"] [msg "XSS Attack Detected via libinjection"] [data "Matched Data:  found within ARGS:page: /One-Initial-Bordered-Card?cross-sell=1"] [severity "CRITICAL"] [ver "OWASP_CRS/3.0.0"] [maturity "1"] [accuracy "9"] [tag "application-multi"] [tag "language-multi"] [tag "platform-multi"] [tag "attack-xss"] [tag "OWASP_CRS/WEB_ATTACK/XSS"] [tag "WASCTC/WASC-8"] [tag "WASCTC/WASC-22"] [tag "OWASP_TOP_10/A3"] [tag "OWASP_AppSensor/IE1"] [tag "CAPEC-242"]
Apache-Error: [file "apache2_util.c"] [line 271] [level 3] [client %s] ModSecurity: %s%s [uri "%s"]%s
Apache-Handler: application/x-httpd-php
Stopwatch: 1512753208830562 28609 (- - -)
Stopwatch2: 1512753208830562 28609; combined=1561, p1=361, p2=888, p3=55, p4=215, p5=41, sr=54, sw=1, l=0, gc=0

Se eu ativar meu SecRuleEngine em vez de depurar, o evento acima será bloqueado? Estou correto ao presumir, uma vez que esse evento não excedeu a pontuação de anomalia de 8, que teria permitido esta solicitação? Tenho outros eventos em meu log de auditoria que indicam claramente que excedem o limite de 8. Portanto, é justo supor que, a menos que o log de auditoria declare especificamente que excedeu o limite, a solicitação NÃO seria bloqueada?

Se for esse o caso, existe uma maneira de configurar o log de auditoria para registrar apenas eventos que seriam bloqueados no caso de o SecRuleEngine ser ativado? Não quero ver nenhuma correspondência parcial em meu log de auditoria que não exceda os níveis limite.

Responder1

Se eu ativar meu SecRuleEngine em vez de depurar, o evento acima será bloqueado? Estou correto ao presumir, uma vez que esse evento não excedeu a pontuação de anomalia de 8, que teria permitido esta solicitação? Tenho outros eventos em meu log de auditoria que indicam claramente que excedem o limite de 8. Portanto, é justo supor que, a menos que o log de auditoria declare especificamente que excedeu o limite, a solicitação NÃO seria bloqueada?

Sim, está correto.

Se for esse o caso, existe uma maneira de configurar o log de auditoria para registrar apenas eventos que seriam bloqueados no caso de o SecRuleEngine ser ativado? Não quero ver nenhuma correspondência parcial em meu log de auditoria que não exceda os níveis limite.

Não, não há. E esta é uma das principais razões pelas quais não gosto da pontuação do modo de anomalia. Mesmo depois de ligá-lo, você verá esse ruído. A única maneira de saber se um ataque será bloqueado é se a verificação de anomalia for executada no final (IDs de regra 949110 - 949118) disparada.

informação relacionada