☰

Оценка аномалий безопасности модов в журнале аудита

tag-icon • tag-icon linux apache-2.4 mod-security
Оценка аномалий безопасности модов в журнале аудита

Я установил уровень оценки аномалии на 8 в файле CRS-setup.conf. При просмотре журнала аудита я вижу следующую запись:

--f0d8a724-H--
Message: Warning. detected XSS using libinjection. [file "/etc/httpd/modsecurity.d/owasp-modsecurity-crs/rules/REQUEST-941-APPLICATION-ATTACK-XSS.conf"] [line "64"] [id "941100"] [rev "2"] [msg "XSS Attack Detected via libinjection"] [data "Matched Data:  found within ARGS:page: /One-Initial-Bordered-Card?cross-sell=1"] [severity "CRITICAL"] [ver "OWASP_CRS/3.0.0"] [maturity "1"] [accuracy "9"] [tag "application-multi"] [tag "language-multi"] [tag "platform-multi"] [tag "attack-xss"] [tag "OWASP_CRS/WEB_ATTACK/XSS"] [tag "WASCTC/WASC-8"] [tag "WASCTC/WASC-22"] [tag "OWASP_TOP_10/A3"] [tag "OWASP_AppSensor/IE1"] [tag "CAPEC-242"]
Apache-Error: [file "apache2_util.c"] [line 271] [level 3] [client %s] ModSecurity: %s%s [uri "%s"]%s
Apache-Handler: application/x-httpd-php
Stopwatch: 1512753208830562 28609 (- - -)
Stopwatch2: 1512753208830562 28609; combined=1561, p1=361, p2=888, p3=55, p4=215, p5=41, sr=54, sw=1, l=0, gc=0

Если я включу SecRuleEngine вместо отладки, будет ли заблокировано вышеуказанное событие? Правильно ли я предполагаю, что, поскольку это событие не превысило оценку аномалии 8, оно разрешит этот запрос? У меня есть другие события в моем журнале аудита, которые четко указывают, что они превышают порог 8, поэтому справедливо ли предположение, что если только в журнале аудита специально не указано, что он превысил порог, запрос НЕ будет заблокирован?

Если это так, есть ли способ настроить журнал аудита так, чтобы он регистрировал только события, которые будут заблокированы в случае включения SecRuleEngine? Я не хочу видеть в журнале аудита частичные совпадения, которые не превышают пороговые уровни.

решение1

Если я включу SecRuleEngine вместо отладки, будет ли заблокировано вышеуказанное событие? Правильно ли я предполагаю, что, поскольку это событие не превысило оценку аномалии 8, оно разрешит этот запрос? У меня есть другие события в моем журнале аудита, которые четко указывают, что они превышают порог 8, поэтому справедливо ли предположение, что если только в журнале аудита специально не указано, что он превысил порог, запрос НЕ будет заблокирован?

Да это верно.

Если это так, есть ли способ настроить журнал аудита так, чтобы он регистрировал только события, которые будут заблокированы в случае включения SecRuleEngine? Я не хочу видеть в журнале аудита частичные совпадения, которые не превышают пороговые уровни.

Нет, не так. И это одна из главных причин, по которой мне не нравится подсчет очков в режиме аномалий. Даже если вы включите его, вы увидите этот шум. Единственный способ узнать, будет ли заблокирована атака, — это запустить ли проверку аномалий в конце (идентификаторы правил 949110 - 949118) fire.

Связанный контент