ModSecurity

ModSecurity log viewer за одитния журнал

ModSecurity с OWASP Core Rule Set блокира извънредно много и пише за почти всичко от това в одитен журнал, чийто формат е направен за машини. Тази страница го превръща в нещо четимо: кои заявки са били блокирани, кое правило се е задействало, каква е била оценката за аномалия и откъде е дошла заявката.

Причината да се наднича тук редовно са фалшивите положителни резултати. Core Rule Set е нарочно строг и при подразбиращото се ниво на параноя блокира законен трафик в повечето реални приложения: качванията на файлове, редакторите с форматиран текст и всичко, което изпраща маркиране или низове, наподобяващи SQL, са обичайните жертви. Моделът, който трябва да разпознаете, е един и същ идентификатор на правило, задействащ се отново и отново на една и съща крайна точка от много различни адреси. Това не е атака, а собственото ви приложение, което бива хванато.

Когато намерите такъв случай, дръжте изключението тясно: изключете точно това правило за точно този параметър на точно този път, никога цялото правило и още по-малко цялата категория. Страницата изброява и активния набор от правила, за да потвърдите след промяна какво наистина е заредено.