ModSecurity

Ένα ModSecurity log viewer για το αρχείο ελέγχου

Το ModSecurity με το OWASP Core Rule Set μπλοκάρει πάρα πολλά και γράφει για σχεδόν όλα σε ένα αρχείο ελέγχου του οποίου η μορφή φτιάχτηκε για μηχανές. Η σελίδα το μετατρέπει σε κάτι αναγνώσιμο: ποια αιτήματα μπλοκαρίστηκαν, ποιος κανόνας ενεργοποιήθηκε, ποια ήταν η βαθμολογία ανωμαλίας και από πού ήρθε το αίτημα.

Ο λόγος να κοιτάτε εδώ τακτικά είναι τα ψευδώς θετικά. Το Core Rule Set είναι σκόπιμα αυστηρό και στο προεπιλεγμένο επίπεδο μπλοκάρει νόμιμη κίνηση στις περισσότερες πραγματικές εφαρμογές: οι αποστολές αρχείων, οι επεξεργαστές μορφοποιημένου κειμένου και οτιδήποτε στέλνει σήμανση ή συμβολοσειρές που μοιάζουν με SQL είναι τα συνήθη θύματα. Το μοτίβο που πρέπει να αναγνωρίσετε είναι το ίδιο αναγνωριστικό κανόνα να ενεργοποιείται ξανά και ξανά στο ίδιο σημείο, από πολλές διαφορετικές διευθύνσεις. Δεν πρόκειται για επίθεση: πρόκειται για τη δική σας εφαρμογή που πιάνεται.

Όταν βρείτε τέτοια περίπτωση, κρατήστε την εξαίρεση στενή: αποκλείστε ακριβώς αυτόν τον κανόνα για ακριβώς αυτή την παράμετρο σε ακριβώς αυτή τη διαδρομή, ποτέ ολόκληρο τον κανόνα και ακόμη λιγότερο ολόκληρη την κατηγορία. Η σελίδα παραθέτει και το ενεργό σύνολο κανόνων, ώστε μετά από μια αλλαγή να επιβεβαιώσετε τι είναι πράγματι φορτωμένο.