ModSecurity

Un ModSecurity log viewer para el registro de auditoría

ModSecurity con el OWASP Core Rule Set bloquea muchísimo, y escribe sobre casi todo ello en un registro de auditoría con un formato pensado para máquinas. Esta página lo convierte en algo legible: qué peticiones se bloquearon, qué regla se disparó, cuál fue la puntuación de anomalía y de dónde venía la petición.

El motivo para mirar aquí con regularidad son los falsos positivos. El Core Rule Set es deliberadamente estricto y, con el nivel de paranoia por defecto, bloqueará tráfico legítimo en la mayoría de aplicaciones reales: las subidas de archivos, los editores de texto enriquecido y todo lo que envíe marcado o cadenas parecidas a SQL son las víctimas habituales. El patrón a detectar es el mismo identificador de regla disparándose una y otra vez contra el mismo endpoint desde muchas direcciones distintas. Eso no es un ataque: es su propia aplicación siendo atrapada.

Cuando lo encuentre, ponga la excepción estrecha: excluya esa regla concreta para ese parámetro concreto en esa ruta concreta, no la regla entera y desde luego no la categoría completa. La página también lista el conjunto de reglas activo, para confirmar qué está cargado realmente tras un cambio.