ModSecurity

Un ModSecurity log viewer per l’audit log

ModSecurity con l’OWASP Core Rule Set blocca moltissimo, e scrive di quasi tutto in un audit log il cui formato è pensato per le macchine. Questa pagina ne ricava qualcosa di leggibile: quali richieste sono state bloccate, quale regola è scattata, quale fosse il punteggio di anomalia e da dove arrivasse la richiesta.

Il motivo per guardarci con regolarità sono i falsi positivi. Il Core Rule Set è volutamente severo e, al livello di paranoia predefinito, blocca traffico legittimo nella maggior parte delle applicazioni reali: caricamenti di file, editor di testo formattato e tutto ciò che invia markup o stringhe simili a SQL sono le vittime abituali. Lo schema da riconoscere è lo stesso ID di regola che scatta ripetutamente sullo stesso endpoint da molti indirizzi diversi. Non è un attacco: è la vostra applicazione che viene intercettata.

Quando lo trovate, tenete stretta l’eccezione: escludete quella regola precisa per quel parametro preciso su quel percorso preciso, non l’intera regola e tanto meno l’intera categoria. La pagina elenca anche il set di regole attivo, per verificare dopo una modifica che cosa sia effettivamente caricato.