ModSecurity

En ModSecurity log viewer for revisjonsloggen

ModSecurity med OWASP Core Rule Set blokkerer svært mye, og skriver om nesten alt av det til en revisjonslogg hvis format er laget for maskiner. Denne siden gjør det om til noe lesbart: hvilke forespørsler som ble blokkert, hvilken regel som slo til, hva anomalipoengsummen var og hvor forespørselen kom fra.

Grunnen til å se hit jevnlig er falske positiver. Core Rule Set er bevisst strengt og blokkerer på standardnivået legitim trafikk i de fleste virkelige applikasjoner: filopplastinger, redigeringsverktøy med formatert tekst og alt som sender markup eller SQL-liknende strenger er de vanlige ofrene. Mønsteret å kjenne igjen er samme regel-ID som slår til gang på gang mot samme endepunkt fra mange forskjellige adresser. Det er ikke et angrep, det er din egen applikasjon som blir tatt.

Hold unntaket smalt når du finner et: utelat akkurat den regelen for akkurat den parameteren på akkurat den stien, aldri hele regelen og enda mindre hele kategorien. Siden lister også det aktive regelsettet, slik at du etter en endring kan bekrefte hva som faktisk er lastet inn.