Включить modsecurity SecRuleEngine On только для определенного каталога

Запуск Apache 2.2.x, modSecurity 2.8.0

Я пытаюсь заставить что-то вроде этого работать:

# Default recommended configuration
  SecRuleEngine DetectionOnly 
# Settings options: DetectionOnly,On,Off
# Only enable full security on candidate facing pages.
  <Location "/PublicApp/CandidatesPortal">
     SecRuleEngine On
  </Location> 

SecEngine всегда остается в режиме обнаружения, хотя даже когда я нажимаю на такие страницы, как http://localhost/PublicApp/CandidatesPortal/MyProfile.cfm

Я также пробовал LocaitonMatch, если это была проблема с конфигурацией apache.

<LocationMatch "CandidatesPortal">

Я вижу множество способов «отключить» его для каждого каталога, но это не то, что я ищу в процессе тестирования.

Нет ли способа увеличить параметр SecRuleEngine для каждого каталога, не добавляя в белый список все, кроме каталога, который я хочу просканировать?

--- Обновление пт, 24 марта в 10:49

Итак, по рекомендации @BazzaDP я изменил конфигурацию, чтобы она выглядела как

LoadFile bin\libxml2.dll
LoadFile bin\pcre.dll
LoadFile bin\libcurl.dll
LoadFile bin\yajl.dll

LoadModule security2_module modules\mod_security2.so

<IfModule !mod_unique_id.c>
     LoadModule unique_id_module modules/mod_unique_id.so
</IfModule>
<IfModule mod_security2.c>
# ModSecurity Core Rules Set configuration
Include conf/modsecurity.d/*.conf
Include conf/modsecurity.d/activated_rules/*.conf

# Default recommended configuration
SecRuleEngine On
# Settings options: DetectionOnly,On,Off
# Only enable full security on candidate facing pages.
SecRule REQUEST_URI "@beginsWith /PublicApp/CandidatesPortal" "phase:1,id:12346,ctl:ruleEngine=On,pass"
SecRule REQUEST_URI "@beginsWith /" "phase:1,id:12345,ctl:ruleEngine=Off,pass"
SecRequestBodyAccess On
SecRule REQUEST_HEADERS:Content-Type "text/xml" \
     "id:'200000',phase:1,t:none,t:lowercase,pass,nolog,ctl:requestBodyProcessor=XML"
SecRequestBodyLimit 13107200
SecRequestBodyNoFilesLimit 131072
SecRequestBodyInMemoryLimit 131072
SecRequestBodyLimitAction Reject
SecRule REQBODY_ERROR "!@eq 0" \
"id:'200001', phase:2,t:none,log,deny,status:400,msg:'Failed to parse request body.',logdata:'%{reqbody_error_msg}',severity:2"
SecRule MULTIPART_STRICT_ERROR "!@eq 0" \
"id:'200002',phase:2,t:none,log,deny,status:44,msg:'Multipart request body \
failed strict validation: \
PE %{REQBODY_PROCESSOR_ERROR}, \
BQ %{MULTIPART_BOUNDARY_QUOTED}, \
BW %{MULTIPART_BOUNDARY_WHITESPACE}, \
DB %{MULTIPART_DATA_BEFORE}, \
DA %{MULTIPART_DATA_AFTER}, \
HF %{MULTIPART_HEADER_FOLDING}, \
LF %{MULTIPART_LF_LINE}, \
SM %{MULTIPART_MISSING_SEMICOLON}, \
IQ %{MULTIPART_INVALID_QUOTING}, \
IP %{MULTIPART_INVALID_PART}, \
IH %{MULTIPART_INVALID_HEADER_FOLDING}, \
FL %{MULTIPART_FILE_LIMIT_EXCEEDED}'"

SecRule MULTIPART_UNMATCHED_BOUNDARY "!@eq 0" \
"id:'200003',phase:2,t:none,log,deny,status:44,msg:'Multipart parser detected a possible unmatched boundary.'"

SecPcreMatchLimit 1000
SecPcreMatchLimitRecursion 1000

SecRule TX:/^MSC_/ "!@streq 0" \
        "id:'200004',phase:2,t:none,deny,msg:'ModSecurity internal error flagged: %{MATCHED_VAR_NAME}'"

SecResponseBodyAccess Off
SecDebugLog logs/modsec_debug.log
SecDebugLogLevel 0
SecAuditEngine RelevantOnly
SecAuditLogRelevantStatus "^(?:5|4(?!04))"
SecAuditLogParts ABIJDEFHZ
SecAuditLogType Serial
SecAuditLog logs/modsec_audit.log
SecArgumentSeparator &
SecCookieFormat 0
SecTmpDir C:\web\Apache2.2\mod_security
SecDataDir C:\web\Apache2.2\mod_security

`

Обратите внимание, мне все еще нужно внести в белый список весь остальной сайт, за исключением того единственного каталога, где я хочу 'ruleEngine = On'.

Исходя из того, что я понимаю, я не могу изменить SecRuleEngine на Off, а затем команду @beginswith включить его динамически.

Кстати, вышеуказанное решение не работает. Что мне еще не хватает? Я явно не понимаю, как работает эта система правил.

Только что попробовал:

SecRule REQUEST_URI "^(?!\/PublicApp\/CandidatesPortal\/).*$" "id:10001,phase:1,allow,log"

который, похоже, тоже не работает.

--- Обновление 2017/3/24 в 16:47.

получил это работает, положив

SecRule REQUEST_HEADERS:REFERER "^(?!.*\/PublicApp\/CandidatesPortal).*$" "id:10001,phase:1,allow"

в новом файле правил под названием

modsecurity_crs_15_customrules.conf