Назад | Перейти на главную страницу

mod_security RBL - явное ложное срабатывание

Я борюсь с правилом RBL в mod_security под apache 2.2, которое, кажется, дает мне ложное срабатывание. В журнале аудита я вижу следующее (IP-адрес удален):

Сообщение: поиск RBL 4.3.2.1.sbl-xbl.spamhaus.org на REMOTE_ADDR завершился успешно. [файл "/etc/httpd/modsecurity.d/activated_rules/modsecurity_crs_42_comment_spam.conf"] [строка «21»] [идентификатор «981138»] [сообщение «Соответствие RBL для источника спама»] [серьезность «КРИТИЧЕСКИЙ»] [тег » АВТОМАТИЗАЦИЯ / ВРЕДОНОСНЫЙ "]

Меня сводит с ума то, что если я nslookup по имени, указанному в сообщении журнала, я получаю результат, что его не существует. Что, как я понимаю, означает, что этого адреса нет в списке. Так почему же mod_security пользуется успехом?

Я также использовал службу поиска в spamhaus, чтобы убедиться, что IP-адрес не внесен в черный список.

Что мне не хватает? Такое ощущение, что что-то кешируется, но я не могу понять, где.

Немного подробнее: изначально хост использовал DNS-сервер, который (полезно) возвращал адреса, даже если поиск не удался. Я переключил конфигурацию на использование серверов Google (8.8.8.8 и 8.8.4.4) и теперь host и nslookup работать как я ожидаю. Я перезагрузил сервер, поэтому теоретически в памяти нет кеша. Я также убедился, что файлы данных mod_security, которые будут сохранять IP-адрес, очищены. Я знаю, что это работает, так как первоначальный поиск адреса отображается, как указано выше, а последующие после первоначального ложного успеха показывают адрес как известный адрес для СПАМА.

Рассматриваемое правило:

SecRule REMOTE_ADDR "@rbl sbl-xbl.spamhaus.org" \
"phase:1,id:'981138',t:none,pass,nolog,auditlog,msg:'RBL Match for SPAM Source',\
tag:'AUTOMATION/MALICIOUS',severity:'2',setvar:'tx.msg=%{rule.msg}',\
setvar:tx.automation_score=+%{tx.warning_anomaly_score},\
setvar:tx.anomaly_score=+%{tx.warning_anomaly_score},\
setvar:tx.%{rule.id}-AUTOMATION/MALICIOUS-%{matched_var_name}=%{matched_var},\
setvar:ip.spammer=1,expirevar:ip.spammer=86400,setvar:ip.previous_rbl_check=1,\
expirevar:ip.previous_rbl_check=86400,skipAfter:END_RBL_CHECK"

Я больше не вижу этой проблемы и подозреваю, что знаю причину.

  1. Сервер имен был настроен для поиска имен в mydomain.com с помощью параметра «поиск» в /etc/resolv.conf
  2. У меня была запись DNS с подстановочными знаками для * .mydomain.com, возвращающая IP-адрес

(1) остается верным, но я удалил запись DNS с подстановочными знаками, поэтому теперь поиск example.com больше не будет приводить к совпадению на example.com.mydomain.com