Я настроил свой уровень оценки аномалий на 8 в моем CRS-setup.conf. Когда я просматриваю свой журнал аудита, я вижу следующую запись:
--f0d8a724-H--
Message: Warning. detected XSS using libinjection. [file "/etc/httpd/modsecurity.d/owasp-modsecurity-crs/rules/REQUEST-941-APPLICATION-ATTACK-XSS.conf"] [line "64"] [id "941100"] [rev "2"] [msg "XSS Attack Detected via libinjection"] [data "Matched Data: found within ARGS:page: /One-Initial-Bordered-Card?cross-sell=1"] [severity "CRITICAL"] [ver "OWASP_CRS/3.0.0"] [maturity "1"] [accuracy "9"] [tag "application-multi"] [tag "language-multi"] [tag "platform-multi"] [tag "attack-xss"] [tag "OWASP_CRS/WEB_ATTACK/XSS"] [tag "WASCTC/WASC-8"] [tag "WASCTC/WASC-22"] [tag "OWASP_TOP_10/A3"] [tag "OWASP_AppSensor/IE1"] [tag "CAPEC-242"]
Apache-Error: [file "apache2_util.c"] [line 271] [level 3] [client %s] ModSecurity: %s%s [uri "%s"]%s
Apache-Handler: application/x-httpd-php
Stopwatch: 1512753208830562 28609 (- - -)
Stopwatch2: 1512753208830562 28609; combined=1561, p1=361, p2=888, p3=55, p4=215, p5=41, sr=54, sw=1, l=0, gc=0
Если я включу свой SecRuleEngine вместо отладки, будет ли заблокировано указанное выше событие? Правильно ли я предполагаю, что, поскольку это событие не превысило 8 баллов за аномалию, оно разрешило бы этот запрос? У меня есть другие события в моем журнале аудита, в которых четко указано, что они превышают пороговое значение 8, поэтому справедливо ли предположение, что если в журнале аудита специально не указано, что оно превысило порог, запрос НЕ будет заблокирован?
Если это так, есть ли способ настроить журнал аудита так, чтобы он регистрировал только события, которые будут заблокированы в случае включения SecRuleEngine? Я не хочу видеть в моем журнале аудита частичные совпадения, которые не превышают пороговые уровни.
Если я включу свой SecRuleEngine вместо отладки, будет ли заблокировано указанное выше событие? Правильно ли я предполагаю, что, поскольку это событие не превысило 8 баллов за аномалию, оно разрешило бы этот запрос? У меня есть другие события в моем журнале аудита, в которых четко указано, что они превышают пороговое значение 8, поэтому справедливо предположение, что если в журнале аудита специально не указано, что оно превысило порог, запрос НЕ будет заблокирован?
Да, это правильно.
Если это так, есть ли способ настроить журнал аудита, чтобы он регистрировал только события, которые будут заблокированы в случае включения SecRuleEngine? Я не хочу видеть в моем журнале аудита частичные совпадения, которые не превышают пороговые уровни.
Нет, нет. И это одна из основных причин, по которой мне не нравится подсчет очков в аномальном режиме. Даже если вы включите его, вы увидите этот шум. Единственный способ узнать, будет ли атака заблокирована, - это запустить проверку аномалий в конце (идентификаторы правил 949110 - 949118).