3

Apacheサーバーでmod_securityをインストールしましたが、現在はie7/8/9ブラウザーのみをブロックしています。（Firefox / chromium / etcでWebを閲覧できます）

ログには次のように書かれています。

Message: String match within "Proxy-Connection Lock-Token Content-Range Translate via if" at REQUEST_HEADERS_NAMES:Connection. [file "/etc/apache2/mod_security/modsecurity_crs_30_http_policy.conf"] [line "99"] [id "960038"] [msg "HTTP header is restricted by policy"] [data "Connection"] [severity "WARNING"] [tag "POLICY/HEADER_RESTRICTED"] [tag "POLICY/FILES_NOT_ALLOWED"] [tag "WASCTC/WASC-21"] [tag "OWASP_TOP_10/A7"] [tag "PCI/12.1"] [tag "WASCTC/WASC-15"] [tag "OWASP_TOP_10/A7"] [tag "PCI/12.1"]
Message: Access denied with code 403 (phase 2). [file "/etc/apache2/mod_security/modsecurity_crs_49_enforcement.conf"] [line "25"] [msg "Anomaly Score Exceeded (score 20): Common SPAM/Email Harvester crawler"]
Action: Intercepted (phase 2)
Stopwatch: 1337888078594451 2694 (918 2353 -)
Producer: ModSecurity for Apache/2.5.12 (http://www.modsecurity.org/); core ruleset/2.0.6.
Server: Apache

また、ルールID「960038」は次のとおりです。

SecRule REQUEST_HEADERS_NAMES "@within %{tx.restricted_headers}""phase:2,t:none,pass,nolog,auditlog,msg:'HTTP header is restricted by policy',id:'960038',tag:'POLICY/HEADER_RESTRICTED',tag:'POLICY/FILES_NOT_ALLOWED',tag:'WASCTC/WASC-21',tag:'OWASP_TOP_10/A7',tag:'PCI/12.1',tag:'WASCTC/WASC-15',tag:'OWASP_TOP_10/A7',tag:'PCI/12.1',severity:'4',logdata:'%{matched_var}',setvar:'tx.msg=%{rule.msg}',setvar:tx.anomaly_score=+%{tx.warning_anomaly_score},setvar:tx.policy_score=+%{tx.warning_anomaly_score},setvar:tx.%{rule.id}-POLICY/HEADERS_RESTRICTED-%{matched_var_name}=%{matched_var}"

私は1つの主要な質問と、最初の質問から派生した他の2つの質問があります。

  • このルールが何をするのかをどうやって知ることができますか？
    • このルールを無視しても安全ですか？
    • つまり、Webをナビゲートできるようにするために、ルールを変更する方法はありますか？
4

1 に答える 1

1

  1. 最初の質問への回答Mod-Securityは、ルール言語の構文に関する非常に詳細なドキュメントを提供しており、以下はそのドキュメントへのリンクです。ModSecurityルール言語

  2. TXは、ユーザー定義変数tx.restricted_headers用であり、次のようなHTTPポリシーを定義します。

    詳細については、SecAction "phase：1、t：none、nolog、pass、setvar：'tx.restricted_headers = / Proxy-Connection / / Lock-Token / / Content-Range / / Translate / / via / / if /'"情報はこのHTTPポリシーを参照してください

  3. 上記のルールはブロックされていませんが、上記で説明したHTTPポリシーで説明されているように、疑わしいヘッダー名に対して維持されている数値をインクリメントしています。

  4. 言及されたログから見たIEをブロックしているルール

    メッセージ：アクセスがコード403で拒否されました（フェーズ2）。[ファイル"/etc/apache2/mod_security/modsecurity_crs_49_enforcement.conf"][行"25"][msg "異常スコア超過（スコア20）：一般的なスパム/メールハーベスタークローラー"]

異常スコアのしきい値を変更したり、HTTPポリシーを変更したりできます。あなたが言及したルールは正しく、コメントする必要はありません。私の意見を理解していただければ幸いです。

于 2012-06-02T11:38:05.373 に答える