ModSecurity審計日誌規則限制

有沒有辦法限制出現在ModSecurity每個日誌條目中的規則數量？ModSecurity審計日誌規則限制

--173fad2e-A-- 
[27/Apr/2016:17:15:25 +0530] VyCmVMCoAwUAAAohwTgAAAAA 127.0.0.1 33330 127.0.0.1 80 

[...] 

--173fad2e-H-- 
Message: Warning. Pattern match "^5\\d{2}$" at RESPONSE_STATUS. [file "/etc/modsecurity/activated_rules/modsecurity_crs_50_outbound.conf"] [line "53"] [id "970901"] [rev "2"] [msg "The application is not available"] [data "Matched Data: 503 found within RESPONSE_STATUS: 503"] [severity "ERROR"] [ver "OWASP_CRS/2.2.9"] [maturity "9"] [accuracy "9"] [tag "WASCTC/WASC-13"] [tag "OWASP_TOP_10/A6"] [tag "PCI/6.5.6"] 
Message: Warning. Pattern match "^(?i:0|allow)$" at RESPONSE_HEADERS. [file "/etc/modsecurity/activated_rules/modsecurity_crs_55_application_defects.conf"] [line "151"] [id "981405"] [msg "AppDefect: X-FRAME-OPTIONS Response Header is Missing or not set to Deny."] [data "X-FRAME-OPTIONS: "] [tag "WASCTC/WASC-15"] [tag "MISCONFIGURATION"] [tag "http://websecuritytool.codeplex.com/wikipage?title=Checks#http-header-x-frame-options"] 
Message: Warning. Operator GE matched 4 at TX:outbound_anomaly_score. [file "/etc/modsecurity/activated_rules/modsecurity_crs_60_correlation.conf"] [line "40"] [id "981205"] [msg "Outbound Anomaly Score Exceeded (score 4): The application is not available"] 
[...] 

--173fad2e-Z--

這是一個審計日誌條目的例子，我想配置它，所以它只能說明在每個日誌項的日誌拖車「消息」，而不是（在本例中）3

是否可以配置？

來源

2016-05-04 user2336267

-1

不知道你爲什麼想要這樣做？

它顯示三個的原因是因爲這個請求觸發了三條不同的規則。

通常ModSecurity會阻止第一個失敗的規則，所以你不會看到這個。事實的確將不阻止的要求（並因此阻止規則發射的其餘部分）提出的兩件事情之一：

無論您是在DetectionOnly模式下運行。在這種模式下，查看所有規則特別有用，否則您只修改一條規則來發現另一條規則等等。
您正在運行異常檢測模式，該模式運行所有規則，合計錯誤，然後阻止錯誤數量是否大於設定限制。這允許一個或多個次要規則（否則可能有很多誤報並因此阻止合法的業務量）在異常分數的總和低於限制時通過。再次在此模式下，您需要查看所有失敗的規則。

因此，對我來說，ModSecurity正在做它應該在這裏，不知道爲什麼你認爲它應該只顯示一條規則？

來源

2016-05-04 19:32:32

這不是關於它應該做什麼，而是關於什麼>我希望它做什麼。更具體地說，我正在解析日誌條目，現在很難在同一個日誌中同時檢測所有規則（H）和頭部（A）。如果可以對其進行配置，以便爲每個規則顯示一個日誌條目，那麼對於我來說，在某些正則表達式上進行匹配並對威脅進行分類（示例中的每個3）都是理想的行爲。 – user2336267

那麼如何在不知道所有失敗規則的情況下對威脅進行分類？ AFAIK你不能想要>你希望這樣做，但可以隨時在git上提出請求（或者更好地執行代碼更改！），但個人無法看到其他人對此有太多要求。說實話，審計日誌對於解析來說並不好 - 如果使用錯誤日誌，那麼失敗的規則在每條規則的一行上就會更好。您甚至可以在階段5開始時編寫自定義規則，以列出您想要在此行上的標題以及需要時的錯誤消息。 –

ModSecurity審計日誌規則限制

回答

相關問題