apache modsecurity zu empfindlich

[bumer]

Hallo,

bei jedem Besuch meiner eigenen Webseite erhalte ich zig ModSecurity Meldungen, die mir den error.log fluten. Das Tool ist einfach zu sensibel, jeder Besuch, auch wenn er nicht gefährlich ist, verursacht mehrere error-Einträge in die Logs.

Kann man das irgendwie verhindern?

Viele Grüße,
bumer

[pangu]

Ja, und zwar wie folgt:

https://wiki.ubuntuusers.de/Apache/mod_security
http://www.linux-community.de/Internal/ ... d_security
https://www.digitalocean.com/community/ ... ian-ubuntu
https://www.linode.com/docs/websites/ap ... -on-apache
https://www.modsecurity.org/

[gehrke]

mod_security macht doch erst mal nichts von sich aus. Entscheidend ist doch der verwendete Regelsatz. Scheinbar ist der für Deine Bedürfnisse zu scharf verfasst und muss angepasst werden.

Ich kenne Firmen, die das CRS von OWASP als Regelsatz verwenden, dazu aber zuvor monatelang im Complain-Mode produktiv liefen und die Regeln für ihren Bedarf feingeschliffen haben, bevor sie das scharf schalteten. Und auch danach muss man ständig am Ball bleiben, der Pflegeaufwand ist nicht zu vernachlässigen.

[pangu]

so sieht's aus ... logcheck als Beispiel ist ja auch nicht einfach installiert und gut is' (auch wenn das meiste drin ist). Das sollte man verstehen und immer seinen Bedürfnissen anpassen. Dasselbe gilt auch für Sachen wie apache's modsecurity, fail2ban, usw...

[bumer]

Danke. So wie ich das verstehe bleibt einem nur, nachdem man die OWASP-Rules installiert hat, gewisse Rules, von denen man weiss, dass sie keinen Angriff darstellen, auszuschließen:

Code: Alles auswählen

<LocationMatch '^/phpMA/*'>
    SecRuleRemoveById 950004
    SecRuleRemoveById 950005
    SecRuleRemoveById 950006
    SecRuleRemoveById 960010
    SecRuleRemoveById 960012
</LocationMatch>

Oder man schreibt eigene Rules.