iptables stringモジュールでURLに特定文字を含むアクセスを拒否したい。

Question

公開しているWEBサーバーに対して、指定時間毎に不正なパラメータをURLに付与したアクセスがあります。

iptablesを使用しIPではじくことは出来たのですが、特定のIPではない為、アクセスされているURLで制御を行うため
以下のように設定を行いましたがうまくアクセス拒否を行うことが出来ません。

-A RH-Firewall-1-INPUT -m string --algo bm --string "XXX" -j DROP

上記を指定することでアクセスされたURLに「XXX」文字列が存在した場合に
アクセスが拒否されると認識しているのですがまちがっているのでしょうか。

以下のようなURLが全てはじかれるつもりで記載しています。
http://aaa.com/XXX/
http://aaa.com/top/?a=XXX
http://aaa.com/top/?XXX=

漠然とした質問で申し訳ありませんがよろしくお願いします。

■iptablesファイルの中身(抜粋)

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
:RH-Firewall-1-OUTPUT - [0:0]
-A OUTPUT -j RH-Firewall-1-OUTPUT

不正アクセス防止
-A RH-Firewall-1-INPUT -m string --algo bm --string "XXXXXX" -j DROP

HTTP
-A RH-Firewall-1-INPUT -p tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-OUTPUT -p tcp --sport 80 -j ACCEPT

HTTPS
-A RH-Firewall-1-INPUT -p tcp --dport 443 -j ACCEPT
-A RH-Firewall-1-OUTPUT -p tcp --sport 443 -j ACCEPT

■環境
環境：さくらのVPS
OS：CentOS release 6.9 (Final)
iptables：v1.4.7

Answer 1

思いついた原因を書いてみます。

https 通信をはじこうとしている。
URLエンコードされる文字列を考慮していない
ルールの順序が適当でない
IPv6でアクセスされている

どのルールが適用されて通信されているかカウンターを確認しながらテストしてますでしょうか？

Comments

[ken2001]

ご回答ありがとうございます。

・https 通信をはじこうとしている。

　制御について、ポートを記載していない為、どちらもはじく設定という認識ですが
　間違っていますでしょうか。

・URLエンコードされる文字列を考慮していない

　設定しているXXXについては、1バイト文字となります。
　　※SQL文のselect,and 等です。

　apache、TomcatのログでもXXXの部分はエンコードされず表示されています。
　　access_log、ssl_access_log、　localhost_access_log.yyyy-mm-dd.txt

・ルールの順序が適当でない

　該当行に以下のIPでのアクセス制御を記載していた際には動作していたので同じ場所に記載致しました。

　-A RH-Firewall-1-INPUT -s XXX.XXX.XXX.XX -j DROP

　上から順に適用されていくという認識でIPでの制御は機能していたので同じ順序で記載致しましたが
　そういう問題ではないのでしょうか。

・IPv6でアクセスされている

　サーバー上でIPv6は無効設定にしています。
　ifconfigでもIPv6のIPは表示されません、その場合は考慮しないでも問題ないということでしょうか。

どのルールが適用されて通信されているかカウンターを確認しながらテストしてますでしょうか？

　申し訳ありません、こちらについてはどのような調査方法がありますでしょうか。

[scsi]

今CentOS6 の環境がないので試してはいませんが、https は暗号化されているので src ipでの制限はできても、パケットの中身を判断しての制限はできないはずです。
前に --hex-string で制限のテストをしていた時は iptables -L -nxv などで確認していました。
http 通信で短い文字列からルールが適用されるか試してみてはいかがでしょうか。

[ken2001]

遅くなりましたが、回答ありがとうございます。

SSL通信の場合に制御できないとなると、こちらの方式は使用できないので
取り合えず、いったんIPでの制御を行うこととなりました。

通常のhttp接続での使用は時間のある時に確認してみようと思います。

ちなみに、質問とはことなりますが、iptables以外でSSL通信でURLに
不審なパラメータがついている場合の制御というのはどのようなものがありますでしょうか。

システム側ではパラメータが設定されている場合でも特に問題ない作りにはなっているのですが・・・。

[scsi]

webサーバ側でフィルタリングルールを書くとかですかね～

[ken2001]

回答ありがとうございます。
apacheでの設定方法を調べてみます。