Mod-Securityの検出ルールをカスタマイズ

Question

前提

CRSを使用してMod-Securityをインストールしましたが、OWASPルールによってクライアントがブロックされました。
デフォルト設定では、正規表現が "select"のようなSQL文を含む文字列と一致する場合、リクエストをブロックします。

■■ 以下の2つの方法は作成できません
ModSecurityの検出ルールをカスタマイズする
特定の検出ルールを無効化する

よろしくお願い申し上げます;

Comments

[CHERRY]

タイトルと質問内容が矛盾しているのですが、もう少し具体的になにがしたいかを記載していただけないでしょうか？

[退会済みユーザー]

Mod-Securityでカスタムルールを作成する方法教えてください.

[CHERRY]

> ■■ 以下の2つの方法は作成できません
> ModSecurityの検出ルールをカスタマイズする
> 特定の検出ルールを無効化する

というのは、どのような意味ですか？

[退会済みユーザー]

"Default ModSecurityの検出ルールでまだ不十分ですので, 望ましいセキュリティモデルを達成するために適切な規則を実装する " という意味です

Answer 1

ルールのカスタマイズ方法を簡単に書くと 　ブロックされると /var/log/httpd/modsec_audit.log にログが記録されるので、ログから除外したいルール ID を見つけて、設定ファイルに追加します。

パッケージからインストールしたのであれば、設定ファイルが /etc/httpd/modsecurity.d/activated_rules/ や /etc/httpd/modsecurity.d/local_rules/ にあると思うので、

適当な名前 ( 例えば、local-001.conf ) でルールファイル作成して、下記のような除外ルール

SecRuleRemoveById  ルールのID

を追加して、除外設定をします。(反映させるには apache の再起動が必要です。)

いろいろ細かく指定できるので、詳しくは、マニュアル Reference Manual (v2.x)
を参照してください。

Comments

[退会済みユーザー]

どうもありがとうございました.
具体的にどんなファイルのどこに追加するんでしょうか？