mode_security 403 Запрещено

Question

Вопрос в том, что означает это исключение из mod_security:

Сообщение: доступ запрещен с кодом 403 (фаза 4). Оператор GE совпал с 30 на TX:outbound_anomaly_score. [file "/usr/local/apache/conf/modsecurity/base_rule /modsecurity_crs_59_outbound_blocking.conf"][line "23"] [msg " Превышен показатель исходящих аномалий (оценка 30): [msg "Приложение недоступно (RC=500)"]

Спасибо:)

Answer 1

ModSecurity - это брандмауэр веб-приложений (WAF), который выполняет все запросы через различные правила, а затем блокирует или разрешает запросы в зависимости от того, оповещают эти правила или нет. Например, если запрос выглядит как попытка взлома.

Правила ModSecurity могут либо блокироваться немедленно, когда запрос попадает в первое неудачное правило, либо могут выполняться в режиме оценки аномалий. В режиме оценки аномалий запрос продолжает обрабатываться ModSecurity даже после сбоя правила и проверки остальных правил. Каждому правилу присваивается балл, а в конце другое правило проверяет сумму всех этих баллов и блоков, если они превышают определенный лимит. Режим оценки аномалий проще реализовать, так как вы можете видеть меньше ложных срабатываний (когда законные запросы блокируются по ошибке), но он делает для шумных журналов (так как правила могут срабатывать, но не блокироваться).

Ваша ошибка показывает, что окончательное правило проверки оценки аномалий не выполнено и запрос был заблокирован. То, что вы не показали в своем фрагменте журнала, - это другие ошибки правила, предшествовавшие этому, которые привели к сбою последней проверки. Таким образом, невозможно сказать вам, что было не так с этим запросом и почему он был заблокирован, не видя также те более ранние сообщения журнала ошибок. Мы знаем, что это была "исходящая проверка", которая провалилась, поэтому, возможно, приложение отображало трассировку стека или другой вывод, который считается утечкой информации по вашим правилам ModSecurity. В любом случае, как я уже сказал, правила, которые изначально вызвали ошибку, должны быть перечислены над этой ошибкой в ​​том же журнале.