ModSecurity - переменные tx в CRS

Я хотел бы применить ModSecurity CRS в своем проекте. Однако у меня есть несколько вопросов, связанных с этим. Кто-нибудь может объяснить, почему правило:

SecRule REQUEST_FILENAME "@pm nessustest appscan_fingerprint" \
    "phase:2,rev:'2',ver:'OWASP_CRS/2.2.9',maturity:'9',accuracy:'9',t:none,t:lowercase,block,msg:'Request Indicates a Security Scanner Scanned the Site',logdata:'%{matched_var}',id:'990902',tag:'OWASP_CRS/AUTOMATION/SECURITY_SCANNER',tag:'WASCTC/WASC-21',tag:'OWASP_TOP_10/A7',tag:'PCI/6.5.10',severity:'2',setvar:'tx.msg=%{rule.msg}',setvar:tx.anomaly_score=+%{tx.critical_anomaly_score},setvar:tx.%{rule.id}-OWASP_CRS/AUTOMATION/SECURITY_SCANNER-%{matched_var_name}=%{matched_var}"

содержит следующие действия:

setvar:'tx.msg=%{rule.msg}',setvar:tx.anomaly_score=+%{tx.critical_anomaly_score},setvar:tx.%{rule.id}-OWASP_CRS/AUTOMATION/SECURITY_SCANNER-%{matched_var_name}=%{matched_var}

Зачем нам нужно помещать сообщение в коллекцию транзакций? Зачем нам нужно устанавливать показатель аномалии? Зачем нам это нужно:

setvar:tx.%{rule.id}-OWASP_CRS/AUTOMATION/SECURITY_SCANNER-%{matched_var_name}=%{matched_var}

Любая информация будет высоко оценена. Заранее спасибо.

С уважением, Максим


mod-security
person user3489820    schedule 14.12.2015    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Хорошо понял.

Есть два режима:

  1. Автономный режим: когда правила просто блокируют запрос
  2. режим совместной работы: правила блокируют запросы, которые имеют большой балл аномалии.
person user3489820    schedule 14.12.2015