问题标签 [mod-security2]

我想要一个从文本数据文件中获取 IP 地址列表的 mod-security 规则，如果客户端 IP 与其中一个不匹配，则将请求速率限制为每分钟 200 个请求。

我刚刚在 Windows 10 上运行的 IIS 10.0 上安装了 ModSecurity。但是，即使是“干净”安装，也只能通过访问默认 IIS 站点来生成很多错误。

通过查看eventvwr并发出一个请求，我总共得到 14 个新错误，用于 GET 请求localhost。

每个事件都有以下描述：

找不到来自源 ModSecurity 的事件 ID 1 的描述。引发此事件的组件未安装在本地计算机上，或者安装已损坏。您可以在本地计算机上安装或修复组件。

如果事件起源于另一台计算机，则显示信息必须与事件一起保存。

活动中包含以下信息：

事件数据：

我做了什么：

为 IIS MSI 安装程序 - 64 位和 Visual Studio 2013 运行时 (vcredist)安装了 ModSecurity v2.9.1 。

从https://github.com/SpiderLabs/owasp-modsecurity-crs下载 OWASP ModSecurity Core Rule Set (CRS)并将文件夹放入C:\Program Files\ModSecurity IIS. 改名crs-setup.conf.example为crs-setup.conf.

在\rules我改变REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example和RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example不包含.example.

修改modsecurity_iis.conf为以下内容：

重新启动 IIS，然后检查事件查看器。我错过了什么或者这是正常行为？

我正在使用 ModSecurity 和我Audit Log的 json 对象的日志流，如下所示：

它们不在列表中，也没有逗号分隔。

我现在让它工作的唯一方法是使用下面的方法。但是，当我使用此方法的结果时，此方法要求我的流是打开的，我认为这可能会由于关闭的流而在应用程序中造成一些麻烦。有没有更好的方法从文件中读取 json 对象流？

我想禁用此规则：

对于目录

异常应该去哪里？在我的 .htaccess 中？还是虚拟主机文件？

因为似乎没有任何工作。

我在用着apache2

我尝试在我的virtualhost文件中添加以下内容。但是，它仍然无法正常工作

在 mod-security2 中，我想禁用某些特定规则 ID的日志记录（默认规则中最常见的误报）。

我想为异常评分保持规则活动，但只是关闭一些日志记录。

我怎么做？

在 modsecurity 默认脚本中：

有一条规则，960011：

我只想禁用此规则的日志记录（它给出了太多误报），因此添加我自己的脚本

删除默认规则并创建一个新的相同规则 - 仅不记录：

与原始规则的唯一区别是新的 id 9960011和nolog添加：

但是当我用这个附加规则重新启动 httpd 时，我得到了错误：

同样的策略 --- SecRuleRemoveById + 然后用新的 id 重新创建它 --- 适用于我尝试过的所有其他默认规则，但不适用于这个。

谁能告诉我这是为什么？

请参阅下面的日志。即使规则匹配，它也不会阻止请求。如果我遗漏了什么，请告诉我。

谢谢

相关问题：https ://serverfault.com/questions/549640/mod-security-not-actually-blocking-requests-despite-rule-trigger-returning-403

以上没有帮助。

我的默认配置只有

我尝试添加它，但它对阻止请求没有任何影响。

Chef: No candidate version available for mod_security2包含package mod_security或时出现错误package mod_security2

这是剪断的堆栈跟踪：

我们在 IIS 7.5 上有一个 ASP.Net/angular/web api，它被错误的编码调用，我们正在尝试记录请求正文，以便我们可以向调用者显示问题。

我们四处搜索并找到了 ModSecurity，因此我们安装了它并试了一下——但仅限于审计日志部分。不幸的是，无论我们做什么，C 和我似乎都没有记录任何东西。我看过一些其他的 Oflow 帖子，我推断这意味着 ModSecurity 只记录某些传入请求的类型（.html 记录 C，但没有其他任何事情）。WebApi 和 angular 可能会混淆它，但我不确定。我尝试过的任何方法似乎都不起作用。

这是我们的配置：

为了让 ModSecurity 进行 C/I 日志记录，我还需要做些什么吗？

ModSecurity 2.9.1（今天下载）、IIS 7.5、Web Api、Angular、ASP.Net

谢谢

我在一个foo.conf文件中写了以下几行：

该debug.log文件已生成，但在执行在error.log文件中被截获的请求后，没有任何内容被记录到debug.log文件中