Question

我想在我的项目中应用ModSecurity CRS。但是，我几乎没有与此相关的问题。任何人都可以解释，为什么规则：

SecRule REQUEST_FILENAME "@pm nessustest appscan_fingerprint" \
    "phase:2,rev:'2',ver:'OWASP_CRS/2.2.9',maturity:'9',accuracy:'9',t:none,t:lowercase,block,msg:'Request Indicates a Security Scanner Scanned the Site',logdata:'%{matched_var}',id:'990902',tag:'OWASP_CRS/AUTOMATION/SECURITY_SCANNER',tag:'WASCTC/WASC-21',tag:'OWASP_TOP_10/A7',tag:'PCI/6.5.10',severity:'2',setvar:'tx.msg=%{rule.msg}',setvar:tx.anomaly_score=+%{tx.critical_anomaly_score},setvar:tx.%{rule.id}-OWASP_CRS/AUTOMATION/SECURITY_SCANNER-%{matched_var_name}=%{matched_var}"

包含以下操作：

setvar:'tx.msg=%{rule.msg}',setvar:tx.anomaly_score=+%{tx.critical_anomaly_score},setvar:tx.%{rule.id}-OWASP_CRS/AUTOMATION/SECURITY_SCANNER-%{matched_var_name}=%{matched_var}

为什么我们需要将消息放入事务收集中？为什么我们需要设置异常分数？为什么我们需要这个：

setvar:tx.%{rule.id}-OWASP_CRS/AUTOMATION/SECURITY_SCANNER-%{matched_var_name}=%{matched_var}

任何信息都将受到高度赞赏。提前谢谢。

最诚挚的问候，马克西姆

Answer 1

好的，明白了。

有两种模式：

自包含模式：当规则阻止请求时
协作模式：规则阻止了具有较大异常分数的请求

ModSecurity - CRS中的tx变量

1 个答案: