Onderwerp: Mod Security

Heeft iemand hier een zinvolle toepassing voor mod_security? Wij draaien het sinds kort maar het levert met van alles problemen op ik noem maar een paar dwars straten:

- phpmyadmin
- Updaten van templates waarin php tags voorkomen
- Kayako supportsuite
- Van allerlei post dingen waarin id voorkomen
- Op Squirrelmail met BCC en CC triggered ie ook (maar houdt standaard niet tegen)
etc etc

En het beschermd bijvoorbeeld weer niet (out of the box) tegen allerlei aanvallen waarin mensen via files te includen evil code proberen te executen.

Ik geloof best dat mod_security zin heeft als je een dedicated bak hebt waarop je je applicatie draait en je beschermd wil worden tegen SQL Leakage of PHP Leakage of allerlei andere dingen waarvan je weet dat je applicatie het niet bevat..

Maar in een hosting omgeving met phpmyadmin, joomlas, webshops die allemaal webbased zijn?

Gewoon juiste aangepaste regels gebruiken en dan zou het geen problemen mogen geven. Standaard staat het te restrictief.

gewoon een paar dingen eruit slopen idd.. je kan in de audit_log vrij simpel zien om welke regel het gaat.. als je die rule uit de config sloopt ist opgelost toch?

gaat denk ik maar om 2/3/4 rules in totaal bij al je problemen...

Ja ok maar defeats een beetje de purpose van mod_security. Ik heb al van alles gedisabled of de rules aangepast. Maar juist als hosting provider zit je dan al heel snel regels te disablen die SQL Injecties kunnen bevatten omdat je nou eenmaal phpmyadmin moet kunnen draaien etc.

Dus je blijft dan op een gegeven moment wel met een erg kale ruleset over.

De regels die blokkeren zijn te vinden in de audit_log vermeldingen.
De betreffende regels kun je in de definities blokkeren/uitvlaggen en zodoende toch een serie nuttige regels handhaven ter bevordering van de server veiligheid.

Met vriendelijke groet,

Antenna

Wij gebruiken een setje regels die we zelf hebben geschreven, met eigen ervaringen van hoe er wel eens geprobeerd wordt in te breken. Is natuurlijk een beetje mosterd na de maaltijd, je komt er pas achter als het eigenlijk al te laat is geweest, maar de ruleset zoals die standaard geleverd wordt is ook ons veel te uitgebreid en je weet eigenlijk vantevoren niet goed wat er allemaal draait op je server.

Onze ruleset is veel korter maar werkt helaas nog niet op de nieuwe versie van mod_security.

We gebruiken hier de rules van gotroot.com; her en der heb ik op basis van de audit log een aanpassing gedaan.

Maar de grote vraag is nog... Houden de regels wel wat tegen. En dan ook echt iets wat bedreigend zou zijn voor de veiligheid van het systeem.