问SecAuditLogParts不工作: mod_security保持日志记录响应体
EN

Server Fault用户

提问于 2014-12-13 19:04:25

回答 1查看 1.2K关注 0票数 5

我已经将SecAuditLogParts在modsecurity.conf中设置为只记录ABFH，但是modsecurity审计日志一直保持日志-E-部件(响应体)，这使得审计日志太大。

我能做什么来禁用响应体日志记录？

发布于 2015-10-20 13:43:47

我想这是你的规矩。例如，OWASP有很多这样的功能，可以显式地将主体记录到使用SecAuditLogParts定义的任何内容：

ctl:auditLogParts=+E

您可以通过以下操作完全关闭body响应，然后这将不会被记录在那里：

SecResponseBodyAccess Off

一方面，建议这样做有几个原因：

性能。扫描响应体需要时间，当大多数主体都是静态HTML时，这就没有多大意义了。
ModSecurity和GZIP的响应存在问题(不过根据最近在ModSecurity用户邮件组上的一个帖子，这方面可能有一些进展。这是在这里跟踪：https://github.com/SpiderLabs/ModSecurity/issues/944)
如您所发现的那样，填充日志文件。
可能会导致很多错误的警报。

但是，另一方面，扫描出站主体对于识别信息泄漏(源代码泄漏和/或数据库访问漏洞)非常有用，而关闭这些漏洞显然可以阻止这种情况。

最佳实践是在默认情况下对静态文件关闭SecResponseBodyAccess，但对应用程序生成的动态文件启用它，并降低规则以减少对这些文件的错误警报。

我还假定您有以下设置，以便在规则阻塞时只登录审核日志？

SecAuditEngine RelevantOnly

票数 3

页面原文内容由Server Fault提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://serverfault.com/questions/652407

复制

相似问题

问SecAuditLogParts不工作: mod_security保持日志记录响应体EN