Mod_Securityが検知したセキュリティポリシーの判定に役立つ小技です。
環境
- Mod_Security
- Apache2.4
を連携させ、SecRules On / DetectOnlyにしています。
ログ表示例
[Wed Nov 01 14:12:12.213885 2023] [:error](中略) ModSecurity: Warning. Pattern match (中略) at ARGS:html. [file "/usr/share/modsecurity-crs/rules/REQUEST-941-APPLICATION-ATTACK-XSS.conf"] [line "308"] [id "941190"] [msg "IE XSS Filters - Attack Detected."] (略)ここから、941190の部分のみを取り出します。
コマンド
awk '{match($0, /\[id "([0-9]+)"\]/, arr); if(arr[1]) print arr[1]}' ログファイルコマンド実行例
awk '{match($0, /\[id "([0-9]+)"\]/, arr); if(arr[1]) print arr[1]}' /var/log/bookstack/bs_error.log | sort -u
# 更に重複を排除実行結果
941180
941190
942170
942350これらを除外するなり例外に加えるなどの処理を行う下地ができました。