Dotaz: WAF postrehy a skusenosti

[maros]

Zaujimali by vase nazory na Web Application Firewally.
Skusal som ModSecurity a hotove peklo. Vzdy to dopadne tak, ze musim urobit velky pocet vynimiek alebo ho rovno musim vypnut, lebo CMS nefunguje korektne.
Ano existuju pravidla vyladene presne na konkretne CMS, ale su platene a myslim si, ze by som tie peniaze aj tak lutoval. Som nazoru, ze na zdielanych web hostingoch je nieco ako WAF velmi potrebne. Z vlastnych skusenosti viem, ze weby su v podstate 24/7 pod palbou. Som zvedany na nazor webhosting providerov.

Odpovědi

[NN]

Ten nazor bych chtel taky slyset a jeste nazor na reseni problemu, kdy uz napadeny web generuje bordel smerem ven..

[maros]

Najprv treba ten web (virtualhost) identifikovat.
To by sa mohlo pouzitim mpm-itk + kazdy virtualhost bezi pod svojim pouzivatelom + logovanie iptables na OUTGOING podla user/group.
Pripadne jaily.

Ak uz generuje bordel, tak skontrolovat temp, adresare do ktorych je povolene zapisovat, treba hladat subory s podivnymi menami.
Nezaskodi hladat subory, ktore sa nedavno zmenili (find /web -mtime -1 -print) Najnovsie planujem mat urobene hashe celej stranky a pri podozreni urobit kontrolu celeho stromu webu.

[pavel]

Generovani hashu: Linux Malware Detect https://www.rfxn.com/projects/linux-malware-detect/