ModSecurity: Sperren und Fehlalarme untersuchen

ModSecurity ist eine Web Application Firewall: Sie wendet Regeln auf Anfragen an, um bestimmte Angriffsmuster zu erkennen und zu blockieren. Ihr Verhalten hängt vom Regelsatz und der Konfiguration des Servers ab.

Ein Fehler 403 beweist nicht, dass ModSecurity die Ursache ist. Er kann auch von Berechtigungen, Authentifizierung, der Anwendung oder einem anderen Schutz stammen. Bevor Sie etwas ändern, ordnen Sie den Fehler dem entsprechenden Ereignis zu.

Welche Daten Sie angeben sollten

Notieren Sie Domain, URL, Uhrzeit mit Zeitzone, die IP, von der aus Sie getestet haben, und die fehlschlagende Aktion. Wenn Sie die Kennung der Regel oder des Ereignisses haben, geben Sie sie an. Beschreiben Sie, wie sich der Fehler mit Testdaten reproduzieren lässt; teilen Sie keine Passwörter, Tokens oder sensiblen Anfrageinhalte.

Das vollständige Audit-Log kann den Zugriff des Serveradministrators erfordern. Ist es in cPanel nicht sichtbar, wenden Sie sich an uns, um das Ereignis abzugleichen. Schließen Sie nicht aus einer allgemeinen Browsermeldung auf die Regel.

Einen Fehlalarm beheben

Ist er bestätigt, sollten nur die betroffene Regel und der betroffene Pfad oder Parameter angepasst werden. Eine breite Ausnahme kann andere Anfragen ungeschützt lassen. Prüfen Sie, dass der legitime Vorgang wieder funktioniert und die Ausnahme nicht mehr als nötig abdeckt.

Fügen Sie keine Ausnahmen auf gut Glück hinzu und deaktivieren Sie die gesamte WAF nicht als dauerhafte Lösung. Mit der ModSecurity-Oberfläche von cPanel lässt sich der Schutz je nach verfügbaren Funktionen pro Domain ein- oder ausschalten; sie ist kein Editor für gezielte Ausnahmen.

Wenn ein vorübergehender Test nötig ist

Stimmen Sie den Test ab, begrenzen Sie nach Möglichkeit den Verkehr und legen Sie vorher fest, wie der Schutz wieder aktiviert wird. Reproduzieren Sie den Vorgang ein einziges Mal und aktivieren Sie den Schutz sofort wieder, auch wenn der Fehler bestehen bleibt. Prüfen Sie zum Schluss, dass die Domain geschützt ist, und bewahren Sie das Ergebnis auf, um die eigentliche Ursache zu untersuchen.