Como eu incluo um conjunto de regras com o ModSecurity no IIS?

Question

Estou usando ModSecurity 2.7.1 no IIS 7.5 / Windows 2008 R2. Eu fiz referência a minha base configurada no arquivo conf no meu Web.Staging.config de um site como este:

<ModSecurity enabled="true" configFile="*******\ModSecurity.conf" xdt:Transform="Insert"/>

Como incluo outro conjunto de regras, por exemplo o conjunto de regras OWASP?

    

Answer 1

Acabei de jogar com o Modsecurity 2.7.1 no IIS e consegui isso usando Incluir "c: /yourpath/modsecurity_crs_10_setup.conf" no seu arquivo conf base e também usando um Incluir para puxar as base_rules dentro do arquivo modsecurity_crs_10_setup.conf.

Apenas um aviso, porém, achei o ModSecurity / IIS muito escasso, especialmente usando o conjunto de regras OWASP. Ele matou meu AppPool várias vezes.

Além disso, tive o mesmo problema como você, onde o SecRequestBodyAccess impede que o ASP.NET receba os dados do POST. Eu não estou usando o MVC, então eu suspeito que não esteja relacionado especificamente ao MVC.