使用 Modsecurity 禁止 IP 地址答案

【问题标题】：Ban IP address using Modsecurity使用 Modsecurity 禁止 IP 地址
【发布时间】：2021-12-07 10:35:54
【问题描述】：

我需要帮助，我的操作系统 (Centos 7)，我安装了 Modsecurity 和 CSF。

如何在 Modsecurity 中自动阻止我所在国家/地区以外的任何 IP 警报严重严重性。

谢谢

【问题讨论】：

标签： rules csf

【解决方案1】：

这并不像看起来那么容易。首先，默认情况下，CRS 会阻止所有具有关键分数的请求。

你需要创建一些新规则来做你想做的事。它应该看起来像这样：

# Do GeoIP lookup
SecRule REMOTE_ADDR "@geoLookup" \
    "phase:2,\
    id:9990001,\
    nolog,\
    pass"

SecRule TX:ANOMALY_SCORE "@ge %{tx.critical_anomaly_score}" \
    "id:9990002,\
    phase:2,\
    block,\
    t:none,\
    chain"
    SecRule GEO:COUNTRY_CODE "!@streq <ISO_CODE>"

几点说明：

将替换为您所在国家/地区的 ISO 代码
规则必须在 CRS 之后运行，因此将它们放入文件 RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf 中
您需要在 ModSecurity 中设置 SecGeoLookupDb 才能使 GeoIP 正常工作

【讨论】：