Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 9 replies
  • Subscribers 1 subscriber
  • Views 10333 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

WAF exception rules for false positives

BSavage
I'm trying to protect an IIS based web server called Precision BI. 

When SQL injection protection is enabled, a user cannot change their password. When using the XSS protection, and running a search function, we see a 403 error.When using cookie signing, the login page doesn't populate the server and database names field.


I see an option for exceptions for web clients coming from source networks, which is difficult if no impossible for me to use that option. The "Web requests matching this path" exception is interesting, but unsure how to apply it.

I also see Skip WAF rules option, but don't see the rule number in the log. How do you determine the rule that is causing a false positive?


Does anyone have a suggestion on how I can tune the WAF to protect a web server who's standard functionality appears to be blocked with false positives?

In the log I'm seeing:
] Dropping cookie '.ASPXAUTH' from request due to missing/invalid signature, referer: 

ModSecurity: Rule execution error - PCRE limits exceeded (-8): (null).

method="POST" statuscode="403" reason="waf" extra="Anomaly Score Exceeded (score 200): XSS Attack Detected" time="121208"  


Thanks!
Brian


This thread was automatically locked due to age.
Parents
  • 0
    Hi.

    I opened a support case and was told to look up the appropriate rule number to add an exeption. 
    You can find die rule number by opening the waf reporting, changing to details and choosing top attackers. After choosing the corresponding IP the rule number is shown.

    cheers
    Luis
Reply
  • 0
    Hi.

    I opened a support case and was told to look up the appropriate rule number to add an exeption. 
    You can find die rule number by opening the waf reporting, changing to details and choosing top attackers. After choosing the corresponding IP the rule number is shown.

    cheers
    Luis
Children
No Data
Unfiltered HTML