Ubicación geográfica de atacantes con ModSecurity

Me gustaría introducirlos en la detección de orígenes maliciosos a través del módulo ModSecurity.
La idea es tomar la intrusión de aplicaciones web y conceptos de detección de fraude introducida por Robert "Rsnake" Hansen en su libro Detect Malice y proporcionar ejemplos reales de aplicación utilizando ModSecurity.

ModSecurity admite el uso de datos de geolocalización a través de la integración con el software y base de datos gratuitos de MaxMind GeoLite Country or GeoLite City. El primer paso es descargar la base de datos que desees (guía de instalación) y ponerla en algún lugar del sistema de archivos local al cual ModSecurity tenga acceso.

Una vez que la directiva SecGeoLookupDb está activa, entonces debes que usar una regla de ModSecurity que pasará la dirección IP del cliente (REMOTE_ADDR) al operador @geoLookup y logueará los datos del origen (IP, país, ciudad, ISP, dominio, etc.)

Puedes ver el tutorial de cómo hacerlo en el Blog de ModSecurity

Cristian de la Redacción de Segu-Info

Suscríbete a nuestro Boletín