Настройка ML
Чтобы настроить ML для сервера выполните следующие шаги:
Важно! Для автоматической блокировки по результатам ML с помощью F2B необходимо включить Анализ трафика в разделе Доп.возможности → Интеграции. Иначе ML будет только анализировать запросы и они будут отображаться в разделе События → ML (Machine Learning).
1.В разделе Структура → Серверы перейдите в настройки сервера и включите опцию Фиксация всех запросов. Иначе будут обрабатываться только те запросы, которые уже были заблокированы ModSec.
2.Перейдите в раздел Структура → Серверы → Настройки → ML и включите переключатель Включить настройки ML для того, чтобы активировать функцию.
3.[Опционально] Включите переключатель Включить автоматическую блокировку и укажите время в секундах (от 60 секунд), на которое IP-адрес источника будет заблокирован с помощью F2B.
4.[Опционально] Включите переключатель Сохранить результаты анализа. Если переключатель выключен, то в разделе События → ML (Machine Learning) будут отображаться только результаты запросов, чьи пороговые значения превышают ранее установленные пороговые значения. Иначе будут логироваться все результаты.
5.[Опционально] В подразделе Пороги обнаружения угроз задайте значения следующим полям:
•Эвристика – агрегированная оценка, рассчитываемая на основе результатов всех ML-моделей. Данный показатель отражает общий уровень аномальности запроса и используется для выявления сложных или нетипичных атак, не подпадающих под конкретные классы (SQLi, XSS).
•SQL-инъекция.
•XSS.
6.Нажмите Сохранить.
Важно! Для корректной работы ML необходимо настроить ключ $remote_addr в модуле F2B. Если ключ не настроен или удален, то запросы не блокируются.
Таблицу со срабатываниями ML можно посмотреть в разделе События → ML (Machine Learning).
Также можно добавить IP-адреса и URI в белый список исключения в списках доступа.