InfraFenceInfraFence

Live Security Operations

Loslegen

Virtuelle Patches

Virtuelle Patches von InfraFence: eng gefasste ModSecurity-Regeln, die aktiv ausgenutzte CVEs auf Apache blockieren, bis du aktualisieren kannst, mit Wirksamkeitsprüfung und automatischer Rücknahme.

Zuletzt aktualisiert:

Wenn eine Schwachstelle ausgenutzt wird und das Update nicht sofort installiert werden kann, blockiert ein virtueller Patch den Angriff im Webserver: eine eng gefasste ModSecurity-Regel für genau diese eine CVE.

Der Katalog

Der Katalog ist in den Agenten eingebaut: Das Dashboard sendet nur die ID eines Patches, nie eine eigene Regel.

CVE Was er blockiert
CVE-2021-41773 Path Traversal und Offenlegung von Dateien in Apache HTTP Server 2.4.49
CVE-2021-42013 Path Traversal mit doppelter Kodierung in Apache HTTP Server 2.4.50
CVE-2024-4577 Argument-Injection in PHP-CGI über einen weichen Trennstrich im Query-String
CVE-2021-44228 JNDI-Lookup in Apache Log4j (Log4Shell), auch in verschleierten Formen
CVE-2022-26134 OGNL-Injection im Request-Pfad von Atlassian Confluence
CVE-2023-22527 Template-Injection in Atlassian Confluence über text-inline.vm
CVE-2017-5638 OGNL-Injection im Content-Type-Header von Apache Struts 2
CVE-2023-23752 Offenlegung von Informationen über die Webservice-API von Joomla 4

Voraussetzungen

Dieselben wie für ModSecurity: Apache mit ModSecurity, Änderungen an der Webserver-Konfiguration erlauben eingeschaltet und kein Hosting-Panel oder Konfigurationsmanagement-Tool, das den Webserver verwaltet. Nicht im Überwachungsmodus. Virtuelle Patches sind eine Pro-Funktion und werden von einem Menschen aus der KI-Analyse oder von AutoMode angewendet.

Wie ein Patch angewendet wird

  1. Der Agent notiert, welche SSH-Ports und Websites antworten.
  2. Er schreibt die Regel (IDs 9920000 bis 9929999) in seine eigene ModSecurity-Datei, führt apachectl configtest aus und lädt Apache sanft neu.
  3. Er prüft, ob SSH und die Websites weiterhin antworten. Wenn nicht, entfernt er den Patch.
  4. Er prüft, ob ModSecurity die Regel wirklich durchsetzt, mit einer harmlosen Testanfrage, die nur von der Testregel von InfraFence beantwortet wird. Ein ModSecurity, das nur protokolliert (DetectionOnly), schützt nichts: Der Patch wird dann entfernt und als unwirksam gemeldet.

Ein Patch wird auf dieselbe Weise entfernt, unter Aktivität mit Rückgängig.