Mod Security 2.2.7 problem OpenSUSE 13.1

hallo

ich hab hier ein problem mit dem neusten mod security 2.2.7

es laeuft hier auf opensuse 13.1 mit apache 2.4.6

und zwar will ich das modsecurity_crs_11_slow_dos_protection.conf zum laufen bringen, aus den experimental rule set von OWASP ModSecurity Core Rule Set (CRS)

mod security laeuft soweit echt ohne probleme ich bringe nur die slow_dos_protection nicht zum laufen.

aktiviere ich diese rule dann werde ich einfach von mod security geblocked!

[Fri Mar 21 17:23:04.018323 2014] [:warn] [pid 29457] ModSecurity: Access denied with code 400. Too many threads [150] of 100 allowed in READ state from 91.22.223.123 - Possible DoS C
onsumption Attack [Rejected]

und ich bin mir zu 1000% sicher dass ich da keine 150 threads im read state habe.

der apache server-status zeigt mir gerade mal 5 thread an ... also irgendwas stimmt da einfach nicht.

in der slow dos rule von mod security steht SecReadStateLimit 100

mod security will ja auch seine collections, also daten speichern, was man via SecDataDir angibt

SecDataDir /tmp

in der modsecurity.conf

hab ich alles gemacht, nur will apache / mod security die dateien ip/global einfach nicht in ordner /tmp erstellen nach einen rcapache2 restart

und jetzt denke ich mit halt, dass mod security halt keine daten erstellen kann und ich deshalb einfach geblocked werde??

ich verstehe das echt nicht?

ich hab noch 2 andere suse kisten am laufen und dort funktioniert des einfach ohne probleme ...

wenn mir jemand bei suse 13.1 helfen koennte dann waere des echt cool

ich sag jetzt schon mal danke und freue mich ueber jeder hilfe!

greetings
becki

p.s. https://forums.opensuse.org/sh…2-7-problem-OpenSUSE-13-1
p.s.s. https://forums.opensuse.org/sh…ty-2-2-7-on-opensuse-13-1

naja ... es muss ja nicht folder /tmp sein. ich hab des auch schon mit nen anderen folder, z.b. /var/log/apache2/modsec probiert. auf diesen folder hat dann nur der wwwrun zugriff ...

aber du meinst ich sollte besser iptables dafuer nehmen?

dennoch wuerde mich interessieren warum mod security die collections ip.dir / global.dir bei nen apache restart nicht erstellen kann?

hast du ne ahnung?

danke

@tomfa-ng -> was meinst du mit die themen in den nterschiedlichen foren zu verknuefen? meinst du damit meinen eintrag auf forums.opensuse.org?

@root-tut-nicht-gut -> ich denke systemd scheint da wirklich die richtige richtung zu sein! werde mir das mal genauer angucken. und ... nein! ist kein produktivsystem ...

viele dank!

ok! hab's nun verlinkt ->

https://forums.opensuse.org/sh…2-7-problem-OpenSUSE-13-1

https://forums.opensuse.org/sh…ty-2-2-7-on-opensuse-13-1

hoffe des passt so?

vielen dank

hallo @root-tut-nicht-gut

ich hab jetzt noch a bissl geguckt auf der suse 13.1 box.

SELinux ist dort garnicht aktiviert! getenforce meldet disabled.
daran kann's also wahrlich nicht liegen ...

ich denke auch an den folder permissions von /var/log/apache2 kann's wohl auch nicht liegen, denn die mod security log files werden ja auch ohne probleme erstellt.

SecDebugLog /var/log/apache2/modsec_debug.log
SecAuditLog /var/log/apache2/modsec_audit.log

und die beiden dateien finde ich nach nen apache start / restart ...

er will mir nur einfach nicht die ip.dir und global.dir erstellen ...

also wenn hier jemand noch nen tip haette waere ich wirklich sehr dankbar

danke & greetings
becki

p.s. hab auf mod security github auch ein issue erstellt, kam leider auch noch keine antwort dort
https://github.com/SpiderLabs/ModSecurity/issues/688