La herramienta toma como entrada un archivo de traza y un conjunto de reglas (firmas) y genera a la salida listados con las URI consideradas legítimas y con las URI de ataque. El procesamiento realizado es:

– Inicialización:  Durante la inicialización de la herramienta  se leen una a una las reglas en los archivos correspondientes. Se extraen los diferentes campos de cada regla (módulo parser reglas) y se filtran para extraer únicamente las que afectan al servicio HTTP (módulo filtrado reglas). En función del tipo de formato para las trazas, se filtran también los métodos no considerados por la herramienta.  Finalmente, se genera una base de datos de firmas (bloque firmas) a partir de la extracción de los patrones y condiciones a buscar (módulo extracción patrones).

– Análisis: Una vez inicializadas las reglas y parámetros de búsqueda, se leen uno a uno los registros en el archivo de traza, extrayendo los campos de interés de entre los disponibles según el formato de entrada (módulo parser trazas). En función de las opciones activas, se filtran las peticiones por código de respuesta (CR<300 o CR<400) (módulo filtrado CR). A continuación se normalizan los URI (módulo normalización URI), especialmente en relación al denominado percent encoding. Esta normalización se realiza de forma iterativa, de tal forma que en la primera iteración no se realiza ninguna modificación y en cada iteración  posterior se decodifican las secuencias de percent encoding. El proceso se repite mientras existan caracteres codificados. Cada una de las iteraciones genera una petición a la salida que es procesada por el detector (módulo detección), que aplica las firmas una a una en busca de los patrones establecidos en cada una. En caso de detección en alguna de las iteraciones, se genera un registro de ataque en el que, opcionalmente, se incluye información sobre la detección (firmas activadas). En caso contrario se considera que el registro es legítimo y se añade al listado correspondiente.

La normalización de URI es necesaria, a pesar de que el RFC 3986 establece un formato estándar para la representación de los caracteres, porque son muchos los sistemas que no tienen en cuenta esta recomendación. Adicionalmente, algunos ataques usan la representación mediante percent encoding como método de ocultación. Es más, hemos constatado que se hace de forma iterativa (se usa %25 para codificar el símbolo ‘%’ y ocultar sucesivas codificaciones). Por otra parte, durante el análisis de las reglas Talos y ETOpen hemos detectado incoherencias en relación al uso de percent encoding. Para solucionar estos problemas hemos establecido, como se ha indicado anteriormente, un procesamiento opcional que, en caso de detectar el uso de percent encoding en un URI, aplica todas las reglas, procede a decodificar los caracteres y vuelve a aplicar todas las reglas, repitiéndose el proceso mientras existan caracteres codificados.

Una opción similar se contempla para el caso de mayúsculas/minúsculas en las reglas y en la codificación de los caracteres. En este caso, al activar la opción correspondiente se convierten todos los caracteres a minúscula para el procesamiento.

Los campos de las reglas considerados para el análisis, en el caso de reglas en formato Snort, son: content, pcre, http_uri, http_method, dsize, urilen y nocase. De cada regla se almacenan también los campos msg, reference, classtype y sid para mostrarlos a la salida, según las opciones establecidas, con cada activación de la regla en el informe de detección correspondiente.

La operación de la herramienta ms-inspectorlog se basa en la librería libmodsecurity3, que incorpora funciones para la carga de las reglas y la detección. Por tanto, el diagrama funcional se simplifica. En este caso, el bloque de inicialización corresponde a la llamada a la función correspondiente de la librería. De la misma forma, el módulo de detección se encuentra implementado en dicha librería y se ejecuta sobre cada petición. En este caso no se aplica el módulo de normalización de URI, por estar incorporado el procesamiento asociado en la función de la librería.