Muster
Mit Mustern wird die Zeichenmenge eingeschränkt, die die Benutzer eingeben können. Muster bestehen aus regulären Ausdrücken.
Generell gibt es folgende Möglichkeiten, die Zeicheneingabe einzuschränken:
● Schwarze Listen
Solch eine Liste enthält alle unzulässigen Zeichen, nach denen gesucht wird. Der Nachteil ist, dass die Liste ständig aktualisiert werden muss, sobald neue Angriffsvarianten auftreten.
● Weiße Listen
Solch eine Liste enthält alle zulässigen Zeichen. D. h., alle nicht aufgeführten Zeichen werden ausgefiltert.
Das vom ICM-Filter verwendete Muster ist standardmäßig eine schwarze Liste mit folgendem Aufbau:
<\\s*script[^>]*>(.*)<\\s*/script\\s*>
Sie können diesen Filter verändern oder
übersteuern, um die Eingabemöglichkeiten zu erweitern oder einzuschränken
(z. B. für Internet-Foren). Dazu legen Sie im selben Verzeichnis, in dem
sich der ICM befindet, die Datei sappattern.dat an. Tragen Sie die
unzulässigen regulären Ausdrücke ein (die dem POSIX-1003.2-Standard
entsprechen müssen) oder geben Sie zeilenweise unzulässige Wörter an. Um die
Einträge zu aktivieren, ist kein Neustart des ICM erforderlich, sondern das
Senden des ICM-Signals
SIGHUP. Dadurch
wird der Filter nach den Regeln der Datei sappattern.dat (sofern diese Datei
vorhanden ist) oder des Standardmusters erneut initialisiert.
Wenn Sie die Datei sappattern.dat anlegen, ohne Sie zu füllen oder fehlerhafte Einträge (z. B. nichtreguläre Ausdrücke) anlegen, deaktivieren Sie damit den Standardfilter, so dass keine Eingabeprüfung mehr stattfindet. Sie erhalten nur eine entsprechende Meldung im Trace des ICM.
Beispiel zur Initialisierung des Inhaltsfilters
Erfolgreiche Initialisierung im ICM (dev_icm):
---------------------------------------------------------------
CsiInit(): Initializing the content scan interface
Intel x86 with Linux (mt,unicode,SAP_CHAR/size_t/void* = 2/4/4)
CsiInit(): CSA_LIB = "/tmp/icman/build/libsapcsa.so"
---------------------------------------------------------------
Misslungene Initialisierung:
---------------------------------------------------------------
CsiInit(): Initializing the content scan interface
Intel x86 with Linux (mt,unicode,SAP_CHAR/size_t/void* = 2/4/4)
CsiInit(): CSA_LIB = "/tmp/icman/build/libsapcsa.so"
*** ERROR => HttpAuthHandlerInit: url: / -> failed -> content filter deactivated [http_auth_mt 292]
---------------------------------------------------------------