“WAPPLES”(ワップル)ビジネス基盤としてますます重要性を増すウェブアプリケーション。ウェブサービスを提供する事業者であれば、確実なセキュリティ性を確保して運営することが必須です。DSS適合証明、EAL4の取得から、確実なセキュリティ対策を考える運営事業者様に選ばれてきました。Firewall(ウェブアプリケーションファイアウォール)の略で、その名の通り、Webアプリケーションの脆弱性を悪用した攻撃などからWebアプリケーションを保護する製品の事です。Webサイトの脆弱性をついた悪質で巧妙な手口が増加-2007年以降、Webサイトの脆弱性に起因する事故が急増しています-現在、不正プログラムは、2.5秒に1つという驚異的なスピードで発生しております。最近話題になっている、サイトの改ざんや不正アクセス、情報漏洩など悪質かつ巧妙な手口の攻撃はファイアウォールやIDS/IPS(※1)などでは、防ぐ事が出来ません。いった悪質かつ巧妙な手口の攻撃を防ぐ為に、Webサイトの脆弱性診断、ソースコード改修、セキュアコーディング開発など企業でも様々な対策を取っていると思いますが、最近の進化にあった対策を行い、更に継続させていく為には莫大な時間と費用を費やす結果となっているのが現状です。そこで、今注目を集めているのがWAF製品です。WAF製品を利用する事で以下の効果を期待できます。・脆弱性を悪用した攻撃を検出する・脆弱性を悪用した攻撃Webアプリケーションを防御する・複数のWebアプリケーションへの攻撃をまとめて防御するWAFは脆弱性を修正するといったウェブアプリケーションの実相面での根本的な対策ではありませんが、根本的な脆弱性対策を実施する事が困難な状況では大変有効な製品と考えられております。ウェブサイトを運営するうえでウェブアプリケーションの脆弱性を悪用した攻撃を防ぐためには、「脆弱性を作りこまないこと」、「脆弱性が見つかったら修正すること」が重要です。ウェブサイト運営者の事情により、これらの根本的な脆弱性対策を実施することが困難な状況があります。開発者や運営者が異なるウェブアプリケーションにおいて、脆弱性を悪用する攻撃に対して同じ対策を実施したい場合。他社に開発を依頼していた場合、依頼先企業が開発事業から撤退していたり、依頼を受け付けない場合その場合、他の企業へ改修を依頼出来ますが、改修費用が高くなり予算内で改修出来ない可能性があります。起きた場合、被害を最小限に抑え、早期復旧を実現する施策ウェブアプリケーションへの攻撃をすぐに防御する必要がある状況ウェブアプリケーションに脆弱性がありウェブアプリケーションの脆弱性を悪用する攻撃を受け被害を受けた場合、それ以上の被害が生じないように対策を講じる事が重要です。その為、被害原因の調査や原因を解消する為に必要に応じてウェブサイトを停止する事があります。インターネット中心に事業を展開している企業にとってウェブサイトを長期間停止する事は機会損失が大きく、事業継続に多大な影響を与えかねません。このようにウェブアプリケーションの脆弱性を修正する時間を許容出来ない場合などには有効と考えられます。WAF機能がついている機種もある為、例外もございます。従来のWAF(検知方法)との違い【第一世代の検知方法:ブラックリスト/ホワイトリスト】リスト参照型の検知方法です。ウェブサーバとブラウザがやりとりを行うデータの中に、リストに記載されている「禁則文字列」が存在するかしないかで検知を行う方法です。危険なものだけがリストアップされたものをブラックリスト、安全なものだけがリストアップされたものをホワイトリストと呼びます。第一世代の場合、これらのリストを管理者が手動で作成する必要がありました。ブラックリストの特徴は、サーバとブラウザ間のやりとりにおいては基本的に全て許可をし、リストに引っかかった場合のみ、そのやり取りを通さない。逆にホワイトリストはすべてのやり取りを遮断するのが基本的な動きとなり、ホワイトリストに登録されている場合のみ、サーバのとのやり取りが許可される。自分の会社に来る訪問者に対し、セキュリティ担当者が作ったチェックリストを基に確認作業を行い、問題ないようであれば入室を許可する。このような検知方法が第一世代の検知方法です。現在主流となっている検知方法です。リスト参照型の検知方法という点では第一世代と同じですが、リストの作り方に違いがあります。第一世代は手動にて管理者が作成する必要がありましたが、作成するにあたり大変な負荷であることと、サーバとブラウザ間のやり取りに関して詳細な知識が必要でした。この問題を解決するために考え出された検知方法がシグネチャベースのパターンマッチングという検知方法です。今までのブラックリスト/ホワイトリストの内容を効率よくデータベース化し、その内容をWAFのベンダーが定期的に更新する(自動更新)。いう仕組みが生まれました。これによって管理者の負荷が軽減されることになりました。自分の会社に来る訪問者に対し、警備会社が作った1000を超えるようなチェックリストを基に確認作業を行い、問題ないようであれば入室を許可する。確認作業に使うチェックリストは定期的に更新され、更新されるたびにチェック項目が増えていきます。このような検知方法が第二世代の検知方法で、現在の主流となっている検知方法です。【第三世代の検知方法:ロジカル分析エンジンによるルールベースの検知方法】シグネチャを利用した検知方法は、データベース化されたシグネチャを常に更新していくため、そのデータベースが肥大化してしまうのと、ベンダーがシグネチャを作成するにあたり、攻撃を受けてからではないと作成することができない。これらの問題を解決するために新しく開発されたのが「ルールベース」という新しい検知方法です。この検知方法はシグネチャを利用しないため、検知のための定期的なアップデートが必要ないことと、今までなかったような攻撃が来た場合でも適切に対処することができるという特徴を持っています。自分の会社に来る訪問者に対し、各分野における権威的な専門家が20人以上で確認作業を行い、全専門家の確認試験をパスした場合のみ入室を許可する。このような検知方法が第三世代の新しい検知方法です。PCIDSS適合証明書取得モデルPCIDSSとは?加盟店やサービスプロバイダにおいて、クレジットカード会員データを安全に取り扱う事を目的として策定された、クレジットカード業界のセキュリティ基準です。Council)によって運用、管理されています。準拠する必要があります。カード取引量がPCIDSS準拠の基準に満たさなくても、各カードブランドが制定しているセキュリティー基準プログラムに準拠する必要があります。カード会員データを保護するために、ファイアウォールをインストールして構成を維持する。システムパスワードおよび他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない。保存されるカード下院データの保護。オープンな公共ネットワーク経由でカード会員データを伝送する場合、暗号化する。アンチウイルスソストウェアまたはプログラムを使用し、定期的に更新する。安全性の高いシステムとアプリケーションを開発し、保守する。カード会員データへのアクセスを、業務上必要な範囲内に制御する。コンピュータにアクセスできる各ユーザに一意のIDを割り当てる。カード会員データへの物理アクセスを制御する。ネットワークリソースおよびカード会員データへのすべてを追跡および監視する。セキュリティシステムおよびプロセスを定期的にテストする。すべての担当者の情報セキュリティポリシーを整備する。要件6.6オプション2を満たしました。PCISSC(PCIセキュリティ基準協議会)承認のQSAC(認定審査機関)であるテュフラインランドジャパン株式会社(http://www.jpn.tuv.com)が実施している100種類以上のテストに合格しました。近年、Webページの改ざんや機密情報の漏えいなど、企業のWebサイトを狙った悪質な攻撃が後を絶ちません。企業のサイトだけではなく、多くのアプリケーションもWeb化される傾向にあり、攻撃者のターゲットとして魅力的なものになってきています。攻撃目的は多種多様で、企業への営業妨害や個人情報の販売など年々悪質なものになってきております。ほとんどのWebアプリケーションにおいて、どんなユーザーでも、Webブラウザからデータベースへなんらかのトランザクションを発生させることができ、通常の動作をする限りは定められた情報しかデータベースから取り出せないが、膨大な機密情報まであと一歩のところまで極めて簡単にたどり着くことが出来ます。社会情勢の変化によりクレジット業界で策定された「PCIDSS」等の対策基準など、企業セキュリティへのプレッシャーも年々強くなってきています。対策をされていない企業も多いですが、昨今では、このような攻撃を防ぐため取り組んでいる対策として、Webサイトの脆弱性診断を行いセキュリティホールを発見し、その後アプリケーションプログラムを修正することなどがあります。Risks」によるランキングは下記の内容です。安全ではないリダイレクトとフォワードWebアプリケーションの脆弱性をついた攻撃のうち、およそ8割がこのランキングのトップ1、2の攻撃といわれております。これらの攻撃がどのような攻撃なのかを見ていきましょう。【SQLインジェクション】SQLインジェクション攻撃は、主にWebアプリケーションと連動して動いているデータベースをターゲットにした攻撃です。データベースを操作するための言語である「SQL」を、Webアプリケーション開発者が想定していないような形で利用することで、データベース内部を不正に操作することを目的とした攻撃です。登録されている個人情報の漏えいや、価格情報の改ざんといった、企業にとって致命的となる損害を引き起こす可能性の高い攻撃のひとつです。攻撃例このようなログインページが用意されていた場合、通常であれば適切なログイン名とパスワードを入力することで利用可能となります。ここでログイン名やパスワードの内容にSQLを入力することが可能であった場合、特殊な文字列を入力することでログイン認証そのものを無効化することが可能となり、ユーザー名とパスワードを知らなくてもログインすることが可能となります。ここでSQLが使用できるということはデータベースを操作することも可能となるので、データベース内部のすべての情報を抜き出したり改ざんしたりすることが可能となることを意味します。【クロスサイトスクリプティング】ブログや掲示板に対して悪意のある利用者が書き込みを行う際に、プログラム(スクリプト)を埋め込むことで、第三者がその内容を閲覧したタイミングで埋め込まれたプログラムを勝手に実行させてしまうという攻撃です。プログラムの内容によっては、さまざまな個人情報や機密情報を悪意のある利用者へ送信するようなものや、サイト内の情報を書き換えるようなものがあります。他の種類の攻撃のための準備となる情報を取得するために使用されます。攻撃スクリプトに対してリンクを張っておき、利用者がそのリンクをたどっていった場合、サイト内容が改ざんされてしまうケースや、その改ざん内容によってはフィッシングサイトへ勝手にアクセスさせられることがあります。ECサイトだった場合はアクセス情報を再利用され、勝手に買い物をされてしまうようなケースがあります。海外からの不正アクセスにより5,964件のクレジットカード情報が流出かEC用のWebサイトに対して海外サーバからの不正アクセスがあり、調査の結果、同サイトの利用者のクレジットカード情報の一部が流出したことを確認したと発表した。同社では現在、第三者のセキュリティ専門会社の指導の下で不正アクセス対策の強化を実施しており、環境整備に努めている。同社での通販業務は、よりセキュリティ効果の高いシステムを導入するまで運用を停止するとしている。調査結果によると、6月10日3時25分から6月21日5時32分にかけて海外(中国・韓国)のIPアドレスよりWebサイトに対し不正アクセスが行われ、データベース上のクレジットカード情報を窃取したものと確認されたという。)で、その他の個人情報の流出の形跡はないとしている。【攻撃被害事例2(クロスサイトスクリプティング)】YouTubeにXSS攻撃、不正ポップアップなどの被害広がる動画共有サイトの米YouTubeを狙った攻撃が発生し、ショッキングなデマが流れたり、コメントが表示されなくなるなどの影響が広がった。Centerや英Sophosなどが伝えた。それによると、この攻撃ではYouTubeのコメントシステムに存在するクロスサイトスクリプティング(XSS)の脆弱性が悪用された。この影響でコメントが表示されなくなったり、画面に「ニュース速報:(歌手の)ジャスティン・ビーバーが交通事故で死亡」というデマがポップアップ表示されるなどの被害が広がった。ほかにも不正なポップアップが出たり、悪趣味なWebサイトにリダイレクトされたりするケースが相次いだという。Googleは攻撃発生から2時間ほどでこの問題に対処したと伝えられている。SANSによれば、YouTubeが使っているコメントアプリケーションの出力データの暗号化処理に問題が存在した。これを突いて攻撃者がcookieを盗み、JavaScriptコードを仕込んでユーザーのWebブラウザで実行させることができてしまったとみられる。ルール型WAFとは?【今までの検知方法】ブラックリストとは?基本的な接続はすべて許可するが、リストアップされているものからの接続はすべて遮断します。常にログをレビューする必要があり、接続を遮断するべきところからのアクセスを見つけたら、すべてこのブラックリストに登録する必要があります。未知の不正な接続があった場合、最初の接続は許可されてしまうため、未知の不正なものに対しての耐性はありません。ホワイトリストとは?基本的な接続はすべて遮断するが、リストアップされているものからの接続のみ許可します。事前に接続を行うものを特定し、ホワイトリストに登録しておく必要があります。わかっている場合は問題ありませんが、新しいところからの接続の場合、最初の接続は問答無用に遮断されるため、利用者側の使い勝手を考慮する必要があります。シグネチャベースのパターンマッチングとは?第2世代の検知方法です。過去に認識された攻撃リクエストのパターン(シグネチャ)をデータベース化し、リクエストの内容をシグネチャと比較することで攻撃検知を行う手法です。シグネチャは定期的に更新する必要があります。シグネチャに登録されていないような新しい攻撃には対応することができません。ロジック分析エンジンの優位性・・・1ルールベース(ロジック分析エンジン)とは?第3世代の検知方法で、あらかじめプログラミングされた26(現時点)種類の攻撃検知エンジンの集まりです。個々が独立することで処理の高速化と運用の簡素化を実現しています。シグネチャベースのマッチングの限界リクエストの内容に対し、「禁則文字列が含まれるかどうか?」「文字列がどのように並んでいるか?」という検知方法のため、本来検知してはいけないものまでも検知してしまうことがあります。(過剰検知)また、検知する対象が一定の決まりによって作られているものの場合、検知するのは難しくなってきます。クレジットカード番号を識別できるか?一見ランダムに生成されていそうなクレジットカード番号。実は発行会社によって番号の作り方が定められております。(ランダムに入力したもの)検知できない検知しない※WAPPLESはクレジットカード番号の作り方(生成ロジック)を知っているため、クレジットカード番号であると判断することが可能です。検知しない※WAPPLESはSQLの仕様(ロジック)を知っているため、2~8のリクエスト内容は「SQLではなく単なる文字列」と判断できるため検知しません。過剰検知が発生した場合、管理者がそれらのリクエストをホワイトリストに手動で登録することでWebサーバへリクエストを到達できるようにする必要があります。Project(OWASP)という、安全なWebアプリケーションやWebサービスを実現するためのツール開発やドキュメントの作成を行っているプロジェクトが、3年に一度、Webアプリケーションの脆弱性をランキングしております。Risks」によるランキングは下記の内容です。Standard)においても重要な位置付けで、PCI-DSS要件6.6が求めるWAF機能については、このOWASPのトップ10に入ってくる脆弱性については最低でも防御できる必要がある。WAPPLESは実装されている26のルールによってOWASPのトップ10であげられているような脆弱性に対し、確実に防御することが可能となります。WAPPLESが実装するルールについて、どのような攻撃が防げるのかについては下記表を参照してください。これらのルールがどのようにOWASPに対応しているのかについてはその次の表にまとめました。Overflowアプリケーションが予想以上のデータ値を送信し、予想外の誤動作をおこさせる。悪意のあるコマンドを実行させることができる攻撃を防ぐためのルールです。2CookiePoisoningCookieを改ざんすることで特定アカウントに対するアクセス権限を取得したり、Cookieを盗むことでID、暗号、認証なしでユーザーアカウントを取得することが可能となることを防ぐためのルールです。Scripting悪意のあるスクリプトコードをウェブページ、ウェブ掲示板、メール等に含ませることでユーザー側で悪意のあるスクリプトを実行させる攻撃を防ぐためのルールです。Listingユーザーから送信されたリクエストに対し、ウェブサーバ上でそのコンテンツが存在しないとき、ウェブサーバはディレクトリ及びファイルのリストを表示することがあります。このようにフォルダやファイルのリスト表示をさせないようにするためのルールです。Handling何らかの原因によってウェブアプリケーションでエラーが発生した場合を想定し、ウェブアプリケーションのエラー表示を吸収して利用者へその内容を表示させないようにするためのルールです。Filtering悪意のあるユーザーは、情報取得のためにウェブサーバ内部のファイルに対し、外部から直接実行または表示させようとします。このようなリクエストを検知するためのルールです。Upload悪意のあるユーザーがウェブサーバに攻撃ツールをアップロードすることに対して検知をするためのルールです。Injectionウェブサーバへのリクエストを行う際、ファイル名を変数として使用することでコンテンツソースに悪意のあるファイルをincludeして付け加えるようにすることを防ぐためのルールです。Filtering入力した文字列をフィルタリングすることで、掲示板等への書き込みに対し、他のユーザーを不快にさせないようにするためのルールです。HTTPHTTPスタンダードではないリクエスト及びレスポンス、存在していないウェブサイトへのリクエスト等の異常トラフィックを検知するためのルールです。URLRFCに定義されていないURIは、ウェブサーバ、及びウェブアプリケーションのエラーを引き起こします。このようなリクエストを防ぐためのルールです。Filteringウェブサーバへのアクセスを行うクライアントIPに対してフィルタリングを実施し、特定の国や地域からの接続を許可及び拒否するためのルールです。Tamperingウェブアプリケーションがユーザーの入力値を適切に検証しない場合、エラーが発生するか、またはウェブアプリケーションのセキュリティメカニズムを迂回してしまうことがあります。このようなことを防ぐための検知ルールです。Filteringウェブサイトに対して文書ファイルをアップロードするとき、その文書に個人情報が含まれていかどうかを検知するためのルールです。Filtering掲示板などに書き込む際、その内容に個人情報が含まれているかどうかを確認し、ウェブサーバに送信されたとしても個人情報の漏えいを防ぐためのルールです。Filteringクレジット番号などの個人情報の漏えいを遮断するためのルールです。Fieldを限定させ、ブラウザを制限したり、または悪意のあるクライアントからのアクセスを遮断させるためのルールです。FilteringHTTPリクエストで不要、または攻撃として利用される恐れのあるMethodをフィルタリングさせるためのルールです。Filteringウェブサーバからのレスポンスの中で、サーバOSの情報やウェブサーバの情報など、ユーザーに必要以上の情報を表示させないようにするためのルールです。Injectionウェブアプリケーションに強引にSQL文をインサートし、内部データベースのデータ漏えい及び改ざんを防ぐためのルールです。CommandingウェブアプリケーションがHTTPリクエストにより情報を表示するときに、攻撃者が悪意のあるコマンドをこの情報に含ませることができます。これによって悪意のあるコードが実行されることを防ぐためのルールです。Accessワームやハッキングスクリプト、セキュリティスキャンツールなどの自動化された攻撃ツールからのアクセスをコントロールするためのルールです。Travarsal開発者が予想できなかったディレクトリ及びファイルを指定し、その内容を確認することによって、管理者のIDやパスワード、DBMSサーバへのアクセスに使用される情報、ソースファイル等の機密情報が漏えいするのを防ぐためのルールです。Control管理者のみが使用できるページに対するアクセスを制限させるためのルールです。Defacementウェブページの改ざんを検知し、利用者に迷惑をかけないようにするためのルールです。Definedユーザーの環境に合わせた条件を任意に追加することができるパターン登録型のルールです。販売SuperStreamWAPPLESD’Amointra-martxoBlos検索:お問い合わせ当社への各種お問い合わせは、下記のお問い合わせフォームよりご連絡いただけますようお願い致します。