ろば電子が詰まつてゐるスマートフォン用の表示で見るろば電子が詰まつてゐる2014-11-24セキュリティスキャンサービス「Walti」使ってみたセキュリティTwitterで流れてきた、「サーバサイドのセキュリティスキャンサービスWalti」がムラムラ気になっていたのだが、初回スキャン無料のキャンペーンをしているようなのでさっそく試してみた。Waltiとは何か最近、地味に流行の兆しを見せつつある(?)、Webサービス向けのクラウド型セキュリティスキャンサービス。提供は、インフラやってる人には有名な(株)ハートビーツの子会社(株式会社ウォルティ設立のお知らせ)。対抗馬としては、BitforestのVAddyになるのかな。言ってもこういうのは意外に結構昔からあるので、今風を名乗るならやはりAPIを用意して、cronやJenkinsと連携して自動的にセキュリティスキャンする......というCI的使い方をしたくなる(すなわちDevOpsならぬ、DevOps+Sec)。Waltiでもそういう使い方を意識しているようだが、APIはまだ準備中なのでWeb操作しかできない。気になるスキャン価格は以下。80円portscanは、nmapをかけてくれる。sslyzeとはSSLのCipherSuite列挙や、HeartbleedなどSSL関連のチェックをしてくれるもの。niktoは結構昔からあるWebセキュリティスキャナで、Perlで書かれている。手元のMacBookで実行すると、こんな感じ↓。testedskipfishは私知らなかったのだけど、アグレッシブにWebアプリをチェックしてくれるツールらしい。これだけお高いのであんまり気軽にかけられないね。いうわけで手持ちのサーバにスキャンしてみた。スキャン手順アカウントを作ると、まずログイン直後に「組織」を入力するように言われる。これはスキャン結果のグルーピングのものなので会社名というよりはチームとかシステム名的な扱いらしい。FAQにも、個人利用で構わないとはっきり書いてあるし(個人でも利用できますか?)。スキャン自体は、基本的にIPアドレスを指定して「開始」を押すだけなのでそんなに難しいことは無い。他人のサーバに勝手にかけられないように、Waltiはスキャン前に認証ファイルを確認するようになっている。Webmasterとかで置くのと同様のもの。このチェック用の認証ファイルはhttpで取りに来るので、httpを上げていないサーバ(メールサーバなど)や、80/tcp以外でhttpをサービスしているちょっと特殊なサーバはスキャンできない。初回スキャンでは、この認証ファイル確認後に問答無用でスキャンが始まるため注意しないとけない。この確認画面が出た後、メニュー画面に戻るともうスキャンが始まっていた。ビックリした(^^;)。認証ファイルだけ置いてセッティングして後でスキャンしよう、と思っている人は注意。スキャン元IPアドレスFAQに記載されている通り、Waltiではスキャン元のIPアドレスを指定することはできない(Walti.ioからのスキャン元のIPについて)。Oceanとなっていた。Oceanにあるようだ。動的に確保するから、スキャン元のIPアドレスを指定できないのだろう。スキャン結果ではスキャンしてみた感想......の前に、スキャン対象のサーバ構成をざっくり紹介。6.5(64bit)で、以下サービスを用意した。(8080/tcp)Apacheは、ちょっと意地悪をして大量にListenディレクティブを書いて20個ほどのポートで同時に待ち受けてみた。ポートスキャンポートスキャンはnmapで行われるので、その結果も見慣れたポートスキャンの出力である。次のように、「結果」のところに今風のWebデザインでのポート列挙と、nmapの出力のテキストを見ることができる。SYNスキャンを全ポートで行い、UDPスキャンは実施されないので注意が必要(portscanについて)。ところで、普通にnmapを走らせると以下のように最初にバージョン情報が表示されるのだが、これは意図的に(?)削られているようだ。うーん、検査データとして残すなら、バージョン情報も出しておいて欲しいな。secondsとJSTになっていない。いうポートスキャンをJenkinsでかけるというのは、アプリ屋さんはあまりピンと来ないだろうけど、インフラ屋さんやネットワーク屋なら結構良いかもと思う人もいるのでは。インストールしただけで勝手にハイポートを開くミドルウェアとか、いつの間にか開けてないはずのポートが開いていたファイアウォールとか、そういうのはやはり自動化の一環で見つけたいものです。sslyzeSSLのCipherSuiteやHearbleedのチェックをしてくれる。Labsが有名なんだけど、https://www.ssllabs.com/ssltest/このページはちょっと間違えるとスキャンしたサイトをリストアップしてしまうので、あんまり自サービスのスキャンをしたくない。いうツールでサクサクとかけられると便利だろう。あとCipherSuite一覧、意外に出すのが面倒なんだよね。NiktoNiktoは、決め打ちで80/tcpにしか実行されなかった。非標準ポートでのHTTP(ここでは10080/tcpとか)はまぁ仕方ないのだが、443/tcp(https)くらいはデフォルトで行って欲しかったかな。こんな感じで、HTTPに関する色々なテストをしてくれる。NiktoはPerlで書かれているから、モジュールや環境変数依存などできちんと動く環境を保全しておくことが意外に面倒なので、こうやって外部から簡単にかけられると地味に便利かな。AWSでこのようなセキュリティスキャンを行う場合は、事前にAmazonに申請する必要がある。Center)これ、意外と知られていないので注意。m1.small/t1.microインスタンスでは、スキャン許可されないらしい。いうことで唐突にこれで終わり。関する罪」の情報公開請求をしました月別アーカイブはてなブログをはじめよう!ozumaさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。