申し込みお問い合わせQ&A多種多様なWebShellをすばやく検知し、WEBサーバーを守ります。悪意あるハッカーはWEBサーバの脆弱性や脆弱なアカウントを通じてウェブアプリケーションのハッキングを行います。それに対し企業側は脆弱性の修正や脆弱なアカウントの洗い出しを行いハッキング行為が行われても影響しないように対応しています。一度企業側が対応すると悪意あるハッカーはターゲットを変えるか、同じターゲットであれば新たな脆弱性を探す、脆弱なアカウント情報を再度搾取するなど、手間と時間がかかります。そこで、悪意あるハッカーは安定的な侵入経路を確保するために、WebShellというバックドアを設置することが多々あります。一度バックドアを設置できれば、あとは好きな時間に必要な情報を搾取したり、次の攻撃手段へ移行する事が可能となります。WebShellは古くから存在しており防御側もシグネチャ型のアンチウイルスで対策を行ってきましたが、近年WebShellはソースコードが難読化されたり自身を隠ぺいするなど、通常のシグネチャ型のアンチウイルスでは検出困難となっているのが現状です。アンチウイルスベンダーはコンパイル型のボットネットやランサムウエアに重点を置いており、WeShellは重要視していません。これはWebShellを検知するには稼働しているウェブアプリケーション内で実行する必要がありサーバのリソースを消費するためレスポンスにも影響し、また、多種多様なWebShellが存在する為、検出が困難であるため、と推測します。ひとたび、バックドアが仕込まれるとウイルス混入や情報漏洩はもちろん、自身のサーバが踏み台となり他社のウェブアプリケーションへ攻撃するケースなどもあり被害は甚大となります。そこで被害発生の発端となるWebShellを従来のシグネチャ形式に頼らず検出できないか、というところから製品が生まれました。バックドアとして機能し、任意のOSコマンドを実行されその結果サーバ内部の情報漏洩やサーバ停止など被害が発生します。バックドアが作られるとランサムウェアに感染、閲覧者へのウイルス配布、踏み台サーバなど、次の攻撃に繋がります。最近ではWebShellも進化しており、隠ぺい機能や自己削除など備わっているケースもあり、検知が非常に難しくなっています。バージョン、動作しているプロセス情報などを収集する機能。ファイルのアップロードやダウンロード、削除、ファイル内容を変更する機能。ファイル操作では簡易的なエディタを搭載している場合もある。コマンドの実行を補助する機能。WebShellが設置されたサーバ内部のデータベースや、同一ネットワーク内にある別サーバのデータベースへ接続するWebインターフェース。WebShellが設置されたサーバ内部のFTPサービスや、同一ネットワーク内にあるFTPサーバへ接続するWebインタフェース。attackによるログイン試行するための機能。文字列をURLエンコードやデコード、BASE64のエンコードやデコード、MD5やSHA1のハッシュ化などをする機能。Found」を応答するが、特定のパラメータを指定したときのみ、その指定された内容を実行する。発見を困難にしたり、容易に解析されないように工夫されています。攻撃者が独自に作成したり、インターネット上に公開されたものを改変している場合も散見されるという点から、検知するのが難しい理由です。AntiShellの特徴WebShellの種類、作成された言語を問わず検知します。WebShellの検知が難しい理由の一つに、WebShellは多くの言語で書かれていたり、悪意あるハッカーによって個別に改変されている、検知されないよう難読化されている、という点があります。AntiShellはどの言語で作成されたのか等一切関係ありません。指定されたディレクトリ内のすべてのファイルを展開し、1行単位でチェックを行っています。php、asp、Perl、Python、java、txt、画像、ファイルの種類は関係ありません。1行1行、コードチェックを行い危険なコードを使っている場合、AntiShellのマスターサーバーに送信し、危険度をランク付けし、WebShellと判断した場合は、専用の画面上でお知らせします。「何をもってWebShellと判断するのか?」ここに弊社のノウハウがあります。Coincidence(各プログラムコードの重み)や、シャノンエントロピー計算によりWebShellの判定を行っております。時間短縮につながります。発見されたWebShellが未知のWebShellだった場合は詳細な情報をマスターサーバーに送信し、随時情報の共有化を行います。これは他社サーバにて検知された場合も同じで、常にWebShellの情報をアップデートしていく仕組みです。WEBサーバへの負荷を考慮しスケジューリングスキャン1ファイル、1行づつチェックしていきますので、ファイル数が膨大にある場合スキャン完了まで時間を要します。※2回目以降のスキャンは変更されたファイルのみスキャンを行います。そこで、AntiShellでは、スキャンする時間をあらかじめ予約する事ができます。スキャンが完了したら管理者のメールアドレスに通知がされますのでPCに張り付いておく必要もありません。月に1回、週に1回、何時から開始、という具合に設定できます。管理画面では操作するユーザの追加を簡単に行えます。ユーザには権限を付与する事ができ、権限ごとに作業が行えます。担当者レベルは、サーバのIP追加及び担当者の追加が出来ません。その対処方法や詳細な検証結果などのサポートは受けられます。他社との比較WebShellに特化したサービスはAntiShellのみ!AntiShellはWebShellに特化したサービスであり類似品や競合するサービスはありません。他社が提供しているアンチウイルスソフトに「オプション」としてWebShellの検知が入っているケースはありますが、あくまでオプションという立ち位置であり、検知方法もシグネチャ形式のため、検知できる数や対応する種類(言語)、検知率は非常に低いのが現状で、仮に検知しても、検知したという結果だけで、そのあとの処理方法などは別途サポート料金を支払い必要があります。AntiShellは、検知した場合、どのファイルなのかを示し、作成された日時、権限、ファイル所有者など詳細な情報をレポート化し、同時に弊社カスタマーセンターに情報を送ることができますので、具体的な対処方法や調査、アドバイスなどをオールインパックで提供します。(有償サポート)処理の流れ1)AntiShellサービス上で、該当するフォルダ、ファイルに対して実行権限をもっているユーザーがスキャン実行します。スキャンはスケジューラーとリアルタイムどっちも対応可能です。スキャンはサーバー事に行います。スケジュールは毎週と毎日事に設定できます。サーバーに対してスキャンするフォルダーの階層も指定可能です。2)選択された対象サーバー上でスキャン実行します。3)スキャンが正常終了したら、スキャン結果のレポートを管理画面にアップロードします。スキャン結果と悪意あるファイルを画面上に表示します。誤検知されたファイルの可能性あるので、認識済みの場合、手動で「対象外」とする事も可能です。この場合、次回スキャンからは対象外となります。4)指摘されてるファイル一覧を確認して、画面上にあるSubmitボタンを押すと、調査対象となり、Sandbox上で検証を行います。5)サーバー毎に作成された調査ファイルを弊社のSandbox上で実行しチェックを行います。一つ一つファイルの重要性により対応方法は違いますが、Apacheの設定ファイルが指摘されてる場合は、悪意ある箇所やソースを削除してそのまま運用を行う、または、重要度の高いファイルの場合すぐ削除するなど、具体的なアドバイスをいたします。「何をもってWebShellと判断するのか?」が本システムのコアな部分となります。Patent対象となる箇所もあるので、詳細は割愛しますが、簡単に以下のようなことを行っています。(プログラムコード毎の重みとランク付け)既知の多種多用なWebShellに対応し、未知のWebShellも検知!トライアルもご用意しております。Anti-Shell。