アドオン「Sqreen」で簡単にWAF!こんにちは。エンジニアのヤス・コバヤシです。5日目を担当させていただきます!qiita.comWebアプリケーションを開発するにあたって気をつけなければいけないのはセキュリティ対策ですよね。OWASPトップ10とかブルートフォース攻撃(総当たり攻撃)とかアカウント乗っ取りとか、脆弱性を悪用した攻撃にどう対処していくかは悩みどころです。APIの仕様に沿ってガチガチにガードしたと言っても、それはその攻撃自体をWebアプリケーションの中で受け止めてチェックすることになるので、フレームワークやライブラリに脆弱性があったらひとたまりもありません。Webアプリケーションに届く前にガードする必要があるわけですね。それが皆さんご存知のWAF(ウェブアプリケーションファイアウォール)になります。ファイアウォールと言うものがありますが。HerokuにはWAFがあるの?あります!それが「Sqreen」です。AddOn「Sqreen」のご紹介をしたいと思います。「Sqreen」ってどんな感じ?構築する前に「これはどんなアドオンなの?どんな機能があるの?」と気になる事かと思います。画面をお見せしながらご紹介しますね。「Sqreen」はリアルタイムで攻撃をブロックし、セキュリティ状況を可視化してくれます。これがメイン画面とも言えるMonitoring画面です。APMを始めよう!でお伝えしたNewRelicやSlackへの通知、WebhookでPOST先を指定する事もできます。Alertモード画面もちろんメールでの送信も可能。緊急度(高/中/低)によって通知も「直ちに」「1日のダイジェスト」「1週間のダイジェスト」と設定できます。このように「Sqreen」はフレキシブルに設定できるので、アプリケーション運用時には頻繁にSqreenコンソールに確認に行かなくても良いし、大したことのないセキュリティアラートで深夜に起こされる、呼び出される事もないです(笑)。WAFルール画面そしてWAFですが、デフォルトで50ものルールがすでに設置されています。「Sqreen」を構築しただけですぐにWAFが機能するのは嬉しいですね。御自身のルールを追加する事も可能ですし、既存のルールをどのように扱うか(”何もしない”とかも)をコントロール可能です。「Sqreen」はWAFだけの機能じゃないです。Sniffing」と言ったクライアント側のセキュリティ保護対策、そして自身のアプリケーションの脆弱性までチェックして教えてくれます。Webアプリケーションの中も外もしっかり保護してくれる、もう至れり尽くせりですね。Webアプリケーションに「Sqreen」を搭載した成果が!「で、このSqreenってやつは本当にガードしてくれるの?」と半信半疑な方もいらっしゃるのではないでしょうか。我々が構築したWebアプリケーションに「Sqreen」を搭載したんですが、インシデント画面なんとウクライナ(またはウクライナ経由)の攻撃を見事にガードしてくれました!!「Sqreen」は攻撃者の位置をIPアドレスから逆探知もしてくれるんですよ。「Sqreen」なかなかの高機能でしょ。プランは無料からもありますのでこれをアドオンしない理由はありませんよね。最後に「Sqreen」の構築方法ですが、AddOnアドオンしただけではすぐには動きません。Webアプリケーションを守るために「Sqreen」を関連づける(dynoの中で「Sqreen」監視プログラムを動かし「Sqreen」本体に認識させる)ことが必要です。この設定方法に関しては皆さん様々な言語でWebアプリケーションを構築していると思いますので、私が説明するよりこちらをご覧ください。devcenter.heroku.com英語ですけどブラウザの翻訳機能(最近はかなりいい感じに翻訳してくれるようになりましたよね)を使えば簡単に読んで理解できますよ。アドオン「Sqreen」で簡単にWAF!Tweet関連記事2020-02-13SalesforceのプラットフォームイベントをPostmanから発行するこんにちは、技術開発室の藤野です。2019の20日目の記事です。APMを始めよう!こんにちは。エンジニアのオクダです。Add-onsにプロビジョンする方法こんにちは。エンジニアのオクダです。専門知識に合格しました月別アーカイブはてなブログをはじめよう!flect_techさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。