ç§ã¡ã‚‡ã£ã¨æ€’ã£ã¦ã¾ã—ã¦ã§ã™ãã€ã‚±ã‚¸ãƒ¡ã‚’å›ãŸã¡ä»˜ã‘ãªã„ã®ï¼Ÿã€€ãƒ›ãƒ¯ã‚¤ãƒˆãƒªã‚¹ãƒˆã¯é–“é•ã£ã¦ãŠã‚Šã¾ã—ãŸã€ã£ã¦èª°ã‚‚言ã‚ãªã„ã§ã™ã‚ˆã... - 徳丸浩ã®tumblr
ç§ã¡ã‚‡ã£ã¨æ€’ã£ã¦ã¾ã—ã¦ã§ã™ãã€ã‚±ã‚¸ãƒ¡ã‚’å›ãŸã¡ä»˜ã‘ãªã„ã®ï¼Ÿã€€ãƒ›ãƒ¯ã‚¤ãƒˆãƒªã‚¹ãƒˆã¯é–“é•ã£ã¦ãŠã‚Šã¾ã—ãŸã€ã£ã¦èª°ã‚‚言ã‚ãªã„ã§ã™ã‚ˆã。フェイドアウトã€ãªã‹ã£ãŸã“ã¨ã«ã—よã†ã¨ã€‚ã§ã‚‚ã€ã¾ã‚予言ãŒå½“ãŸã‚‹ã¨ã¾ã‚ã†ã‚Œã—ã„ã®ã§ã€ã§ã‚‚元通りã«ãªã£ãŸãªã‚ã¨ã„ã†æ„Ÿã˜ã§ã€‚ãã‚ŒãŒç¾åœ¨ã§ã™ã。
Webアプリケーションファイアウォール（WAF）ã¨ã¯
WAF（Web Application Firewall）ã¨ã¯ã€è„†å¼±æ€§ã‚’çªã„ãŸæ”»æ’ƒã‹ã‚‰Webアプリケーションを守るãŸã‚ã®ãƒ•ã‚¡ã‚¤ã‚¢ã‚¦ã‚©ãƒ¼ãƒ«ã§ã‚る。 WAF（Web Application Firewall）ã¨ã¯ã€è„†å¼±ï¼ˆãœã„ã˜ã‚ƒã）性をçªã„ãŸæ”»æ’ƒã‹ã‚‰Webアプリケーションを守るãŸã‚ã®ãƒ•ã‚¡ã‚¤ã‚¢ã‚¦ã‚©ãƒ¼ãƒ«ã§ã‚る。オープンソースソフトウェアã®WAFã¨ã—ã¦ã¯ã€Œmod_securityã€ãŒæœ‰å。 通常ã®ãƒ•ã‚¡ã‚¤ã‚¢ã‚¦ã‚©ãƒ¼ãƒ«ã®ã‚ˆã†ã«Webサーãƒã®å‰æ–¹ï¼ˆåˆ©ç”¨è€…å´ï¼‰ã«è¨ç½®ã—ã€ãƒˆãƒ©ãƒ•ã‚£ãƒƒã‚¯ã®è§£æžã‚’è¡Œã†ã“ã¨ã§å±é™ºãªé€šä¿¡ã‚’é®æ–ã™ã‚‹ãŒã€é€šå¸¸ã®ãƒ•ã‚¡ã‚¤ã‚¢ã‚¦ã‚©ãƒ¼ãƒ«ã¨ç•°ãªã‚‹ã®ã¯ã€æ©Ÿèƒ½ãŒã‚¢ãƒ—リケーションレイヤーã«ç‰¹åŒ–ã—ã¦ã„る点ã§ã‚る。例ãˆã°ã€ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティングやSQLインジェクションã®ã‚ˆã†ãªæ”»æ’ƒã«å¯¾ã—有効ã§ã‚る。 検出方法ã«ã¤ã„ã¦ã¯ã€ã€Œãƒ–ラックリスト方å¼ã€ã¨ã€Œãƒ›ãƒ¯ã‚¤ãƒˆãƒªã‚¹ãƒˆå½¢å¼ã€ã®2種類ãŒå˜åœ¨ã™ã‚‹ã€‚ å‰è€…ã¯ã€ã€Œä¸æ£ãªå€¤ã€ã‚„
Webサイトã®ã‚»ã‚ュリティ対ç–ã«â€•â€•èªã‚ã°åˆ†ã‹ã‚‹ï¼ã€€WAF
WAF（Web Application Firewall）ã¯ã€åå‰ã®é€šã‚ŠWebアプリケーションã®ä¿è·ã‚’目的ã«å°Žå…¥ã™ã‚‹ã‚»ã‚ュリティソリューションã 。ç¾åœ¨ã®Webã¯ã€ãƒ¦ãƒ¼ã‚¶ãƒ¼ã¨ã‚¤ãƒ³ã‚¿ãƒ©ã‚¯ãƒ†ã‚£ãƒ–ãªã‚„ã‚Šã¨ã‚Šã‚’è¡Œã„ã€å•†å–引ãªã©ã®çµŒæ¸ˆæ´»å‹•ã®å ´ã¨ã—ã¦ã‚‚活用ã•ã‚Œã¦ã„ã‚‹ã€‚å€‹äººæƒ…å ±ã‚„çµŒæ¸ˆçš„ã«é‡è¦ãªæƒ…å ±ãªã©ã‚‚ä¿æŒã—ã¦ã„ã‚‹ãŸã‚ã€ã‚»ã‚ュリティã®ç¶æŒãŒé‡è¦ã¨ãªã‚‹ã€‚ ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰æƒ…å ±ã«é–¢ã™ã‚‹ã‚»ã‚ュリティ基準「PCI DSS（Payment Card Industry Data Security Standards）ã€ã®è¦ä»¶6.6ã§ã¯ã€ã€Œä¸€èˆ¬å…¬é–‹ã•ã‚Œã¦ã„ã‚‹Webアプリケーションã¯ã€å¸¸æ™‚ã€æ–°ã—ã„è„…å¨ã¨è„†å¼±æ€§ã«å¯¾å‡¦ã—ã€ä»¥ä¸‹ã®ã„ãšã‚Œã‹ã®æ‰‹æ³•ã«ã‚ˆã£ã¦æ—¢çŸ¥ã®æ”»æ’ƒã‹ã‚‰ä¿è·ã™ã‚‹å¿…è¦ãŒã‚ã‚‹ã€ã¨ã—ã¦ã„る。PCI DSSã¯ã€å›½éš›çš„ãªã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰ãƒ–ランド5社（American Expressã€Discoverã€JCBã€MasterCa
ニュースリリース　SiteGuard Lite販売開始
JP-Secureã€Webサーãƒã®ãƒ¢ã‚¸ãƒ¥ãƒ¼ãƒ«ã¨ã—ã¦å‹•ä½œã™ã‚‹ ホスト型WAF「SiteGuard Liteã€ã‚’販売開始 〜専用ãƒãƒ¼ãƒ‰ã‚¦ã‚§ã‚¢ãƒ»ãƒãƒªã‚·ãƒ¼è¨è¨ˆä¸è¦ã€ãƒã‚¤ã‚³ã‚¹ãƒˆãƒ‘フォーマンスã®ã‚·ãƒ³ãƒ—ルWAF製å“〜 2012å¹´02月29æ—¥ æ ªå¼ä¼šç¤¾ã‚¸ã‚§ã‚¤ãƒ”ー・セã‚ュア æ ªå¼ä¼šç¤¾ã‚¸ã‚§ã‚¤ãƒ”ー・セã‚ュア（本社：å·å´Žå¸‚幸区ã€ä»£è¡¨å–ç· å½¹ï¼šçŸ¢æ¬¡å¼˜å¿—ã€ä»¥ä¸‹ã€JP-Secure）ã¯ã€æ–°è£½å“ã¨ãªã‚‹ãƒ›ã‚¹ãƒˆåž‹ã®Webアプリケーションファイアウォール（以下ã€WAF）製å“「SiteGuard Liteã€ã‚’販売開始ã„ãŸã—ã¾ã™ã€‚ 昨今ã€ãƒ›ãƒ¼ãƒ ページã®æ”¹ã–ã‚“ã‚„Webサイトを介ã—ãŸæƒ…å ±æ¼ãˆã„事故ãŒé »ç™ºã—ã¦ã„ã¾ã™ã€‚年末年始ã«ã¯ä¸€éƒ¨å®˜å…¬åºé–¢é€£ã®WebサイトãŒè¢«å®³ã«ã‚ã£ãŸã¨ã®å ±é“ãŒã‚ã‚Šã€å†…é–£å®˜æˆ¿æƒ…å ±ã‚»ã‚ュリティセンターより対ç–を求ã‚る注æ„å–šèµ·ãŒè¡Œã‚れるãªã©ã€å¤§ããªç¤¾ä¼šå•é¡Œã¨ãªã£ã¦ã„ã¾ã™ã€‚ã“れらã®äº‹æ•…ã®å¤šãã§ã€SQLインジェクション攻撃をã¯
ホスト型ã®å»‰ä¾¡ç‰ˆWAFã§ã‚ã‚‹SiteGuard Liteを評価ã—ãŸ
SiteGuard Liteã¯ã‚·ã‚°ãƒãƒãƒ£æ¤œæŸ»ã«ç‰¹åŒ–ã™ã‚‹ã“ã¨ã§ä¾¡æ ¼ã‚’下ã’ãŸå»‰ä¾¡ç‰ˆã¨è¨€ã†ã“ã¨ã«ãªã‚Šã¾ã™ã€‚ インストール SiteGuard Liteã¯å•†ç”¨è£½å“ã§ã™ã®ã§ãƒã‚¤ãƒŠãƒªã§ã®æä¾›ã¨ãªã‚Šã¾ã™ã€‚Red Hat Enterprise Linux 4/5/6ã‚ã‚‹ã„ã¯CentOS 4/5/6ãŒå‹•ä½œå¯èƒ½ãƒ‡ã‚£ã‚¹ãƒˆãƒªãƒ“ューションã¨ãªã£ã¦ã„ã¾ã™ã€‚ç†è€…ã¨ã—ã¦ã¯Ubuntu上ã§ã‚‚動作確èªã—ã¦ã‚‚らãˆã‚‹ã¨ã‚ã‚ŠãŒãŸã„ã¨æ€ã„ã¾ã—ãŸã®ã§ã€JP-Secure社ã«ã¯ãã†è¦æœ›ã—ã¦ã„ã¾ã™ã€‚ rpmã«ã‚ˆã‚‹ã‚¤ãƒ³ã‚¹ãƒˆãƒ¼ãƒ«ã¯åŸºæœ¬çš„ã«ã¯ä»¥ä¸‹ã®3コマンドã§ã™ã€‚ # rpm -Uvh siteguardlite-1.00-beta.i386.rpm # cd /opt/jp-secure/siteguardlite/ # ./setup.sh 最後ã®setup.shã¯Apacheã®å„種パスãªã©ã‚’指定ã™ã‚‹ã‚‚ã®ã§ã™ã€‚ãã®ä»–ã€SE Linux用ã®ãƒ
hashdos攻撃をmod_securityã§é˜²å¾¡ã™ã‚‹(CentOS+yumç·¨)
ã“ã®ã‚¨ãƒ³ãƒˆãƒªã§ã¯ã€hashdos対ç–ã¨ã—ã¦ã®mod_securityã®å°Žå…¥ã¨è¨å®šã®æ–¹æ³•ã‚’説明ã—ã¾ã™ã€‚CentOS環境ã§yumã«ã‚ˆã‚ŠApacheã‚’å°Žå…¥ã—ã¦ã„るサイトã«å¯¾ã—ã¦ã€yumã«ã‚ˆã‚Šmod_securityã‚’å°Žå…¥ã™ã‚‹ã¨ã„ã†ã‚·ãƒŠãƒªã‚ªã§èª¬æ˜Žã—ã¾ã™ã€‚ ã¯ã˜ã‚ã«æ—¢ã«å½“ブãƒã‚°ã§å ±å‘Šã®é€šã‚Šã€hashdosã¨å‘¼ã°ã‚Œã‚‹æ”»æ’ƒæ‰‹æ³•ãŒå…¬è¡¨ã•ã‚Œã¦ã„ã¾ã™ã€‚HTTPリクエストã®ãƒ‘ラメータåã«å¯¾ã™ã‚‹ãƒãƒƒã‚·ãƒ¥å€¤ã‚’æ•…æ„ã«åŒä¸€ã«ã—ãŸ(è¡çªã•ã›ãŸ)ã‚‚ã®ã‚’多数（数万程度）é€ä¿¡ã™ã‚‹ã“ã¨ã«ã‚ˆã‚Šã€Webサーãƒãƒ¼ã‚’数分程度éŽè² è·ã«ã§ãã‚‹ã¨ã„ã†DoS攻撃手法ã§ã™ã€‚ã¾ã hashdosã«ã‚ˆã‚‹æ”»æ’ƒäº‹ä¾‹ã¯å ±å‘Šã•ã‚Œã¦ã„ãªã„よã†ã§ã™ãŒã€æ—¢ã«æ”»æ’ƒã‚³ãƒ¼ãƒ‰ï¼ˆPoC）ãŒå…¬è¡¨ã•ã‚Œã¦ã„ã‚‹ãŸã‚ã€ã„ã¤æ”»æ’ƒãŒèµ·ã“ã£ã¦ã‚‚ä¸æ€è°ã§ã¯ãªã„状æ³ã§ã™ã€‚ PHPも影響をå—ã‘るプラットフォームã§ã‚ã‚Šã€PHP5.3.9ã§å¯¾å‡¦äºˆå®šã¨ãªã£ã¦ã„ã¾ã™ãŒã€ã¾ã PHP5.3.9ã¯ãƒªãƒªãƒ¼ã‚¹ã•ã‚Œã¦
ModSecurityã§ãƒ–ルートフォース攻撃を防御ã™ã‚‹ã«ã¯ | OpenGroove
標題ã®ãƒ†ãƒ¼ãƒžã€æ—¥æœ¬èªžã§ã¯æƒ…å ±ãŒå¾—られãªã‹ã£ãŸã€ã€ã€ ã¾ãã€ã‚ã‚Œã“れググるよりもルールをãã¡ã‚“ã¨ç†è§£ã—ã¦ã„れ㰠自分ã§è€ƒãˆã¦è¨å®šã§ãã‚‹ã¯ãšãªã®ã ãŒã€æ®‹å¿µãªãŒã‚‰ã¾ã ç„¡ç†ï¼ˆæ±—）。 ã¨ã‚Šã‚ãˆãšã€è‹±èªžã§è¦‹ã¤ã‘ãŸä»¥ä¸‹ã®è¨å®šãŒãŠæ‰‹æœ¬ã«ãªã‚Šãã†ã§ã¯ã‚る。 （英語ã§ã‚‚ã“ã‚Œãらã„ã—ã‹è¦‹å½“ãŸã‚‰ãªã‹ã£ãŸãªã€œï¼‰ 英語部分ã¯å®Œå…¨ã«æŠœç²‹ã§ã‚る。日本語部分ã¯ã»ã¼æ„訳ã§ã‚る。 ↓　↓　↓ http://www.packtpub.com/article/blocking-common-attacks-using-modsecurity-2.5-part3 A good way to defend against brute force attacks is to allow a certain number of login attempts, say three, and after that start delaying
独自機能ã¨ã‚¹ãƒ†ãƒƒãƒ—アップã§Webã‚»ã‚ュリティを強化ã™ã‚‹è¡“ã¨ã¯
「Web Application Firewall（WAF）ã€ã¯ã€å˜ç´”ã«SQLインジェクション・クãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティングを防ã’ã‚Œã°ã„ã„ã¨ã„ã†ã‚‚ã®ã§ã¯ãªã„。絶ãˆãšé€²åŒ–ã—続ã‘ã¦ã„ã‚‹Webアプリケーションã«å¯¾ã™ã‚‹æ”»æ’ƒã‚’防御ã—ã€ã•ã‚‰ã«æ¬¡ä¸–代ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ã«ã‚‚対応ã—ãŸWAFアプライアンスãŒã‚る。 Webアプリケーションã®è„†å¼±æ€§ã‚’標的ã«ã™ã‚‹ä¸æ£ã‚¢ã‚¯ã‚»ã‚¹æ”»æ’ƒãŒæ¿€å¢—ã—ã€ã€Œé˜²è¡›æ‰‹æ®µã‚’ã™ãã«è¬›ã˜ãŸã„ã€ã¨ã„ã†ä¼æ¥ãŒå¢—ãˆã¦ã„る。Webアプリケーションをä¿è·ã™ã‚‹æ‰‹æ®µã¨ã—ã¦ã€ŒWeb Application Firewall（WAF）ã€ã¸ã®æ³¨ç›®ãŒé«˜ã¾ã£ã¦ãŠã‚Šã€ä»£è¡¨çš„ãªè£½å“ã®1ã¤ã§ã‚ã‚‹ç±³Citrix Systemsã®ã€ŒCitrix Application Firewallã€ã¯ã€éŽåŽ»5年（※注）ã«ã‚ãŸã£ã¦WAFã‚’æä¾›ã—ã¦ããŸå®Ÿç¸¾ãƒ»çµŒé¨“ã‚’æ´»ã‹ã—ã€æœ€æ–°ã®æ”»æ’ƒã«ã‚‚対処ã§ãã‚‹å¼·ã¿ãŒã‚ã‚‹ã¨ã„ã†ã€‚ ※注：旧Teros社時代å«ã‚€ 防御
Imperva SecureSphere WAF機能詳細 | Webアプリケーション・ファイアウォール・アプライアンス | Webアプリケーション・セã‚ュリティ | セã‚ュリティç·åˆã‚µã‚¤ãƒˆÂ | 三è±ç·ç ”DCSæ ªå¼ä¼šç¤¾
ホワイトリストã«ã‚ˆã‚‹é˜²å¾¡ SecureSphere WAFã§ã¯å„ページãŒå—ã‘å–るパラメータã®ãƒ‘ターンをホワイトリストã¨ã—ã¦ãƒ—ãƒãƒ•ã‚¡ã‚¤ãƒ«ã‚’ä¿æŒã—ã¾ã™ã€‚入力ã•ã‚ŒãŸãƒ‘ラメータã¯ãƒ—ãƒãƒ•ã‚¡ã‚¤ãƒ«ã«åŸºã¥ã検査ã•ã‚Œã€ãƒ‘ターンã‹ã‚‰å¤–ã‚ŒãŸæ–‡å—ã®ç¨®é¡žã‚„é•·ã•ã‚’検知ã—ã¾ã™ã€‚例ãˆã°ãƒ‘ラメータã¨ã—ã¦æ•°å—ã—ã‹å—ã‘付ã‘ãªã„入力フィールドã«è¨˜å·ãŒå…¥åŠ›ã•ã‚ŒãŸå ´åˆãªã©ã‚’検知ã§ãã¾ã™ã€‚ ã¾ãŸã‚¢ã‚¯ã‚»ã‚¹ã‚’å—ã‘付ã‘ã‚‹URLã‚‚åŒæ§˜ã«ãƒ—ãƒãƒ•ã‚¡ã‚¤ãƒ«ã¨ã—ã¦ä¿æŒã—ã¾ã™ã€‚プãƒãƒ•ã‚¡ã‚¤ãƒ«ã«å«ã¾ã‚Œãªã„URLã¸ã®ã‚¢ã‚¯ã‚»ã‚¹ã‚‚åŒæ§˜ã«æ¤œçŸ¥ã§ãã‚‹ãŸã‚ã€ç®¡ç†ç”¨ã®Webページãªã©ã‚¨ãƒ³ãƒ‰ãƒ¦ãƒ¼ã‚¶ã‹ã‚‰ã®ã‚¢ã‚¯ã‚»ã‚¹ã‚’想定ã—ã¦ã„ãªã„ページã¸ã®ã‚¢ã‚¯ã‚»ã‚¹ã‚’é®æ–ã§ãã¾ã™ã€‚ 既知ã®æ”»æ’ƒãƒ‘ターンã¸ã®é˜²å¾¡ SQLインジェクションやクãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティングãªã©ã€æ—¢çŸ¥ã®ã‚ˆã知られãŸæ”»æ’ƒãƒ‘ターンã®ãƒ–ラックリストã¨ã—ã¦ã‚·ã‚°ãƒãƒãƒ£ã‚‚æ載ã—ã¦ãŠã‚Šã¾ã™ã€‚SecureSphere WAFã¯ã‚·ã‚°ãƒãƒãƒ£
ライザムーン(LizaMoon)攻撃ã«å¯¾ã—ã¦ã‚‚WAFã¯æœ‰åŠ¹ - ockeghem's blog
ライザムーン攻撃ã«å¯¾ã™ã‚‹è¡Œã届ã„ãŸè§£èª¬ã‚’èªã¿ã¾ã—ãŸã€‚ 大è¦æ¨¡ã‚¤ãƒ³ã‚¸ã‚§ã‚¯ã‚·ãƒ§ãƒ³ 「LizaMoonã€æ”»æ’ƒã«ã¤ã„ã¦èª¿ã¹ã¦ã¿ãŸã€‚ - piyolog ã“ã“ã§ç´¹ä»‹ã•ã‚Œã¦ã„る内容ã¯ç´ 晴らã—ã„ã¨æ€ã†ã®ã§ã™ãŒã€ä¸€ç‚¹ã€WAFã«é–¢ã™ã‚‹ä»¥ä¸‹ã®è¨˜è¿°ãŒå¼•ã£ã‹ã‹ã‚Šã¾ã—ãŸã€‚ SQLインジェクションã§ã‚ã‚Œã°æ—¢çŸ¥ã®æ”»æ’ƒæ‰‹æ³•ã§ã‚ã‚ŠWAFã§é˜²ãã“ã¨ã¯å‡ºæ¥ã‚‹ã®ã§ã¯ã¨ã„ã†è€ƒãˆæ–¹ã‚‚ã‚ã‚Šã¾ã™ãŒã€ä¾‹ãˆã°ãƒ–ラックリストタイプã®WAFã§ã“ã®æ•°å€¤ãƒªãƒ†ãƒ©ãƒ«åž‹ã‚’ã¤ãSQLインジェクションを防ãã“ã¨ãŒå‡ºæ¥ã¾ã›ã‚“。HTTPリクエストã¨ã—ã¦å—ã‘ãŸæ–‡å—列ã ã‘ã§ã€æœ€çµ‚çš„ã«ãƒ‡ãƒ¼ã‚¿ãƒ™ãƒ¼ã‚¹ã«å¯¾ã—ã¦ç™ºè¡Œã•ã‚Œã‚‹SQLã§ãã®æ–‡å—列ãŒã©ã®ã‚ˆã†ãªæ‰±ã„ã«ãªã‚‹ã‹(数値リテラルã«ãªã‚‹ã®ã‹ã©ã†ã‹)判æ–ã™ã‚‹ã“ã¨ãŒå‡ºæ¥ãªã„ãŸã‚ã§ã™ã€‚ 本当ã«ãƒ–ラックリストタイプã®WAFã§é˜²ãã“ã¨ãŒã§ããªã„ã®ã§ã—ょã†ã‹ã€‚IBMã®ãƒ¬ãƒãƒ¼ãƒˆã«ç´¹ä»‹ã•ã‚Œã¦ã„る以下ã®æ”»æ’ƒã§è€ƒãˆã¦ã¿ã¾ã™ã€‚ /target.asp
Webアプリケーション・セã‚ュリティ
ã¯ã˜ã‚ã« ä¼æ¥æƒ…å ±ã‚·ã‚¹ãƒ†ãƒ ã®å¤šãã¯ã€ï¼ˆ1）Webアプリケーション・サーãƒãƒ¼ï¼ˆç”»é¢ã‚„æ¥å‹™ãƒã‚¸ãƒƒã‚¯ã‚’担当ã™ã‚‹ï¼‰ã¨ï¼ˆ2）データベース・サーãƒãƒ¼ï¼ˆãƒ‡ãƒ¼ã‚¿ã‚’æ ¼ç´ã™ã‚‹ï¼‰ã§æ§‹ç¯‰ã•ã‚Œã¦ã„ã¾ã™ã€‚ã“れらã®ã‚µãƒ¼ãƒãƒ¼ãƒ»ã‚½ãƒ•ãƒˆã«å¯¾ã™ã‚‹ä¸æ£ã‚¢ã‚¯ã‚»ã‚¹ã‚„æ“作ミスを防ãã“ã¨ãŒã€ä¼æ¥ã®ãƒ‡ãƒ¼ã‚¿ã‚’守るã†ãˆã§é‡è¦ã§ã™ã€‚ 本連載ã§ã¯ã€2回ã«ã‚ãŸã‚Šã€Webアプリケーション・サーãƒãƒ¼ã®ã‚»ã‚ュリティ（第1回）ã¨ã€ãƒ‡ãƒ¼ã‚¿ãƒ™ãƒ¼ã‚¹ãƒ»ã‚µãƒ¼ãƒãƒ¼ã®ã‚»ã‚ュリティ（第2回）を解説ã—ã¾ã™ã€‚ Webサイトã«ãŠã‘る脆弱性ã®ç¾çŠ¶ Webアプリケーション・サーãƒãƒ¼ã®ã‚»ã‚ュリティ対ç–を考ãˆã‚‹å‰æã¨ã—ã¦ã€ 脆弱性ã®ç¾çŠ¶ è„…å¨ï¼ˆæ”»æ’ƒï¼‰ã®ç¾çŠ¶ を知ã£ã¦ãŠãå¿…è¦ãŒã‚ã‚Šã¾ã™ã€‚脆弱性ã¨è„…å¨ã®ä¸¡æ–¹ãŒæƒã†ã¨ã€ä¼æ¥ã®ãƒ‡ãƒ¼ã‚¿ã¯å®‰å…¨ã§ã¯ãªããªã‚Šã¾ã™ã€‚ ã¾ãšã¯ã€è„†å¼±æ€§ã®ç¾çŠ¶ã‹ã‚‰èª¬æ˜Žã—ã¾ã™ã€‚ IPAï¼ˆç‹¬ç«‹è¡Œæ”¿æ³•äººæƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹ï¼‰ã®ã‚»ã‚ュリティセンターã§ã¯ã€çµŒæ¸ˆç”£æ¥çœã®å‘Šç¤ºã«åŸºã¥ãã€ã‚½ãƒ•ãƒˆã‚¦
「WAFã§Webアプリã®æ—©æœŸãƒªãƒªãƒ¼ã‚¹ãŒå¯èƒ½ã«ã€ã€ç±³F5 Networks製å“マãƒãƒ¼ã‚¸ãƒ£ | IT Leaders
インプレスビジãƒã‚¹ãƒ¡ãƒ‡ã‚£ã‚¢ã¯2010å¹´5月24æ—¥ã€ç±³F5 Networksã§ã‚»ã‚ュリティ分野ã®ãƒ—ãƒãƒ€ã‚¯ãƒˆãƒ»ãƒžãƒãƒ¼ã‚¸ãƒ£ã‚’努ã‚ã‚‹Ido Bregeræ°ã«ã€WAFã®å¸‚å ´å‹•å‘ã¨ã€BIG-IP ASMã®æœ€æ–°æ©Ÿèƒ½ã«ã¤ã„ã¦èžã„ãŸã€‚ ---WAFã‚’å–ã‚Šå·»ã2010å¹´ç¾åœ¨ã®å¸‚å ´å‹•å‘ã¯ã€‚ Ido Bregeræ°: ã¾ãšã€å®ˆã‚‹ã¹ãWebシステムãŒå¢—ãˆã¦ã„る。Webサーãƒãƒ¼å´ã®å¤‰åŒ–ã¨ã—ã¦ã¯ã€ã“ã“ã¸ãã¦ãƒ¬ã‚¬ã‚·ãƒ¼ãƒ»ã‚·ã‚¹ãƒ†ãƒ ã®Web化ãŒåŠ 速ã—ã¦ã„る。Webクライアントå´ã®å¤‰åŒ–ã¨ã—ã¦ã¯ã€ã‚¿ãƒ–レットPCやスマートフォンã®æµ¸é€ã«è¦‹ã‚‰ã‚Œã‚‹ã‚ˆã†ã«ã€ã„ã¤ã§ã‚‚ã©ã“ã§ã‚‚誰ã§ã‚‚Web化ã•ã‚ŒãŸæ¥å‹™ã‚·ã‚¹ãƒ†ãƒ ã«ã‚¢ã‚¯ã‚»ã‚¹ã§ãる状æ³ã«ãªã£ã¦ãã¦ã„る。 攻撃対象ã¨ãªã‚‹Webシステムã®ç¨®é¡žã‚‚増ãˆã¦ããŸã€‚特定ã®ä¼æ¥ã‚’対象ã¨ã—ãŸæ”»æ’ƒã ã‘ã§ãªãã€ä¸ç‰¹å®šå¤šæ•°ã¸ã®æ”»æ’ƒã‚’自動的ã«å®Ÿæ–½ã™ã‚‹å‹•ããŒã€ã“ã“1å¹´ã»ã©é«˜ã¾ã£ã¦ã„る。Webシステムをランダムã«ã‚¹ã‚ャン（走査）
“完璧ãªWAFâ€ã«å¦ã¶WAFã®é˜²å¾¡æˆ¦ç•¥ - ockeghem's blog
ã‚»ã‚ュリティExpert 2010ã«å¤§æ²³å†…智秀æ°ãŒã€Œç¾çŠ¶ã®èª²é¡Œã¨â€œå®Œç’§ãªWAFâ€ã€ã¨é¡Œã—ã¦å¯„稿ã•ã‚Œã¦ã„る。大変興味深ã„内容ã§ã‚ã‚‹ã®ã§ã€ã“ã®å¯„稿をãªãžã‚ŠãªãŒã‚‰ã€WAFã®é˜²å¾¡æˆ¦ç•¥ã«ã¤ã„ã¦æ¤œè¨Žã—ã¦ã¿ãŸã„。 クãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング(XSS)ã«å¯¾ã™ã‚‹é˜²å¾¡ 大河内æ°ã®å¯„稿ã®å‰åŠã¯ã€ç¾çŠ¶ã®WAFã®èª²é¡Œã¨ã—ã¦ã€Webアプリケーションã«å¯¾ã™ã‚‹æ”»æ’ƒã®å¤šã（大åŠï¼‰ãŒWAFã®ãƒ‡ãƒ•ã‚©ãƒ«ãƒˆè¨å®šã§ã¯é˜²å¾¡ã§ããªã„ã¨æŒ‡æ‘˜ã™ã‚‹ã€‚例ãˆã°ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング(XSS)ã«é–¢ã—ã¦ã¯ã€ä»¥ä¸‹ã®ã‚ˆã†ãªæŒ‡æ‘˜ãŒã‚る。 ä»®ã«scriptをブラックリストã«æŒ‡å®šã—ãŸã¨ã—ã¾ã—ょã†ã€‚ãã‚Œã§ã‚‚ã¾ã ä¸å分ã§ã™ã€‚<IMG>ã‚¿ã‚°ã§XSSãŒç™ºå‹•ã™ã‚‹ã“ã¨ã‚’ã”å˜ã˜ã§ã—ょã†ã‹ï¼Ÿãƒ—ãƒã‚°ãƒ©ãƒ ãªã©ã§ã¯<IMG>ã‚¿ã‚°ã¯ç”»åƒæ·»ä»˜ã«å¿…é ˆã§ã‚ã‚Šã€WAFã§ç¦æ¢ã™ã‚‹ã“ã¨ã¯é›£ã—ã„ã®ãŒå®Ÿæƒ…ã§ã€ãƒ–ラックリスト方å¼ã®èª²é¡Œã¨ãªã£ã¦ã„ã¾ã™ã€‚ 「ç¾çŠ¶ã®èª²é¡Œã¨â€œå®Œç’§ãªWAFâ€ã€ã‚ˆã‚Šå¼•
SQL インジェクション2.0(WP_SQL_Injection20_J.pdf)
2024.02.26 NEW æ ªå¼ä¼šç¤¾CONVICTIONã®å会社化ã«ã¤ã„㦠2024.02.22 NEW WEB風評対ç–サービス「FB SATRep.ã€æ供開始ã«ã¤ã„㦠2024.01.31 FB SATシリーズ新サービスã®æ供開始ã«ã¤ã„㦠2024.01.29 Eye“247†Safety Zone シリーズ　販売開始ã®ãŠçŸ¥ã‚‰ã› 2024.01.19 マãƒã‚¸ãƒ¡ãƒ³ãƒˆå¼·åŒ–対ç–ウェビナー「社員ãŒå–œã¶ãƒžã‚¤ã‚¯ãƒãƒžãƒã‚¸ãƒ¡ãƒ³ãƒˆã«ã¤ã„ã¦è§£èª¬ã€1月24日（水）12:00開催
ランã‚ング
ランã‚ング
ランã‚ング
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
テクノãƒã‚¸ãƒ¼ãŒç´¡ã世界 - jstshingi.jp
SiteGuard　サイトガード　å„種管ç†æ©Ÿèƒ½
Search | Packt Subscription
Webアプリケーション・セã‚ュリティ
ベリサインã€SaaSåž‹ã®Webアプリファイアウォール「Scutumã€è²©å£²
ウェブé‹å–¶è€…å‘ã‘セミナー開催ã®ãŠçŸ¥ã‚‰ã›ï¼šIPA 独立行政法人 æƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹
{{#tags}}- {{label}}
{{/tags}}