“完璧なWAF”に学ぶWAFの防御戦略 - ockeghem's blog
セキュリティExpert 2010に大河内智秀氏が「現状の課題と“完璧なWAF”」と題して寄稿されている。大変興味深い内容であるので、この寄稿をなぞりながら、WAFの防御戦略について検討してみたい。 クロスサイト・スクリプティング(XSS)に対する防御 大河内氏の寄稿の前半は、現状のWAFの課題として、Webアプリケーションに対する攻撃の多く（大半）がWAFのデフォルト設定では防御できないと指摘する。例えばクロスサイト・スクリプティング(XSS)に関しては、以下のような指摘がある。 仮にscriptをブラックリストに指定したとしましょう。それでもまだ不十分です。<IMG>タグでXSSが発動することをご存じでしょうか？プログラムなどでは<IMG>タグは画像添付に必須であり、WAFで禁止することは難しいのが実情で、ブラックリスト方式の課題となっています。 「現状の課題と“完璧なWAF”」より引
技術評論社のセキュリティ対策最適化セミナーのパネルディスカッション - うさぎ文学日記
今日、お昼過ぎまでは翔泳社さんのMarkeZine Day 2009を見に行って、午後からは品川のコクヨホールで開催された技術評論社さんのセキュリティ対策最適化セミナーに参加してきました。 お目当ては豪華メンバーのパネルディスカッションです。 キーパーソンが語る！ 企業セキュリティ対策のこれから モデレータ： 三輪 信雄 氏（S&Jコンサルティング株式会社） パネラー： 新井 亨 氏（味の素システムテクノ株式会社 専任課長）， 新井 悠 氏（株式会社ラック サイバーリスク総合研究所 所長）， 満塩 尚史 氏（株式会社イマーディオ代表取締役／環境省CIO補佐官）， 歌代 和正 氏（一般社団法人 JPCERTコーディネーションセンター 代表理事） セキュリティ対策最適化セミナー … 技術評論社 モデレーターは言わずと知れた、セキュリティ技術武闘派の三輪さんです。 パネラーには、環境省CIO補佐
高価なWAFはもういらない！SaaS型WAF「Scutum」の魅力 (1/2)
SaaS型のWAF（Web Application Firewall）サービスを銘打った「Scutum（スキュータム）」が6月にスタートした。WAFといえば高価で導入が難しいというイメージがあるが、ScutumはこうしたWAFの課題を一気に解消するという。さっそく提供元のセキュアスカイ・テクノロジーと技術協力を行なったビットフォレストの担当者を取材した。 アプライアンス1台分の料金で 8年間利用できるSaaSのWAF WAFはSQLインジェクションやXSS（クロスサイトスクリプティング）など、Webアプリケーションに対する攻撃を防御するのに特化したファイアウォールを指す。クレジットカード会社が策定したセキュリティ標準規格であるPCI DSS（Payment Card Industry Data Security Standard）の中でも実装が明示されており、昨今大きな注目を集めている。し
Application Security recent news | Dark Reading
Dark Reading is part of the Informa Tech Division of Informa PLC This site is operated by a business or businesses owned by Informa PLC and all copyright resides with them. Informa PLC's registered office is 5 Howick Place, London SW1P 1WG. Registered in England and Wales and Scotlan. Number 8860726.
白黒はっきりつけたいWAFの最新事情
5月13日に始まった「第6回 情報セキュリティEXPO」。インターネットからの攻撃はますます複雑化し、ターゲットもOSやWebサーバではなく、Webアプリケーションに絞られてきている。これに対抗するのが、WAF（Web Application Firewall）である。 Webサイト攻撃増加とPCI DSSで 注目を浴びるWAF 情報漏えい対策のような社内セキュリティに注目が集まる中、インターネットとLANの間に設置するゲートウェイ型セキュリティ製品もいくつか登場している。ファイアウォールやIPS、UTM製品も多いが、トレンドとなっているのは、やはりWAFである。 WAFは名前の通り、Webアプリケーションの防御に特化したHTTP・HTTPS専用のファイアウォールで、今から5年前くらいにアプライアンス型の製品が登場。当初は高価で、フィルタリング設定に融通が利かなかったため、なかなか普及しな
ASP.NET 1.1に新たなSQLインジェクションの可能性，IDS/IPS/WAFを素通り
ASP.NET 1.1を使っているWebサイトに，新たなSQLインジェクション攻撃の可能性が潜んでいることが分かった。セキュリティ・コンサルティング会社であるHASHコンサルティングの徳丸 浩氏が見付けた（HASHコンサルティングが公開した情報）。 同氏が発見したのは，不正なパーセント・エンコードを利用して，IDS/IPS（侵入検知/防御システム）やWebアプリケーション・ファイアウォール（WAF）による検知を回避する手法である。不正なパーセント・エンコードを利用した検知回避については，ラックが2008年10月に公開した「【CSL】CSL緊急注意喚起レポート～新手のSQLインジェクションを行使するボットの確認～」と題するホワイトペーパーで紹介されている。徳丸氏が発見したのは，その手口の応用版である。 ASP（Active Server Pages）では，「DEC%LARE」のようにパーセン
米FortinetがWAF市場に参入、トータルセキュリティの提供目指す
米Fortinetは2月17日（米国時間）、Webアプリケーションファイアウォール（WAF）アプライアンス「FortiWebシリーズ」を発表した。まず、中/大規模向けの「FortiWeb-1000B」を提供する。 もともとはUTM（統合脅威管理）アプライアンスの専業ベンダーとして知られる同社だが、2008年には、米IPLocksから取得した技術をもとにデータベースセキュリティアプライアンス「FortiDB」をリリースし、アプリケーションセキュリティの分野に進出。今回のWAF提供で、さらに同分野に本腰を入れてきた。 これについてFortinetのCTO、マイケル・ジー氏は、「顧客から特定の領域でセキュリティを高めたいという要望をもらっている。Web サービスはエンタープライズでも一般的になり、社内的にWebサーバーが増えていることもあって、その保護に対する需要は増えている」と述べ、事業領域の
,97人伦影院A级毛片,国产AⅤ激情无码久久男男剧,亚洲中文字幕无码日韩
,97人伦影院A级毛片,国产AⅤ激情无码久久男男剧,亚洲中文字幕无码日韩,精品无码AV一区二区三区不卡,中文字幕乱视频在线观看,99久久国产综合精品成人影院,76少妇精品导航,国产AV无码专区亚洲AV,国产日产亚洲系列最新,日本免费一区二区三区激情视频
ASP(Active Server Pages)はパーセントエンコード文字列のデコード時に半端なパーセント記号を除去する - ockeghem's blog
yamagataさんの日記経由。MS ASPは、不正なパーセントエンコードされた文字列をデコードする際に、パーセント記号「%」を除去するようです。下表に、ASPでのデコード例と、その他の処理系を代表してPerlのCGIモジュール(CGI.pm)でのデコード例を挙げました。 元の文字列 デコード後(ASP) デコード後(CGI.pm) 備考 %41%31%21 A1! A1! 正常パターン %XJ XJ %XJ %の後が16進文字列でない %AJ AJ %AJ %の後一文字だけ16進文字列 DEC%ORD DECORD DEC%ORD %が除去される DEC%%%ORD DECORD DEC%%%ORD 複数の%が除去される yamagataさんも指摘されているように、アプリケーション側で脆弱性対策をしている場合には、このような挙動の違いは気にしなくてもよいことです。アプリケーションプログラ
ホワイトリストとブラックリスト – Firewallの場合
(Last Updated On: 2018年4月6日)ホワイトリストとブラックリストの議論はFirewallの利用が一般的になる過程で十分に議論され、90年代に議論され尽くした、と思っていました。しかし、解説の余地はまだまだあるようです。ネットワークFirewallによるセキュリティ対策を簡単に振り返り、セキュアコーディングの現状を考察したいと思います。 追記：このエントリはネットワークFirewallのポートフィルタリングについて議論しています。ホワイトリストで対策すべきはアプリケーション自体です。ネットワークFiewallはホワイトリスト型セキュリティで対策しますが、WAFなどのアプリケーションFirewallはブラックリスト方式で対策するのが現実的です。ホワイトリストの基本中の基本は”デフォルトで全て拒否する”であることに注意してください。全て拒否した上で、許可するモノ、を指定しな
第02回まっちゃ４４５勉強会 - ockeghem's blog
第02回まっちゃ４４５勉強会(第02回まっちゃ４４５勉強会 - まっちゃだいふくの日記★とれんどふりーく★)でWAFの話をさせていただきました。講演資料はこちら。 私自身の感想として、あらためて竹迫さん(id:TAKESAKO)は優しい方なのだなという思いを強くしました。自らは天才プログラマなのに、初心者を慮った言動が際だっていました。「初心者がいきなりセキュアプログラミングの奥義を示されてもとまどうでしょ」みたいな。Namazuのセキュリティ対策の体験がきいているのかもしれませんが、それにしても、です。 mod_waffulは面白そうですね。自分でもシグネチャを書いてみたくなりました。今ちょっと忙しくて手が回らないのですが、そのうち手をつけたいと思います。 ホワイトリストの話はまた別の機会に。
ホワイトリストと出力
(Last Updated On: 2018年6月12日)先週末、まっちゃ445というセキュリティ勉強会にお呼び頂きました。未修正のPHP4/5の脆弱性やパネルディスカッションのパネラーとして話をさせて頂きました。関係者の皆様、いろいろ参考になりました。ありがとうございました。 この勉強会の主題の一つがWeb Application Firewall(WAF)でした。パネルディスカッションのテーマもWAFでした。進行役にはサイバー大学の園田さん、パネラーにはサーボーズラボの竹迫さん、HASHコンサルティングの徳丸さん、そして私の4人でパネルディスカッションを行いました。 3人ともWAFの効用や限界に意見の相違はなかったのですが、私と徳丸さんにはシステム開発に於けるブラックリストとホワイトリストの使い方には意見の相違があったと思います。うまく議論をまとめられなかったのでブログに書きます。 追
WAFを設置しなければならない
Webアプリケーションシステムには特有の脆弱性が多く存在している。また，昨今のアプリケーションの多くでWebアプリケーションが利用されることが多くなってきた。PCI DSSでは，その脆弱性を利用した攻撃からカード会員データを保護するため，PCI DSS Ver1.1で新たに要件6.6を定めている。 この要件は，“2008年6月30日まではベストプラクティス”としているが，それ以降は必須要件となる。従って，PCI DSS Ver1.0に準拠している組織にとっても注意が必要である。以下，要件6.6にて定めるアプリケーション防護策について述べる。 すべてのWebに面したアプリケーションは，以下のどちらかの手法を適用することで，既知の攻撃から防護されなければならない。 ・カスタム・アプリケーション・コードについては、アプリケーションセキュリティに特化した組織に依頼して、一般的な脆弱性についての見直
[セキュリティ]javascript://のXSS 00:17 - 2008-07-30 - T.Teradaの日記
こんな場合、普通はjavascriptやdataスキームなどを使ってXSSさせるのでしょう。 <a href="ここにHTMLエンコードされて入る">link</a> しかし、このアプリは「javascript://...」のように、先頭からアルファベット数文字が続き、その直後に「://」が付いている値以外は、エラーではじいてしまいます。 この「:」のあとの「//」が曲者です。 dataスキーマを試してみましたが、「//」があるとどうやらダメらしいということで、javascriptスキームで頑張ってみます。 まずはこんな感じです。 <a href="javascript://hoge[0x0A]alert(111)">link</a> 「//」が行コメントの開始になるため、[0x0A]（LF）や[0x0D][0x0A]（CRLF）を入れてみて、その後に動かしたいJavaScriptコードを
![[セキュリティ]javascript://のXSS 00:17 - 2008-07-30 - T.Teradaの日記](https://cdn-ak-scissors.b.st-hatena.com/image/square/3ce21f422dafba32f7c257ef3ed09227bfdd2c5e/height=288;version=1;width=512/https%3A%2F%2Fogimage.blog.st-hatena.com%2F10257846132711010800%2F10257846132711092219%2F1548045373)
そろそろWAFに関して一言いっとくか～三重苦を乗り越えてWAFが普及するための条件とは～
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2） 備忘のため転載いたしますが、この記事は2008年7月22日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 なお、この記事を書いた後、WAFはこの記事の予言（願い?）通りに進展したように思います。そのあたりの歴史については、こちらのインタビュー記事を参照下さい。 補足終わり PCIデータセキュリティ基準(PCIDSS)がWAF(Web Application Firewall)について言及していることなどから、最近再びWAFへの関心が高まっている。一方、WAFは、一部のユーザや専門家に非常に評判が悪い。なぜ、そのようなことになるのか。本稿では、WAFの基本機能を説明した上で、その限界と運用上の問題を指摘し、今後のWAFの使い方
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://tokumaru.org/d/20080722.html
http://japan.internet.com/webtech/20090601/7.html
SiteGuard サイトガード 機能評価
http://www.hash-c.co.jp/archive/matcha445.html
JVNDB-2007-001180 - JVN iPedia - 脆弱性対策情報データベース