InstanceMetaDataV2を分かりやすく解説してみる - サーバーワークスエンジニアブログ
技術三課の杉村です。2019年11月、Amazon EC2のInstance Metadata Service v2(IMDSv2)が発表されました。 セキュリティ強化のためのアプデですが、どうして、どのようにしてセキュリティ強化になるのか、ピンとこない方もいたかもしれません。 当投稿では下記の公式ブログを抄訳して、IMDSv2がどのようにセキュリティ強化につながるのか簡単に解説したいと思います。 Add defense in depth against open firewalls, reverse proxies, and SSRF vulnerabilities with enhancements to the EC2 Instance Metadata Service 基本的に上記ブログの抄訳（抜粋して訳したもの）ですが、一部補足をしています。 1. ポイント デフォルトではIMD
CloudFront専用のALBをリクエストルーティングで設定してみた | DevelopersIO
はじめに AWSチームのすずきです。 ALBの高度なリクエストルーティング を利用して、CloudFront、CDNを経由しない、ELBへの直リクエストを禁止したALBを設定する機会がありましたので、紹介させていただきます。 https://dev.classmethod.jp/cloud/aws/advanced-request-routing-for-alb/ ELB設定 デフォルトルールの編集 設定対象のALBを選択、「リスナー」のタブより「ルールの表示/編集」より設定を行います。 「デフォルトアクション」 のルールを変更します。 デフォルトアクションとして以下を設定しました 固定レスポンスを返す レスポンスコード: 403 Content-Type: text/plain; レスポンス本文: Not authorized CloudFront access. カスタムルールの追加
AWS WAFとLambda@edgeで理想のフルログはできるのか - セキュアスカイプラス
はじめに はじめまして、事業開発部と研究開発部に属している宇田川です。 AWS関連の新機能や新サービスに都度都度熱狂しておりますが、最近もっとも熱狂したニュースはこちら。 AWS WAF の包括的なログ記録機能が新たに利用可能に 早速、調査！ だが、しかし、POSTリクエストのBodyは記録されず… 私が欲しい理想のフルログは、POSTリクエストのBodyのデータも出力されているログ。 で無ければ、AWS WAFで検知したとしても、正常な検知なのか誤検知なのか判断できません。 駄目なのか。。。 諦めかけていたそのとき、希望の光 Lambda@Edgeでrequest bodyが取得可能となりました！！ Global Data Ingestion with Amazon CloudFront and Lambda@Edge そこで思い立つ AWS WAFとLambda@edgeをCloudF
「【エンジニア編】AWS活用を考えているなら”必ず！”知っておくべきセキュリティの話」参加レポート | DevelopersIO
大阪出張中の丹内です。 アマゾン大阪オフィスで開催された、【エンジニア編】AWS活用を考えているなら”必ず！"知っておくべきセキュリティの話に参加したのでレポートします。 なお、ビジネス編のレポートはこちらになります。 発表 AWSを利用する上で知っておくべきセキュリティ事項とセキュリティ関連サービスの紹介 登壇者はアマゾンウェブサービスジャパン株式会社 パートナーソリューションアーキテクトの小梁川 貴史氏です。 お馴染みの責任共有モデルから始まりました。会場でも半数の方が聞いたことがあるようでした。これは、総合的なセキュリティを保つため、AWSはクラウドのセキュリティに、ユーザはクラウド内のセキュリティに責任を分担して持つという考え方です。「セキュリティをAWSにオフロードする」という表現をされていて、しっくりきました。 RDSなどマネージドサービスを使う場合は、AWSがミドルウェアまで
AWS WAFをバイパスしてSQLインジェクション攻撃をしてみる - Soon Lazy
最近はAWS WAFを触っています。こういう防御ツールは、やはり攻撃をどれぐらい防いでくれるか気になります。AWS WAFの場合、SQLインジェクション系の脆弱性を探ってくれるsqlmapをかけたところ、攻撃をブロックしてくれたという記事があります。 記事を読んだり自分でちょっと試したりして、ちゃんとSQLインジェクション攻撃を防いでくれるんだーと思っていました。が、つい先日WAFをバイパスしてSQLインジェクション攻撃をするテクニックがあることを知りました。例えばOWASPのこのページには、そういうテクニックがいくつか紹介されています。 こうなると気になるのは、AWS WAFに対してWAFバイパスのテクニックを使うとどうなるかです。というわけで、実際に試してみました。 単純にSQLインジェクションしてみる まずは、AWS WAFがないときにSQLインジェクションができること、また、AWS
AWS初心者向けWebinar AWS上でのDDoS対策
The document provides an overview of an AWS webinar on CloudFormation that will cover: 1) An introduction to CloudFormation and how to get started with it. 2) Development, testing, deployment, and operation methods for CloudFormation. 3) The webinar is intended for those new to CloudFormation or already using it to learn about useful CloudFormation features and efficient automation methods in 2020
"AWS WAF"に対して"sqlmap"で"SQL injection"の攻撃をしてみた | iret.media
下記の記事でIPアドレスでのブロックは確認できたので、 "AWS WAF"を使って特定のIPアドレスからのアクセスをブロック 今回はSQL injectionのブロックを確認してみようと思います。 次のようなQuery Stringでパラメータを渡すパターンで簡単に試してみます。 $ curl http://d3q07yq8vdynnt.cloudfront.net/test.txt?id=1 test まずはWAFの設定です。 Condition(SQL injection match condition) の作成 Query StringをURLデコードした結果に対してSQL Injectionのチェックを行うように設定します。 ルールの設定 上記のConditionに引っかかったらアクションするようにルールを設定します。 Web ACLの設定 ルールに対するアクションがBlockにな
Impervaでセキュリティを高める~SecureSphere~ - サーバーワークスエンジニアブログ
Street Workoutを日本に広めたい、高橋（技術1課）です。近頃は鉄棒のある公園が限られていて寂しい限りです。 さて今回はクラウド対応型WAFサービスの、Imperva社のSecureSphereをご紹介します。 訂正 Imperva社の"SecureSphere"を、誤ってImperva社と同じ"Imperva"と紹介しておりました。失礼いたしました。 2015.05.01(Fri) Impervaとは何か SecureSphereは、Imperva社が提供しているクラウド型Webアプリケーションファイアウォールです。 以前からハードウェア版の製品のみありましたが、新しいバージョンよりAWSプラットフォームに対応しました。 Gartner社が2014年に発表した"Magic Quadrant for Web Application Firewalls"においては、業界を牽引する"
Imperva SecureSphereでAWS AutoScaling対応のWAF構築 #1概要 | DevelopersIO
ども、大瀧です。 Webアプリケーションへの攻撃対策としてWAF(Web Application Firewall)が広く利用されるようになりました。AWSでホストするWebシステムでもWAFが求められる案件が最近増えてきている反面、WAFプロダクトによってはAWSの各サービスとの組み合わせに制約がありAWSの伸縮性や柔軟性が生かせないケースもあります。そこで今回は、AWSサービスとの親和性が高いWAFプロダクトとしてImperva SecureSphereによるELB&Auto Scalingを組み合わせた構成をご紹介します。 Imperva社のWAFプロダクト Imperva社のWAFプロダクトは2014年のガートナー社WAF Magic Quadrantでリーダーに位置づけられている、ワールドワイドでは著名な製品です。クラウド(SaaS)型WAFのIncapsulaとアプライアンス型
【AWS】統合脅威管理「Sophos UTM」を使ってVPC間をIP-VPN接続する | DevelopersIO
コカコーラが大好きな梶です。 すごく遅くなりましたが明けましておめでとうございます。本年もよろしくお願い致します。 異なるリージョン間のVPCをネットワーク接続するには、MarketplaceのソフトウェアルータでIP-VPNを利用します。 （VPC Peeringは現在のところ、同一リージョン間のみのため） 今回は、弊社でSSL-VPNでよく用いられているSophos UTMでVPC間のIP-VPN接続を実施しましたので解説します。 構成 今回の構成は以下となります。 Public SubnetにSophos UTMをそれぞれのVPCに配置 オンプレミスのネットワーク機器だとNICを2つで構築するのが一般的ですが、今回は1本足（1アーム）構成です。 Site-AとSite-B間の通信をVPN接続を経由して通信します。 導入方法 Sophos UTMの各VPCでのセットアップは以下のブログ
AWS上で Sophos UTM 9 の Web Application Firewall (WAF) を使ってSQLインジェクション攻撃を検出・防御してみた ｜ クラスメソッド開発ブログ
よく訓練されたアップル信者、都元です。今回のテーマは「WAF on AWS」です。 WAFとは 通常、ファイヤーウォールと言えば、レイヤー2や3（IP, TCP/UDP）における通信制御を思い浮かべると思います。どのIPアドレスから、どのポートに対する通信を許可する、または拒否する、所謂パケットフィルタリングです。これに対してウェブアプリケーションファイヤーウォール(WAF)とは、レイヤー7（アプリケーション層）で動作するファイヤーウォールです。具体的には、SQLインジェクションやXSS等の攻撃を検知して防御する働きを持った、リバースプロキシサーバだと考えると分かりやすいでしょう。 Sophos UTMとは UTMとは Unified Threat Management の略で、日本語では「統合脅威管理」と訳されたりします。先に紹介したWAFをはじめ、システムにとってのあらゆる脅威を統合的
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
OWASP ZAPをプロキシとして使用し、リクエストを再現して脆弱性チェックする方法 | Lancork
※当ブログではアフィリエイト広告を利用しています。 ペネトレーションテストツール「OWASP ZAP」でWEBサイトの脆弱性を簡易チェックする方法は以前、エントリにまとめましたが、フォームで入力チェックを行っている場合などはその方法では脆弱性を検知できないことがあります。 そのような場合でも「OWASP ZAP」をプロキシとして使用し、リクエストを再現すれば脆弱性を検知できるため、その方法をまとめます。 OWASP ZAPの簡易チェック（Quick Start）で脆弱性が発見できないのはどんな場合？ 以前のエントリで紹介した方法では、指定したURLにOWASP ZAPが自動的にスキャンをかけて脆弱性をチェックしました。 しかしお問い合わせフォームなどでプログラムの先頭のほうで値の入力チェックを行う場合などは入力チェックエラー等で処理が途中で終わることがあります。このような場合、本来脆弱性が
OWASP ZAPでWEBサイトの脆弱性を簡易チェックする方法まとめ | Lancork
※当ブログではアフィリエイト広告を利用しています。 ひょんなことからWEBサイトの脆弱性をチェックする機会がありました。 オープンソースの脆弱性チェックツール「OWASP ZAP」でWEBサイトの脆弱性を簡単にチェックしてみたため、その方法をまとめてみます。 1.OWASP ZAPとは？ OWASP(Open Web Application Security Project)が提供している、WEBサイトの脆弱性を診断するためのぺネトレーションテストツールです。オープンソースで、無料で使用できます。 診断可能な脆弱性の代表的な例 クロスサイトスクリプティング(反射型) SQLインジェクション CRLF インジェクション パラメータタンパリング パストラバーサル 2.OWASP ZAPのインストール(Windows) 2-1.下記ページ中央の「Download ZAP」より、ダウンロードページ
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
OWASP CRS | OWASP Foundation
This website uses cookies to analyze our traffic and only share that information with our analytics partners. Accept The 1st Line of Defense Against Web Application Attacks The OWASP CRS is a set of generic attack detection rules for use with ModSecurity or compatible web application firewalls. It aims to protect web applications from a wide range of attacks, including the OWASP Top Ten, with a mi
IPA-WebApplicationFirewall(WAF)読本改訂第2版.pdf
Web Application Firewall を理解するための手引き Web Application Firewall を理解するための手引き 2011 年 12 月 Web Application Firewall (WAF) 読本 改訂第２版 本書は、以下の URL からダウンロードできます。 「Web Application Firewall(WAF)読本」 http://www.ipa.go.jp/security/vuln/waf.html 1 目次 目次................................................................................................................................................... 1 はじめに ........
無償かつ高機能な「ModSecurity」をもっと活用しよう！
無償かつ高機能な「ModSecurity」をもっと活用しよう！：OWASP AppSec USA 2013 レポート（後編）（1/2 ページ） 前編に続き、講演内容を中心に、Webアプリケーションのセキュリティに関する国際的なカンファレンス「OWASP AppSec USA 2013」の模様をお伝えします。 2013年11月18日から11月21日の4日間にわたり、米国ニューヨークでWebアプリケーションのセキュリティに関する国際的なカンファレンスである「OWASP AppSec USA 2013」が開催されました。前回の記事に続き、そのトレーニングや講演の模様を紹介していきます。 注目すべきModSecurityの機能とは 筆者らが受講した2つ目のトレーニングは、「Web Application Defender’s Cookbook: LIVE」です。このコースはModSecurityを
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
とある診断員とSQLインジェクション
ModSecurity (mod_security) - Open Source Web Application Firewall