Web Application Firewall 読本 | アーカイブ | IPA 独立行政法人 情報処理推進機構
2019年3月28日に、「Web Application Firewall 読本」の補足資料として、「Web Application Firewallの導入に向けた検討項目」を公開しました。 こちらは、WAFの導入を検討されている方、既に導入済みで運用を見直したい方向けに、WAFにはどのような製品・サービス種類が存在し、どのような特徴があり、 運用の際にどのような体制が必要かを解説しております。 概要 「Web Application Firewall 読本」 「Web Application Firewall 読本」は、ウェブサイト運営者がWAFの導入を検討する際に、WAFの理解を手助けするための資料です。本資料では、KISA(*1)やOWASP(*2)、WASC(*3)などの機関におけるWAFに関する取り組み、WAFの概要、機能の詳細、導入におけるポイント等をまとめました。 第1章では
New open source web application layer firewall 'ESAPI WAF' released
"The open-source ESAPI WAF is a departure from commercial, network-based firewalls, as well as ModSecurity's free WAF, says Arshan Dabirsiaghi, developer of the ESAPI WAF and director of research for Aspect Security. Dabirsiaghi will roll out the WAF at the OWASP Conference in Washington, D.C., in November. "WAFs today are deployed as appliances meant to protect a suite of applications. They're ki
オープンソース由来の国産WAFにかける意気込み
Webアプリケーションファイアウォールの機能をサービスとして提供する国内初の取り組みをセキュアスカイ・テクノロジー（SST）が始めた。オープンソース由来の同サービスの開発を手がける金床氏とSSTの若林氏に、その狙いと目標を聞いた。 WebサイトやWebアプリケーションを標的にするサイバー攻撃が激増する中、これらの攻撃に対処する手段としてWebアプリケーションファイアウォール（WAF）が注目されている。WAFはクロスサイトスクリプティングやSQLインジェクションなどWeb特有の脆弱性に特化してシステムを保護できるものの、導入や運用にはある程度の手間やコストも伴うことから、使いこなすようになるまでには時間やリソースを費やす側面もある。 Webセキュリティ企業のセキュアスカイ・テクノロジー（SST）は、オープンソースのWAF「Guardian」をベースにWAFの機能をオンラインで安価に提供する国
高価なWAFはもういらない！SaaS型WAF「Scutum」の魅力 (1/2)
SaaS型のWAF（Web Application Firewall）サービスを銘打った「Scutum（スキュータム）」が6月にスタートした。WAFといえば高価で導入が難しいというイメージがあるが、ScutumはこうしたWAFの課題を一気に解消するという。さっそく提供元のセキュアスカイ・テクノロジーと技術協力を行なったビットフォレストの担当者を取材した。 アプライアンス1台分の料金で 8年間利用できるSaaSのWAF WAFはSQLインジェクションやXSS（クロスサイトスクリプティング）など、Webアプリケーションに対する攻撃を防御するのに特化したファイアウォールを指す。クレジットカード会社が策定したセキュリティ標準規格であるPCI DSS（Payment Card Industry Data Security Standard）の中でも実装が明示されており、昨今大きな注目を集めている。し
アカマイが“クラウドベースのWAF”を実現、PCIDSS準拠ネットワークとして提供
アカマイ株式会社は5月20日、クラウドベースのWebアプリケーションファイアウォールモジュール（以下、WAFモジュール）を発表した。アカマイのサーバーネットワーク「EdgePlatform」上に実装されるWAFで、攻撃トラフィックがデータセンターに届く前に防御できるのが特長。これを利用して、クラウド上で安全なクレジットカード決済用ネットワークを提供する「PCIDSS完全準拠サービス」も、同日からスタートする。 WAFモジュールは、SQLインジェクションやクロスサイトスクリプティングなどのHTTP攻撃から、Webアプリケーションを防ぐためのセキュリティモジュール。世界中のアカマイネットワーク上に4万台分散されたサーバー群・EdgePlatform上に実装される。データセンター側に専用ハードウェアを設置しなくて済むほか、保守・運用もアカマイが行うため、ユーザーはWAFの運用コストを削減できる。
WAF Virtual Patching Challenge - Securing WebGoat with ModSecurity
WAF Virtual Patching Challenge: Securing WebGoat with ModSecurity Ryan Barnett Breach Security (www.breach.com) rbarnett@breach.com Revision 1 (January 20, 2009) Abstract In this paper, we present the technical details behind a virtual patch, which is a critical protection function provided by web application firewalls (WAFs). A virtual patch is a powerful, agile mitigation strategy to quickly hel
対策としての入力値チェックは…… | 水無月ばけらのえび日記
まっちゃ445の懇親会で、大垣さんと徳丸さんとのやりとりが話題になっていました。 ホワイトリストはどう作る? (blog.ohgaki.net)ホワイトリスト方式の優位は神話 (www.tokumaru.org)プログラミングではホワイトリスティングが基本 (blog.ohgaki.net)プログラミングではホワイトリスティングが基本ではない (www.tokumaru.org)今こそXSS対策についてまとめよう (www.tokumaru.org)……なんというか、何について議論されているのかがよく分からない感じがしますね。 徳丸さんは以下のように述べられていますが、 これは「ホワイトリストかブラックリストか」という以前の話で、そもそも入力値チェックをXSSの「対策」とすること自体が不適切なのだ、と言われているのだと思います。これはその通りだと思います。 たとえば、このサイトには掲示板が
そろそろWAFに関して一言いっとくか～三重苦を乗り越えてWAFが普及するための条件とは～
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2） 備忘のため転載いたしますが、この記事は2008年7月22日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 なお、この記事を書いた後、WAFはこの記事の予言（願い?）通りに進展したように思います。そのあたりの歴史については、こちらのインタビュー記事を参照下さい。 補足終わり PCIデータセキュリティ基準(PCIDSS)がWAF(Web Application Firewall)について言及していることなどから、最近再びWAFへの関心が高まっている。一方、WAFは、一部のユーザや専門家に非常に評判が悪い。なぜ、そのようなことになるのか。本稿では、WAFの基本機能を説明した上で、その限界と運用上の問題を指摘し、今後のWAFの使い方
ホワイトリスト方式の優位は神話～ホワイトリストとブラックリスト～
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2） 備忘のため転載いたしますが、この記事は2008年7月16日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 なお、「ホワイトリスト」という用語の定義については、以下の記事の「第二種ホワイトリスト」に相当するとお考えください。この記事の投稿当時、ホワイトリストという用語の定義の揺れについては意識しておりませんでした。 僕が「ホワイトリスト」を採用しなかった訳 補足終わり 近々WAF(Web Application Firewall)の話題を取り上げたいと思っている(→WAFの話題はこちら)。WAFの説明には決まってホワイトリストとブラックリストという用語が出てくる。しかし、WAFの宣伝やブログなどのエントリを読んでいると、ホワイ
Webサイト防御のためにできること
2005年春、2007年春に猛威を振るったSQLインジェクション（※注1）の検知数が、2008年の3月上旬から当時の何倍もの規模にまで増えてきた（図1）。正直なところSQLインジェクションは「過去の遺物」であり、ほとんどのサイト運営者が何らかの手を打ち、もう絶滅したと思われていたが、現在も被害に遭うサイトは後を絶たない（図2）。 ※注1 第三者がWebアプリケーションなどのセキュリティ上の脆弱性を悪用してデータベースの不正な操作を可能とする攻撃手法 図1●JSOC（ラックセキュリティ監視センター）で検知したSQLインジェクションの件数 図2●被害サイトは予想以上（Googleの検査結果）《クリックで拡大》 ここではWebアプリケーション（以下、Webアプリ）の脆弱性対策の話が中心であるため、攻撃の詳細にまでは触れないが、一連の攻撃で厄介だったのは、攻撃コードが難読化されていたことである（図
ScanNetSecurity - スパムメール対策のトップ企業が、WAFベンダを買収した理由 〜バラクーダ、WAFやメールアーカイバを相次ぎ発表
スパムメール対策のトップ企業が、WAFベンダを買収した理由 〜バラクーダ、WAFやメールアーカイバを相次ぎ発表 国内で販売されている電子メールセキュリティ・アプライアンス市場でシェアNo.1(2006年 富士キメラ総研調べ)を獲得したバラクーダネットワークスがロードバランサーを自社商品群のひとつに加えたことは先日報じたとおりだが(下記URL参照)、今回それに加え、WAFやメールアーカイブ製品を相次いでリリースしている。 ●バラクーダ、超低価格の負荷分散アプライアンスを発売 https://www.netsecurity.ne.jp/10_10433.html ●バラクーダ、ファイアーウォール製品メーカーを買収 https://www.netsecurity.ne.jp/1_10468.html SCAN編集部は、来日中のVice President Product Ma
無料でWebアプリにありがちな脆弱性を調べて治す
無料でWebアプリにありがちな脆弱性を調べて治す：Tomcatはどこまで“安全”にできるのか？（5）（1/3 ページ） 前回の「Tomcatのセキュリティとリスクの基本分かってる？」ではTomat自体が持つ脆弱（ぜいじゃく）性について調べていきましたが、今回はWebアプリケーションのセキュリティについて調べていきましょう。 Webセキュリティを調べる無料ツールとは？ Webアプリケーションが持つ脆弱性はいくつか存在しますが、前回の説明にあった「インジェクション系」や「クロスサイトスクリプティング」（XSS）などが有名です。それ以外にも「パラメータ改竄（かいざん）」や「セッションハイジャック」といった脆弱性が一般的にはよく見つかります。 このような脆弱性は特定の手法で見つかることはよくありますが、すべての手法を人が覚えて実行するのは大変です。設定のミスまで自分で探すのはとても大変なことで、常
ASP・SaaSナビ
「ASP・SaaSナビ」はサービスの提供を終了しております。 多くのお客様にご愛顧を賜り、誠にありがとうございました。 なお、ご不明な点やご質問などがございましたら下記よりお問い合わせください。 ⇒ 問い合わせ（https://www.bplats.co.jp/form/）
クロスサイトスクリプティング(XSS)とCSRFの違い早分かり - ockeghem(徳丸浩)の日記
昨日の日記で、DK祭りで使われている脆弱性がXSSかCSRFかという問題になった。どうも、XSSとCSRFがごっちゃになっている人もいるように見受けるので、簡単な整理を試みたい。 XSSとCSRFには似た点がある。 どちらも「クロスサイト」という言葉が先頭につく なりすましのようなことが結果としてできる どちらも受動型攻撃である それに対して、もちろん違う点もある。専門家から見れば「似てるも何も、そもそも全然違うものですよ」となるのだろうが、現に混同している人がいるのだから紛らわしい点もあるのだろう。 私思うに、XSSとCSRFの決定的な違いは、以下の点ではないだろうか。 XSSは攻撃スクリプトがブラウザ上で動くが、CSRFはサーバー上で動く このため、XSSでできる悪いことは、すなわちJavaScriptでできることであって、攻撃対象のCookieを盗み出すことが典型例となる。一方、CS
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://japan.internet.com/webtech/20091215/12.html
http://tokumaru.org/d/20080722.html
WordPress.com
WAFでWebアプリの脆弱性を守れるか
『ScanNetSecurity - WAF導入の手引き』へのコメント
はてなブログ | 無料ブログを作成しよう
