はじめに DOS攻撃からいかにシステムを守るか。オートスケールの仕組みが充実し、大量のアクセスでも耐えられるようになってきている昨今ですが、悪意ある急激なアクセス増加は誰も望まないはずです。防御する仕組みが欲しいところではありますが、開発の時間が限られている中で、防護機構の自動化まで持っていくのは骨が折れます。そこで今回は、AWSを使ったシステムを構築するシーンで、DOS攻撃から自動でWAFを設定する仕組みを作ります。重視した点は以下2点です。 安価であること。可能な限り新しいAWSリソースを使わない、使うとしても高価なものは避ける。 ポータビリティが高いこと。別の環境に同様の手順で導入できること。 DOS攻撃防御の仕組み比較 Apache の mod_dosdetector アプリケーションサーバ群の前段にApacheサーバを置き、そこにmod_dosdetectorを導入することを考え

攻撃遮断くんは、サーバ環境に合わせたプランを月額1万円〜の定額料金でご利用いただけます。 Webサイト1つからサイト数無制限までに対応する柔軟なプランをご用意しています。

ウィスキー、シガー、パイプをこよなく愛する大栗です。 本日AWS WAFがクロスサイト・スクリプティング（XSS）に対応しましたので試してみました。 クロスサイト・スクリプティング（XSS）？ 情報処理推進機構（IPA）の「安全なウェブサイトの作り方」改訂第7版によると、以下の様な説明がされています。 ウェブアプリケーションの中には、検索のキーワードの表示画面や個人情報登録時の確認画面、掲示板、ウェブのログ統計画面等、利用者からの入力内容や HTTP ヘッダの情報を処理し、ウェブページとして出力するものがあります。ここで、ウェブページへの出力処理に問題がある場合、そのウェブページにスクリプト等を埋め込まれてしまいます。 設定を実施する AWS WAFでconditionsで以下のようにCross-site scription match condifionsが増えています。 Create

はじめに 2015年のre:Inventで「AWS WAF」が発表されました。 AWS WAFはアプリケーション用のファイアウォールで、 IP address、SQL injection、String matchingに関するアクセスの制御ができます。 ただ、このサービスを利用するにはCloudFront経由でのアクセスにしか対応していないため、ELBやEC2にWAFを導入する場合はCloudFrontを配置する必要があります。 今回はIP addressesの設定を行います。 その他の設定については以下を参照ください。 「AWS WAF」を導入してみた。- SQL injection編 「AWS WAF」を導入してみた。- String matching編 1.新規設定 今回は新規で特定IPアドレスからのアクセスをブロックする設定をします。 まずはじめに画面中央にある「Get start

最近AWSをWAFと戦い続けているのでWAFについて少し書きたいと思います。 WAFについて Amazonが提供するマネージドWAFです。 CloudFrontと一緒に使うため、WAFを使用する際はまず、CloudFrontの構築をする必要があります。 WAFの用語 WAFには３つの用語が存在します condition：条件指定（このIPアドレスからの接続」, 「User-Agentに○○が含まれている」など） rule：複数のconditionをまとめたもの ACL：ruleに[Allow], [Block]. [Count]を指定してルールに基づいた制限をかける condition conditionに設定できるのは以下のとおりです。 IP match conditions String match conditions Size constraint conditions Cross

こんにちは、ひろかずです。 Auto ScaleしたインスタンスをDeep Securityで管理する需要があるようなので、一筆書きます。 前提 Deep Security Managerの導入が完了していること。 ライセンスを投入していること。 最低でもRelayを導入しており、管理対象になっていること。 Deep Security Manager導入後の動作確認(Agentの導入とManagerへの追加)から流れてきた人 参照情報 マニュアルの349-351頁, 354-356頁になります。 AWSのAutoScaleについては、インターネット上に色々書かれているので検索してみてください。 工程 1.Deep Securityでの管理用IAMユーザーを作成(クラウドアカウントの作成) 2.Deep Security Managerへのクラウドアカウントの登録 3.AutoScaleした

下記でWAFの実験環境ができたので、実際に実験してみます。 WAFの実験環境(CloudFront + S3)の作成 まずは下図のように特定のIPアドレスからのアクセスをブロックしてみます。 では、具体的に設定していきます。 Condition(IP match conditions)の設定 まず、IP match conditionとして対象のIPアドレス(CIDR)を設定します。 ルールの設定 次に、上記のConditionをルールに設定します。 「アクセス元が上記で設定したIPアドレスだった場合」というルールにしています。 Web ACLの作成 最後に、Web ACLを作成します。 上記のルールに該当したらアクセスをブロック、つまり、 「アクセス元がConditionで設定したIPアドレスだった場合にブロック」 としています。 テスト 以上の設定で再度、対象のURLにアクセスすると、

下記の記事で、いろいろとWAFをいじってきたので、 改めてWAFの情報源をまとめてみました。 WAFの実験環境(CloudFront + S3)の作成 “AWS WAF”を使って特定のIPアドレスからのアクセスをブロック “AWS WAF”に対して”sqlmap”で”SQL injection”の攻撃をしてみた AWSブログ 【AWS発表】新サービス: AWS WAF AWS re:Invent 2015 | (SEC323) NEW LAUNCH! Securing Web Applications with AWS WAF SlideShare (SEC323) New: Securing Web Applications with AWS WAF from Amazon Web Services Youtube AWSホームページ HP 開発者ガイド APIリファレンス 元記事はこち

下記の記事でIPアドレスでのブロックは確認できたので、 "AWS WAF"を使って特定のIPアドレスからのアクセスをブロック 今回はSQL injectionのブロックを確認してみようと思います。 次のようなQuery Stringでパラメータを渡すパターンで簡単に試してみます。 $ curl http://d3q07yq8vdynnt.cloudfront.net/test.txt?id=1 test まずはWAFの設定です。 Condition(SQL injection match condition) の作成 Query StringをURLデコードした結果に対してSQL Injectionのチェックを行うように設定します。 ルールの設定 上記のConditionに引っかかったらアクションするようにルールを設定します。 Web ACLの設定 ルールに対するアクションがBlockにな

佐々木です。クラスメソッドも4月から新しい仲間が増えました。今日はWAF(Web Application Firewall)の基本的な知識を整理してみました。 基礎知識 WAFとは WAF(Web Application Firewall)とは、Webアプリケーションの脆弱性を狙う悪意ある通信(攻撃)から、Webアプリケーションを保護するものです。本来論で言えば、Webアプリケーションに脆弱性があるのであればWebアプリケーションを修正するのが正しい対応です。しかし未知の脆弱性があったり、修正コストが大きくWebアプリケーションでの対応が難しい場合や、緊急度が高くすぐに防御しなければならないが修正が間に合わない場合も、残念ながらあります。ユーザーとWebアプリケーションの間にWAFを入れることで、悪意ある通信を防ぐことが出来ます。 ファイアウォールとは ファイアウォールは、IPヘッダやTC

概要 AWS WAFのメトリクスを、CloudWatch以外の監視システムにデータ連携する場合に、 awscliを使用してデータ取得を行ったときにちょっとはまりましたのでメモしておきます。 regionはus-east-1固定 AWS WAFがCloudFrontに装着するようなサービスなので、regionはCloudFrontのメトリクス取得時と同じus-east-1一択です。 ところが上記を考慮してかつ--start-time、--end-time をメトリクスデータが取得できる期間に設定しても、awscliの実行結果のDatapointsはカラッポです。 aws --region us-east-1 cloudwatch get-metric-statistics \ --namespace AWS/WAF \ --metric-name AllowedRequests \ --st

JAWS-UG福岡 2016/3/21「また濃い目にAWSの話をしてみよう」でお話した資料です。

ども大瀧です。本シリーズでは、Trend Micro社のクラウド対応セキュリティ製品、Deep Securityを紹介しています。 前回までのエントリーはこちら。ここまで、Deep Securityのセットアップを見てきました。 [Deep SecurityでEC2徹底防御] #01 概要とAWS環境でのインストール [Deep SecurityでEC2徹底防御] #02 DSMの初期構成とDSAの登録 さて、今回と次回でDeep Securityの持つ、セキュリティ機能をご紹介していきます。今回は、ネットワーク経由の脅威に対応するためのネットワークセキュリティがテーマです。具体的には以下の機能があります。 ファイヤーウォール 侵入防御(IPS) Webアプリケーション保護(WAF) これらの設定は、"ポリシー"としてDSM(Deep Security Manager)で集中管理し、DSA

こんにちは、ひろかずです。 前回、Deep Security ~ AWS WAF連携ツールを評価しましたが、DSaaSに対する連携という制限が付いていました。 2016年2月20日にアップデートされ、インスタンスに構築したDeep Security Manager(以下、個別DSM)に対応したとのことなので、一筆書きます。 参考 Githubリポジトリ deep-security/aws-waf 前提 Deep Security Managerの導入が完了していること。 ライセンスを投入していること。 前回の内容を踏んでいること。 前回起動したインスタンスが、連携先Deep Security Managerのポート4119に到達できること。 工程 Deep Securty ~ AWS WAF連携ツールの更新 動作確認 1. Deep Securty ~ AWS WAF連携ツールの更新 前回

こんにちは、ひろかずです。 2015年11月27日にGithubにDeep Security ~ AWS WAF連携ツールが公開されました。 当初、なかなかうまく行かなかったのですが、ようやく評価できるところまで漕ぎ着けたので一筆書きます。 参考 Githubリポジトリ deep-security/aws-waf 機能概要 Deep Security上のIPリストをAWS WAFのconditionsに連携させます。 実体はpyhtonで書かれたスクリプト群です。 動作環境 ツール実行側 phthon 2.7系 boto3 1.3.1 awscli 1.9.1 その他用意するもの DSaaS AWS WAF 工程 動作環境の用意 ツールの準備 実行と評価 1. 動作環境の用意 今回は、 Amazon Linux AMI 2015.09.1 (HVM), SSD Volume Type -