Log4j 脆弱性攻撃の遮断を開始した当ブログサイトのAWS WAF設定を紹介します | DevelopersIO
Log4j 脆弱性対策としてAWSブログで紹介されているAWS WAFのマネージドルールを利用した当ブログサイト(DevelopersIO)の保護設定と、副作用対策について紹介します。 AWSチームのすずきです。 AWSブログで紹介されている、Log4j 脆弱性対策として紹介されているマネージドルール「Log4JRCE」「AnonymouousIPList」「sizeRestrictions_BODY」を利用して、 当ブログサイト(DevelopersIO)の保護を行う機会がありました。 この過程で行ったマネージドルールの評価と、誤検知による副作用を回避する設定について紹介させて頂きます。 評価環境設定 先に紹介した「Log4JRCE」を含む AWSManagedRulesknownBadInputsRuleSet に加え、AWSManagedRulesCommonRuleSet、AWSM
S3にログを出力するAWS WAFの構築 | DevelopersIO
ALBでAWS WAFv2(以下WAF)を利用する環境を構築します。以下のような構成です。 S3にWAFのログを出力する際は、Kinesis Data Firehoseが必要になります。ここでは、Kinesis Data Firehoseで配信（S3への出力）エラーが発生した際に、CloudWatch Logsへロギングされる構成にしました。 ALBなどVPCリソースが構築済みであることを前提に、赤枠の箇所を中心に構築（説明）していきたいと思います。 前提 VPCリソースが構築済みであること 前提となる環境をCFnテンプレートにしました Gist/ALB-PublicWeb.yml WAFと周辺リソース構築 赤枠の箇所を構築するCFnテンプレートを作成しました。前提の環境が構築されていれば、利用できるようになっています。 Gist/Logging-WAF.yml CFnテンプレートを用意し
JP Secure、専用ハードが不要なホスト型WAF「SiteGuard Lite」を販売
ジェイピー・セキュア(以下、JP-Secure)は2月29日、新製品となるホスト型のWebアプリケーションファイアウォール(以下、WAF)製品「SiteGuard Lite」の販売を開始すると発表した。標準価格は、1ライセンス・初年度(サポートサービス含)年額25万2,000円(税抜)。販売目標は、販売後1年間で300ライセンスとし、現在、ベータ版ご利用中のユーザーには10%OFFの特別価格適用が2012年3月末受注分まで適用される。 同製品はSiteGuardのトラステッド・シグネチャ検査機能を踏襲し、SQLインジェクションやクロスサイトスクリプティングといったリスクの高い攻撃を重点的に防御する、シンプルなホスト型のWAF製品となっている。
SiteGuard Liteプレリリースページ
ウェブサーバにモジュールとして組み込んで利用するホスト型のウェブアプリケーションファイアウォール 実績ある「SiteGuard」のトラステッド・シグネチャ検査機能を踏襲し、クロスサイトスクリプティングやSQLインジェクションといったリスクの高い攻撃を重点的に防御するシンプルなホスト型のWAF製品 1.高い防御性能を誇るシグネチャ検査機能 「SiteGuard」で実績あるトラステッド・シグネチャをベースとしたブラックリスト型の防御機能を搭載しています。トラステッド・シグネチャは自動更新されるため、お客様側で煩雑なチューニングをすることなく、標準設定で常に最新の脅威に対応することができます。検査対象の除外や独自の防御ルール作成など、個別のご要件にも柔軟に対応できるカスタム・シグネチャ検査機能も搭載しています。 2.ネットワーク構成に影響を与えないモジュール型 「SiteGuard Lite」は
オープンソースのWebアプリケーションファイアウォールを開発する「IronBee」プロジェクト発足 | OSDN Magazine
セキュリティ企業の米Qualysは2月14日（米国時間）、オープンソースのWebアプリケーションファイアウォール（WAF）開発プロジェクト「IronBee」の立ち上げを発表した。Webアプリケーションとクラウドという新しいトレンドに合わせ、Webアプリケーション向けファイアウォールを共同で開発する。 IronBeeはオープンソースのWAF「ModSecurity」を設計・構築した開発チームが主導し、セキュアかつ高性能で移植性が高く、フリーに利用できる次世代WAFの開発を目指す。Qualysはプロジェクト立ち上げの背景について、Webアプリケーションの普及やクラウドコンピューティングへのシフトといったトレンドの中、データの保護やコンプライアンスの遵守といった目的でWAFを利用する必要性が出てきていると説明している。 IronBeeはオープンソースプロジェクトとして開発を進めることでコミュニテ
Web Application Firewall 読本 | アーカイブ | IPA 独立行政法人 情報処理推進機構
2019年3月28日に、「Web Application Firewall 読本」の補足資料として、「Web Application Firewallの導入に向けた検討項目」を公開しました。 こちらは、WAFの導入を検討されている方、既に導入済みで運用を見直したい方向けに、WAFにはどのような製品・サービス種類が存在し、どのような特徴があり、 運用の際にどのような体制が必要かを解説しております。 概要 「Web Application Firewall 読本」 「Web Application Firewall 読本」は、ウェブサイト運営者がWAFの導入を検討する際に、WAFの理解を手助けするための資料です。本資料では、KISA(*1)やOWASP(*2)、WASC(*3)などの機関におけるWAFに関する取り組み、WAFの概要、機能の詳細、導入におけるポイント等をまとめました。 第1章では
シグネチャに頼らないWAFアプライアンス「WAPPLES」3製品、200万円台の低価格モデルも
ペンタセキュリティシステムズ株式会社（ペンタセキュリティ）は5月10日、Webアプリケーションファイアウォール（WAF）アプライアンス「WAPPLES」のラインアップに、3モデルを追加すると発表した。新たに提供されるのは、エントリー向けの「WAPPLES-50」と、ハイエンド向けの「同-2000」「同-5000」で、いずれも同日より提供を開始する。価格は200万円（税別）から。 WAPPLESは、Webアプリケーションの脆弱性を保護するために利用される、WAFアプライアンス製品。シグネチャを利用したパターンマッチングに頼らない、独自のロジック分析エンジンにより、攻撃者が狙う脆弱性を埋める手法を採用し、高い検出率と低い誤検知率を実現しているのが特徴だ。また、事前に設定されたポリシーを選択肢、26個のルールを設定するだけで検知設定を行えるなど、管理に要する手間が削減されていることから、他社製品
IPA、WAFの導入方法を解説する資料を公開
IPAは、Webアプリケーションファイアウォールの特徴や導入方法などを紹介する「Web Application Firewall 読本」を公開した。 情報処理推進機構（IPA）は2月16日、Webアプリケーションファイアウォール（WAF）の特徴や導入方法などを解説する「Web Application Firewall 読本」をサイト上で公開した（PDFファイル）。 同資料は、Webサイト運営者がWAFの導入を検討する際に、WAFの理解を手助けとなる目的で作成したもの。WAFの概要や機能の詳細、導入におけるポイント、また、韓国インターネット振興院（KISA）やOpen Web Application Security Project、Web Application Security Consortiumにおける取り組みなど、全50ページで構成されている。 近年はSQLインジェクション攻撃など
アカマイ、WAFサービスを本格提供 － ＠IT
2009/12/18 アカマイは12月17日、同社の分散型プラットフォーム「Edge Platform」上で、Webアプリケーションファイアウォール機能を提供する「Webアプリケーション・ファイアフォール・サービス」（WAFサービス）を開始した。5月に発表していたβ版を正式サービスに移行したもの。 アカマイは、世界各地に配置した5万台以上のサーバから構成されるEdge Platformを介して、コンテンツの高速配信サービスを提供してきた。経路制御によって、通常のインターネットを介して配信する場合に比べ高速にトラフィックを配信できることが特徴だ。またサーバの負荷分散にもつながり、DDoS攻撃に対する耐性を高めることもできる。 WAFサービスは、Edge Platformの上で展開されるサービスの1つ。顧客側でWAF機器を導入する代わりに、Edge Platform側にApacheモジュールと
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
このドメインは お名前.com から取得されました。 お名前.com は GMOインターネットグループ(株) が運営する国内シェアNo.1のドメイン登録サービスです。 ※表示価格は、全て税込です。 ※サービス品質維持のため、一時的に対象となる料金へ一定割合の「サービス維持調整費」を加算させていただきます。 ※1 「国内シェア」は、ICANN(インターネットのドメイン名などの資源を管理する非営利団体)の公表数値をもとに集計。gTLDが集計の対象。 日本のドメイン登録業者(レジストラ)（「ICANNがレジストラとして認定した企業」一覧（InterNIC提供）内に「Japan」の記載があるもの）を対象。 レジストラ「GMO Internet Group, Inc. d/b/a Onamae.com」のシェア値を集計。 2023年10月時点の調査。
オープンソース由来の国産WAFにかける意気込み
Webアプリケーションファイアウォールの機能をサービスとして提供する国内初の取り組みをセキュアスカイ・テクノロジー（SST）が始めた。オープンソース由来の同サービスの開発を手がける金床氏とSSTの若林氏に、その狙いと目標を聞いた。 WebサイトやWebアプリケーションを標的にするサイバー攻撃が激増する中、これらの攻撃に対処する手段としてWebアプリケーションファイアウォール（WAF）が注目されている。WAFはクロスサイトスクリプティングやSQLインジェクションなどWeb特有の脆弱性に特化してシステムを保護できるものの、導入や運用にはある程度の手間やコストも伴うことから、使いこなすようになるまでには時間やリソースを費やす側面もある。 Webセキュリティ企業のセキュアスカイ・テクノロジー（SST）は、オープンソースのWAF「Guardian」をベースにWAFの機能をオンラインで安価に提供する国
アカマイが“クラウドベースのWAF”を実現、PCIDSS準拠ネットワークとして提供
アカマイ株式会社は5月20日、クラウドベースのWebアプリケーションファイアウォールモジュール（以下、WAFモジュール）を発表した。アカマイのサーバーネットワーク「EdgePlatform」上に実装されるWAFで、攻撃トラフィックがデータセンターに届く前に防御できるのが特長。これを利用して、クラウド上で安全なクレジットカード決済用ネットワークを提供する「PCIDSS完全準拠サービス」も、同日からスタートする。 WAFモジュールは、SQLインジェクションやクロスサイトスクリプティングなどのHTTP攻撃から、Webアプリケーションを防ぐためのセキュリティモジュール。世界中のアカマイネットワーク上に4万台分散されたサーバー群・EdgePlatform上に実装される。データセンター側に専用ハードウェアを設置しなくて済むほか、保守・運用もアカマイが行うため、ユーザーはWAFの運用コストを削減できる。
mod_securityでWebサーバを守る(第1回)
一体、Webサイトを持たない組織は今どれくらいあるでしょうか。 Webサーバを自前で持つ、ホスティングサービスを利用する、など運用形態はさまざまですが、Webサイトを持たない組織はほとんどないと思える程に Webは普及しています。 ファイアウォールはほとんどの組織で導入済みであり、多くのWebサーバはファイアウォールの中で運用されているのが一般的です。 しかしながら、最も普及しているファイアウォールはIPアドレス、ポートレベルでのフィルタリングです。この方法でのフィルタリングでは、許可していないサービスが持つ脆弱性を狙った攻撃を阻止できるため有用ではありますが、HTTPを許可している場合Web自体への攻撃に対して無力です。一方で、HTTPを不許可にした場合にはWebサイトへアクセスできなくなってしまうため本来の目的を達成できません。しかもここ数年、Webサイトを狙ったワームや不正アクセスは
「DBセキュリティとWebアプリケーションファイアウォールはベストマッチング」－米Imperva CTO
米Impervaは、データセキュリティアプライアンス「SecureSphere」を提供するセキュリティベンダ。同社の特徴は、Webアプリケーションファイアウォール（WAF）とデータベースセキュリティ製品という、ほかにない組み合わせのソリューションを提供していることで、セキュリティ業界では非常に注目されている企業の1つである。今回は同社のアミカイ・シャルマンCTOと、アジア太平洋地域 セールス担当副社長のミハエル・リュー氏に、同社の製品が提供する価値について話を聞いた。 ―まず、Imperva製品のすぐれているところを教えてください。 シャルマンCTO WAF製品では、アーキテクチャが優位点です。プロキシではなく透過型で導入できますし、競合する製品と比べて、パフォーマンスははるかに優れています。また、セキュリティモデルを自動で作成するダイナミックプロファイリング機能もあります。 データベース
F-SecureのWebアプリファイアウォールをアプライアンス化――スワットブレイン
セキュリティベンダーのスワットブレインは日本エフ・セキュアと業務提携し、Webアプリケーションファイアウォール機能を搭載した「SiteGuardアプライアンス」を3月20日より販売開始した。SiteGuardアプライアンスはエフ・セキュアが開発した「F-Secureサイトガード Linuxサーバ版」をハードウェア化したもの。 近年、ECサイトなどでSQLインジェクションやクロスサイトスクリプティングといったWebアプリやWebサービスの脆弱性を狙った攻撃を受けるケースが増えており（関連記事）、従来のファイアウォールやIPS（不正侵入防御システム）などでは防げないアプリケーション層のアタックを防ぐ手段として、Webアプリケーションファイアウォールの需要が高まっている。 SiteGuardアプライアンスは、WebアプリファイアウォールのF-Secureサイトガードを文字通りハード／ソフト一体型
「企業のWebアプリケーションには100％脆弱性がある」---セキュアスカイ社長 乗口雅充氏
「企業が運営するWebアプリケーションには100％脆弱性がある。開発会社はあてにできない。ユーザー企業みずから脆弱性をチェックするしかない」---。セキュリティ検査サービスを営むセキュアスカイ・テクノロジー社長の乗口雅充氏は2006年12月6日，F5ネットワークスジャパンが主催したプレス向けセミナーの講演で，企業が抱えるWebアプリケーションの脆弱性の実態を示し，警告した。 乗口氏がセキュアスカイ・テクノロジーを設立した2006年3月以降，ユーザー企業のWebアプリケーションを検査してきたが，実際に顧客のシステムを検査してみると，必ず脆弱性が見つかるという。「多くの企業にとっては脆弱性があるのか無いのかということが問題なのではなく，脆弱性が発覚しないことが目的になっている」（乗口氏）。 独立行政法人情報処理推進機構（IPA）が発行した「情報セキュリティ白書2006年版」において，2005年
「Webアプリケーションに脆弱性は必ずある」－セキュアスカイ乗口社長
F5ネットワークスジャパン株式会社（以下、F5ジャパン）は11月16日、Webアプリケーションの脆弱性に関するプレスセミナーを開催。脆弱性検査事業を行っている株式会社セキュアスカイ・テクノロジー（以下、セキュアスカイ）の代表取締役社長、乗口雅充氏らが、Webアプリケーション脆弱性に関する説明を行った。 いわゆるWebアプリケーションとは、動的にWebページを生成する仕組みをもったもの。例えば企業Webサイトの資料請求フォームや問い合わせフォーム、ショッピングサイト、電車の乗り継ぎ案内といったサイトが該当する。乗口氏は現在のWebアプリケーションの状況について、「検査を実施すると片っ端から脆弱性が出てくる。検査前には100％あると言っても言い過ぎではない。検査していない会社も多い中で多くのサイトが公開されていて、大丈夫なのかという怖い思いをしている」と警鐘を鳴らす。 現状、企業では、開けては
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
クラウドサービス「IIJ GIO」で“手間要らず”のWAFサービス提供
Webアプリケーションファイアウォール（WAF）＋脆弱性診断/キーマンズネット
F5ジャパン、WAF製品の名称を変更－BIG-IPブランドに統一