「Web Application Firewall（WAF）読本 改訂第2版」

昨日、IPA（独立行政法人 情報処理推進機構）より「Web Application Firewall（WAF）読本 改訂第2版」が公開されました。





この資料のサブタイトルが「Web Application Firewallを理解するための手引き」。今までこのブログのDTSのWAFの説明の中でも言ってきた様々なことも掲載されているようです。
















実際にWAFを導入する前の資料として、これほどうってつけのものは無いと思われますので、まずはぜひともダウンロードしてみてください。

さてこの資料の中でやはり気になった箇所があります。

4.1.1.導入検討
「脆弱性を狙った攻撃の種類によっては、WAF で防御できない可能性があります」
「事前に防御したい脆弱性を悪用する攻撃を、WAF で防御できるか調査します。」

（資料より引用）

まさに、我々がDTSのWAFを説明する時に何度も言ってきたことですね。そして、実際には「事前に防御したい攻撃」がわかっていない、突如として未知の攻撃を受けることがあるわけです。

これに付随して、こんな箇所もチェックしてみてください。

3.3.1. 「検査機能」における偽陽性（false positive）・偽陰性（false negative）
「ブラックリスト」における留意
「の「ブラックリスト」のすべての検出パターンを有効にすると、偽陽性が発生する可能性があります。」

（資料より引用）

ブラックリストによる攻撃防御の不安についても、このブログやセミナーなどで様々な形でご説明してきました。

つまり、DTSのWAFはこういった「導入する前に検証しなければならない・検証したとしても未知の攻撃からの防御は不明」なWAFではなく、ブラックリストも不要で、未知の攻撃の防御も可能なWAFであるわけです。

「Web Application Firewall（WAF）読本 改訂第2版」


DTSのWAF関連記事
□DTSのWAF（SWAF）と、GAPSはアルゴリズムが異なります。
□「2010年 第2四半期 ソフトウェア等の脆弱性関連情報に関する届出状況」
□Twitter〜Webアプリケーションレイヤーの脆弱性を実感してしまった夜
□DTS の WAF を最もシンプルなFAQ形式で

「ローカライズされた海外のセキュリティソフト」

今週もDTSブログをよろしくお願いいたします！今日のエントリーでは
ローカライズされたソフトウエアをテーマとしてお話したいと思います。


例えば、みなさんが通常使用している、ローカライズされたソフトウエアには何があるでしょうか？会計ソフトなどは、もう純然たる日本開発ソフトが圧倒的に多いですね。基幹業務システム系なども・・・。

マイクロソフトのオフィスなどは、基本的なエンジンはローカライズですが、細かな設定、チューニングは確実に日本仕様となっています。そうい意味では、海外で生まれて、日本で育ったソフトウエアといえるのかもしれません。そして、ソフトウエアの中には、「ソフトウエアに表示される英語を日本語に訳した」だけのような製品も多く存在しますよね。

一言でローカライズと言っても、ソフトウエアの場合、ちゃんと日本仕様にチューニングされたものでないと、完璧にローカライズされたソフトウエアとは言えません。

例えば、DTSのセキュリティエンジンである、WAF（SWAF）を例にとってみましょう。開発はもちろん、日本です。実際に携わるスタッフはそれこそ、各国のテクノロジー担当ですが、目的は「日本人の使うセキュリティエンジン」として完全にチューニングされています。アタックしてくる攻撃元は、国ごとに違いまるわけです。さらに、ユーザー様ごとの特長のあるチューニングにも対応しています。

未だ、企業の中には「ローカライズされた海外のセキュリティソフト」をご利用になられている方も多いようです。しっかりと、日本仕様にチューニングされたローカライズになっているかどうか、今一度チェックを。

■関連記事
□DTSのWAF（SWAF）と、GAPSはアルゴリズムが異なります。
□「2010年 第2四半期 ソフトウェア等の脆弱性関連情報に関する届出状況」
□Twitter〜Webアプリケーションレイヤーの脆弱性を実感してしまった夜
□DTS の WAF を最もシンプルなFAQ形式で

シンプルなクロスサイトスクリプティングの説明

このブログでも何度か掲載してきました、クロスサイトスクリプティングの最もシンプルな例。今日は、DTSのWAF開発リーダーのM.Ali Hur 自らのデモンストレーションしているバージョンの動画を先行公開させていただきました。（まだ字幕などが入っていない、英語での説明となります。ご了承ください。）







この動画に登場する最初のスクリプトが一般的なシグネチャー。後に出てくる部分が、XSSのマルウエアです。

そして、何度もご説明したきましたように、このスクリプトの一部分を書き換えてしまった場合、ブラックリスト型のWAFの場合、安全とみなして通過させてしまうことがあります。

来年早々、この動画はバージョンアップして再登場の予定です。

パキスタンのTV番組の取材を受けました

昨日のエントリーでも少しお話いたしましたが、昨日、急遽パキスタンの
テレビ局の取材が東京支社で行われました。




取材内容は、DTSのWAF（海外向け名称・SWAF）について。社内のプロジェクターに資料を投映しながら、昨日ご紹介した、開発リームリーダーの M.Ali.Hur がDTSのWAFをプレゼンテーションしている様子が撮影され、CEO 高橋や今日のエントリー担当の私もインタビューを受けました。


取材チーム。











撮影段取りの指示を受ける弊社CEO 高橋。










台本です！我々日本人には「SYMENTIC BASED WEB APPLICATION」という文字だけが英語なので浮き立っている感じがしませんか？







ところで、この番組のインタビュアーの顔をみて「あれ？どこかでみたことがある」と思われた方も多いかと思います。実は、DTSパキスタン支社COOのIrfanなのです。以前にもご紹介したように、IrfanはDTSの仕事もしますが、ジャーナリストというもうひとつの顔を持ちます。

さすがにジャーナリストとして頻繁にレポート番組をこなすので、「撮影に慣れているなあ・・・」といった感じでした。取材を受ける私たちの方は、少しぎこちない感じになってしまい・・・。

当日の様子はこちらのパキスタンサイトに掲載予定です。

DTAのWAF・開発チームリーダー

東京も雨が降り始めて、冷たい空気の年末です。このブログも残すところ、あと１週間。今年ラストエントリーまでバラエティにとんだ話題でお送りいたします！




ここしばらく続いていた、DTSのWAF関連のエントリーですが、今日は年末企画（？）として、開発者（チームリーダー）である、DTSパキスタン支社のM.Ali Hurをご紹介しましょう。


ご覧のとおり、意表をつく（？）イケメン風なスタッフなのです。M.Ali Hurは来日中で、今日もこの東京支社でパキスタンのテレビ番組の取材を受けたり、プロモーション用のビデオ撮影をしたり、ビジュアル部門（？）も兼業で多忙な東京での日々を送っています。



DTSのWAFプレゼンテーション中のM.Ali Hur。テレビ番組のスナップなど明日のエントリーでもご紹介させていただきます。

DTSのWAFのインターフェイス〜「感染ログ」

オントロジーエンジン搭載のDTSのWAFのインターフェイスをご紹介するエントリーの３日目の今日は、重要項目の「感染ログ」の一部をご紹介しましょう。



現在感染しているトラフィックのグラフです。縦軸が攻撃数、横軸が時間です。








感染したトラフィックオリジネーター（コンテンツの基の作成者・サイト）の順位。縦軸が攻撃数、横軸がクライアント。







感染したトラフィックオリジネーターの比率。円グラフで表示します。








現在感染しているトラフィックの詳細を一覧表示します。右から、オリジネーターIP、ホストIP、アクセスされたリソース、アクセスの時間、攻撃の種類（アタック・タイプ）。





関連記事
□DTSのWAF インターフェイス〜「フロントパネル」
□現状のWAFが持つ、重大な危険性。
□WAFのブラックリストは、XSSを通過させてしまうことがあります！（WEB DB 2010　動画）
□DTS の WAF を最もシンプルなFAQ形式で

DTSのWAFのインターフェイス〜アクセストラフィック

昨日のエントリーに続き、今日のエントリーでもDTSのWAFのインターフェイス（GUI）を一部ご覧いただきます。





今日ご覧いただきますGUIは、「アクセストラフィック」です。


トップトラフィックオリジネーター（コンテンツの元の作成者・サイト）。縦軸がヒット数。横軸がクライアントです。







トップトラフィックオリジネーター（コンテンツの元の作成者・サイト）の比率。円グラフで比率を表示します。







アクセスされたリソース。縦軸がヒット数。横軸が時刻です。









現在のトラフィック。

オリジネーター（コンテンツの元の作成者・サイト）のIP、ホストIPアドレス、アクセスされたリソース、アクセスされた時刻が一覧によって表示されます。




さて、12月も早いもので半分が過ぎてしまいました。ただでさえ、忘年会や今年じゅうの仕事の追い込みなどで身体が忙しくなってくる今頃、明日の東京はこの冬一番の寒さになるという予報も出ています。お身体にはじゅうぶんお気をつけください！


関連記事
□DTSのWAF インターフェイス〜「フロントパネル」
□現状のWAFが持つ、重大な危険性。
□WAFのブラックリストは、XSSを通過させてしまうことがあります！（WEB DB 2010　動画）
□DTS の WAF を最もシンプルなFAQ形式で

DTSのWAF インターフェイス〜「フロントパネル」

から何度かに分けて、DTSのWAFのインターフェイスの一部をご覧いただきます。今日のエントリーでは、「フロントパネル」をご紹介します。



DTSのWAFは、すべてのインターフェイスがどなたにもチェックしやすいGUIで構築されています。

今日は、フロントパネルの一部をご覧いただきましょう。



「CPU Utilization」CPUの使用率のグラフ。縦が使用率（パーセント）で横が時間軸となっています。







「Resources Accessed」アクセスされたリソースのグラフです。縦がヒット数。横は時間軸です。







「Total vs Infected Traffic」アクセストラフィックと、攻撃トラフィック。黄色がアクセストラフィック。グリーンは攻撃トラフィック。縦軸がヒット数。横軸がクライアントです。





「Server Traffic Summary」サーバートラフィックの概要です。ホストIPアドレス、トラフィック数、攻撃トラフィック数の順に表示されます。





明日は「アクセスログ」画面をご紹介しましょう。

WAFのコスト

DTSのWAFのSaaSサービスがスタートします。WAFを導入するにあたり、やはり気になるのはそのコストです。



「WAFのコストは高い」という定説は、WAFのスタート時期からよく言われていたことです。試しに、WAFサービスの料金を調べてみると、そのコストは決して安いとは言えないものがほとんどです。

DTSのWAF自体、平均コストに比較してかなり低コストで済むところを、今回のSaaSサービスによってより幅広い方々の導入が可能となると思います。XSS（クロスサイトスクリプティング）の脅威は最早、大規模運営のサイトだけではなく様々なサイトに及んでいます。












今回のSaaSサービスにより、より多くの、そして多種業社様にお使いいただけると確信しています。

そしてもちろん、コストだけはなく、導入時のシステム変更が不要。導入時のコスト、さらにランニングコストのパフォーマンスも見込めるわけです。

「ブラックリスト」「ホワイトリスト」

DTSのWAF関連のエントリーで何度となく、（というより、現在のWAF関連のことを語る時に必ず）出てくる「ブラックリスト」というキーワード。今週最後のエントリーでは、このブラックリスト（そして、ホワイトリスト）を考察してみましょう。



ブラックリストとは、不正な値やパターン等を定義したデータベースのことです。この不正な値やパターン等のデータベースと照合して合致した場合防御するのが現在の主なWAFのエンジンです。そして「ホワイトリスト」という方式も存在します。これは逆に正しい値とパターン等を定義した方のデータベース。正しいもののデータベースに照合されない時に防御されるわけです。

ブラックリスト、ホワイトリストの最大の弱点ともいえることは・・・

ブラックリスト方式

●ブラックリストのデータベースに無いものは防御不可能。
未知の攻撃・ゼロデイアタックには効果なし。

ホワイトリスト方式

●膨大なコストがかかる
●サイトの更新毎にデータベースの更新が必要

要は、ブラックリスト、ホワイトリスト共に、端的に言えば「◯か×か」を単純に照合する方式です。

そして何度も解説させていただいているように、DTSのWAFのエンジンはリストに頼らない、オントロジー方式。推測して関連付けをし、自己学習もしていく方式です。


※昨日、一昨日あたりより話題になっているTwitterの短縮URLを利用したウイルス。この週末もくれぐれもご注意くださいませ。


関連記事
□現状のWAFが持つ、重大な危険性。
□WAFのブラックリストは、XSSを通過させてしまうことがあります！（WEB DB 2010　動画）
□DTS の WAF を最もシンプルなFAQ形式で