この記事をtweetする このエントリーをはてなブックマークに追加


製品購入ウラづけガイド
これさえ読めば基本はカンペキ!「WAF 掲載日:2006/05/29

Webアプリケーションファイアウォール(WAF)



1:基礎講座 2:選び方講座 3:セキュリティ動向
1
Web改ざん事件が教えた「新手」の脅威
2
WAFの仕組みと役割
1
WAF製品の導入検討ポイント
2
製品カタログ
1
SQLインジェクションの発生頻度
2
SQLインジェクションの仕組み
3
SQLインジェクションへの対策は
 
INDEX


基礎講座
これさえ読めば基本はカンペキ!
基礎講座

 正当なWebリクエストのように見せかけて不正なデータやコードを送りこみ、Webシステムからの情報漏洩やサイト改ざん、サービス停止などを狙う悪質な事件が昨年たて続けに発生した。現在も簡便な「自動攻撃」ツールを用いた無差別な攻撃が後を絶たない。Webアプリケーションの脆弱性を突くこうした攻撃に対抗するには、従来のネットワークレベルでの防御策だけでは不十分なことが明らかだ。従来の対策を補完し、被害を防ぐ役目を果たすのが今回紹介するWebアプリケーションファイアウォール(WAF)だ。今回は、Webアプリケーションの脆弱性を狙う攻撃を紹介しながら、WAFの役割と仕組みを紹介していく。 Webアプリケーションファイアウォール(WAF)

1 

Web改ざん事件が教えた「新手」の脅威


 昨年は、企業サイトへの不正アクセス事件やWeb改ざん事件が相次ぎ、被害企業ではサイトの一時閉鎖や情報漏洩の発覚〜謝罪などに立ち至る大きな損失を被ったことで大きく報道された。一連の事件は、被害規模もさることながら、ネットワークレベルの防御(従来のファイアウォールやIDS/IPS、アンチウイルスツールなど)を周到に行っていても、Webアプリケーションの脆弱性を狙う攻撃には無力である事実を私たちの眼前に突きつけた。こうした「新手」の攻撃には、例えば表1のようなものがある。


表1 Webアプリケーションへの代表的な攻撃
パラメータ改ざん URLのパラメータとしてWebサーバに渡されるデータを改ざんし、データベース内のデータに不正アクセス
隠しフィールド改ざん Webサーバに隠しフィールドとして渡される値を不正に改ざん
クロスサイトスクリプティング 掲示板などのWebサーバにHTMLのタグを埋め込み、それを読み込んだ第三者の環境で実行する悪意のスクリプト
SQLインジェクション HTTPリクエストのパラメータにSQLコマンドを含ませ、データベース内のデータを不正入手・改ざん
コマンドインジェクション バックエンドのサーバにコマンドを送り、パスワードファイルなど不正に入手
Cookie改ざん WebブラウザからWebサーバへ送られるCookieファイルの内容を書き換え、セッションをハイジャックしたり、ユーザーになりすまして情報に不正アクセス
既知/未知のWeb脆弱点攻撃 OSやWebサーバプログラムが持つ脆弱性で、パッチが当てられていないものや、パッチが提供されていないものを攻撃
強制閲覧(ACL破り) 正規のアプリケーション操作やアクセス認証を行わずに、URLを操作して特定のディレクトリを閲覧
バッファオーバーフロー バッファのサイズを越えるリクエストをサーバへ送り、処理をあふれさせ、サーバをクラッシュし、管理者権限を奪取
資料提供:F5ネットワークス

…この記事の続きは、会員限定です。  会員登録はこちら(無料)

続きを読むには…
会員登録いただくと自動的にこの記事に戻り、続きが読めます。

会員登録(無料)・ログイン

このページの先頭へ
関連キーワード

WAF/アプリケーションファイアウォール」関連の情報を、チョイスしてお届けします

※キーマンズネット内の「WAF」関連情報をランダムに表示しています。

WAF」関連の製品

サイトアクセスの3割を占める悪性bot、対策の鍵はクラウド型ふるまい検知 【シーディーネットワークス・ジャパン】 GDPR順守の第一歩、情報漏えいを防ぐ「アプリケーションセキュリティ」の実現法 【F5ネットワークスジャパン】 クラウド版ビジネスチャットサービス TEんWA(テンワ) 【テンダ】
認証 暗号化 社内SNS
基礎から学ぶ「bot攻撃」対策:代表的な攻撃手法と有効な対処法 GDPR順守の第一歩、情報漏えいを防ぐ「アプリケーションセキュリティ」の実現法 「高セキュリティ」「管理の容易さ」「大容量ストレージ」「大容量ファイルのアップロード対応」とコミュニケーションツールに不可欠な条件をクリアするビジネスチャット。

WAF」関連の特集


IPAが「情報セキュリティ10大脅威」2016年版を公開しました。企業を襲う脅威をまとめた「組織」編…



88もの仮想サーバが“数分”で削除、しかも遠隔地から攻撃された例も?仮想化環境で拡大する外部/内部の…



中堅〜大企業では一般的な“データセンター活用”も、中小企業ではまだ進んでいないのが現実。一体ナゼなの…


WAF」関連のセミナー

AWS初心者と中級者向けの運用管理セミナー 【主催:ソニーネットワークコミュニケーションズ 共催:アマゾン ウェブ サービス ジャパン】 注目 

開催日 7月5日(木)   開催地 東京都   参加費 無料

AWSの強みは圧倒的な実績や豊富で先進的なサービス群だけではありません。実はセキュリティ性と運用管理性の高さが評価され、「用途拡大」されているケースが数多くあり…

従来の対策ではWebセキュリティが万全ではないこれだけの理由 【グローバルセキュリティエキスパート/インパーバジャパン/ソフトバンク・テクノロジー】  

開催日 7月4日(水)   開催地 東京都   参加費 無料

IPAが選出する「情報セキュリティ10大脅威2018」にも依然ランクインし、Webセキュリティを脅かし続ける「ウェブサービスへの不正ログイン」「ウェブサービスか…

PCI DSS 実践ソリューションセミナー 【NRIセキュアテクノロジーズ/ユービーセキュア】  

開催日 7月30日(月)   開催地 東京都   参加費 無料

2018年3月にクレジット取引セキュリティ対策協議会の「実行計画」が発表され、6月には改正割賦販売法が改正される等、カード会社様だけでなく、加盟店様、サービスプ…

「ネットワークセキュリティ」関連 製品レポート一覧

このページの先頭へ

WAF/アプリケーションファイアウォール」の記事を一部ご紹介しました。
会員登録を行い、ログインすると、「WAF/アプリケーションファイアウォール」の記事の続きがお読みいただけます。


Myリストへ

この記事をtweetする このエントリーをはてなブックマークに追加


この記事に掲載している情報は、掲載日時点のものです。変更となる場合がございますのでご了承下さい。


ページ: 1 | 2


30001705


IT・IT製品TOP > ネットワークセキュリティ > WAF > WAFのIT特集 > 特集詳細

このページの先頭へ

キーマンズネットとは

ページトップへ