この記事をtweetする このエントリーをはてなブックマークに追加


製品購入ウラづけガイド
これさえ読めば基本はカンペキ!「WAF 掲載日:2006/05/29

Webアプリケーションファイアウォール(WAF)



1:基礎講座 2:選び方講座 3:セキュリティ動向
1
Web改ざん事件が教えた「新手」の脅威
2
WAFの仕組みと役割
1
WAF製品の導入検討ポイント
2
製品カタログ
1
SQLインジェクションの発生頻度
2
SQLインジェクションの仕組み
3
SQLインジェクションへの対策は
 
INDEX


基礎講座
これさえ読めば基本はカンペキ!
基礎講座

 正当なWebリクエストのように見せかけて不正なデータやコードを送りこみ、Webシステムからの情報漏洩やサイト改ざん、サービス停止などを狙う悪質な事件が昨年たて続けに発生した。現在も簡便な「自動攻撃」ツールを用いた無差別な攻撃が後を絶たない。Webアプリケーションの脆弱性を突くこうした攻撃に対抗するには、従来のネットワークレベルでの防御策だけでは不十分なことが明らかだ。従来の対策を補完し、被害を防ぐ役目を果たすのが今回紹介するWebアプリケーションファイアウォール(WAF)だ。今回は、Webアプリケーションの脆弱性を狙う攻撃を紹介しながら、WAFの役割と仕組みを紹介していく。 Webアプリケーションファイアウォール(WAF)

1 

Web改ざん事件が教えた「新手」の脅威


 昨年は、企業サイトへの不正アクセス事件やWeb改ざん事件が相次ぎ、被害企業ではサイトの一時閉鎖や情報漏洩の発覚〜謝罪などに立ち至る大きな損失を被ったことで大きく報道された。一連の事件は、被害規模もさることながら、ネットワークレベルの防御(従来のファイアウォールやIDS/IPS、アンチウイルスツールなど)を周到に行っていても、Webアプリケーションの脆弱性を狙う攻撃には無力である事実を私たちの眼前に突きつけた。こうした「新手」の攻撃には、例えば表1のようなものがある。


表1 Webアプリケーションへの代表的な攻撃
パラメータ改ざん URLのパラメータとしてWebサーバに渡されるデータを改ざんし、データベース内のデータに不正アクセス
隠しフィールド改ざん Webサーバに隠しフィールドとして渡される値を不正に改ざん
クロスサイトスクリプティング 掲示板などのWebサーバにHTMLのタグを埋め込み、それを読み込んだ第三者の環境で実行する悪意のスクリプト
SQLインジェクション HTTPリクエストのパラメータにSQLコマンドを含ませ、データベース内のデータを不正入手・改ざん
コマンドインジェクション バックエンドのサーバにコマンドを送り、パスワードファイルなど不正に入手
Cookie改ざん WebブラウザからWebサーバへ送られるCookieファイルの内容を書き換え、セッションをハイジャックしたり、ユーザーになりすまして情報に不正アクセス
既知/未知のWeb脆弱点攻撃 OSやWebサーバプログラムが持つ脆弱性で、パッチが当てられていないものや、パッチが提供されていないものを攻撃
強制閲覧(ACL破り) 正規のアプリケーション操作やアクセス認証を行わずに、URLを操作して特定のディレクトリを閲覧
バッファオーバーフロー バッファのサイズを越えるリクエストをサーバへ送り、処理をあふれさせ、サーバをクラッシュし、管理者権限を奪取
資料提供:F5ネットワークス

…この記事の続きは、会員限定です。  会員登録はこちら(無料)

続きを読むには…
会員登録いただくと自動的にこの記事に戻り、続きが読めます。

会員登録(無料)・ログイン

このページの先頭へ
関連キーワード

WAF/アプリケーションファイアウォール」関連の情報を、チョイスしてお届けします

※キーマンズネット内の「WAF」関連情報をランダムに表示しています。

WAF」関連の製品

CPI マネージド専用サーバー 【KDDI ウェブコミュニケーションズ】 Limelight Content Delivery Network 【ライムライト・ネットワークス・ジャパン】 ActSecureクラウドメールセキュリティサービス 【NEC】
ハウジング CDN メールセキュリティ
サーバー機能をパッケージ化したサービス。運用・管理のすべてをKDDIウェブコミュニケーションズに一任できる。回線帯域は最大1Gbpsとなり、高負荷環境にも余裕で対応。 デジタルデータやコンテンツを多様なデバイスに安全かつスムーズに届けることができるコンテンツ配信ソリューション。
ウェブサイトセキュリティをCDN経由で担保。
標的型メール攻撃対策やメール誤送信対策、事後調査や監査対応などに有効なメールアーカイブ機能などのセキュリティ対策をクラウド(SaaS型)で提供。最短7日で導入可能。

WAF」関連の特集


経済産業省の中小企業IT経営力ポータルによると、IT投資マインドランキングでは、日本は調査対象国の中…



 いわゆる「クラウド時代」が到来する以前、WAFの主流はアプライアンス製品であったと言えるが、WAF…



頑張れ情シス! 4割の企業でセキュリティ専門部署もなければ専任者もおらず、情シスがセキュリティ対策し…


WAF」関連のセミナー

実感、ウェブをとりまくサイバー攻撃とその対策最前線-名古屋 【ラック / アカマイ・テクノロジーズ:共同主催】 締切間近 

開催日 5月30日(火)   開催地 愛知県   参加費 無料

「企業の顔」であるウェブサイトを狙った攻撃は一層深刻さを増しています。WordPressの脆弱性を利用する攻撃が多数報告されたり、IoTを利用した超大規模DDo…

今、Webサービス提供事業者が直面している課題とその解決策 【NRIセキュアテクノロジーズ】  

開催日 4月27日(木),5月26日(金),6月29日(木)   開催地 東京都   参加費 無料

消費者向けWebサービスは、ID連携技術の浸透により、スマートフォンをはじめとしたマルチチャネル化、サービス間の連携など、ますます便利になる一方、リスト型アカウ…

「ネットワークセキュリティ」関連 製品レポート一覧

このページの先頭へ

WAF/アプリケーションファイアウォール」の記事を一部ご紹介しました。
会員登録を行い、ログインすると、「WAF/アプリケーションファイアウォール」の記事の続きがお読みいただけます。


Myリストへ 印刷用ページへ

この記事をtweetする このエントリーをはてなブックマークに追加


この記事に掲載している情報は、掲載日時点のものです。変更となる場合がございますのでご了承下さい。


ページ: 1 | 2


30001705


IT・IT製品TOP > ネットワークセキュリティ > WAF > WAFのIT特集 > 特集詳細

このページの先頭へ

キーマンズネットとは

ページトップへ