クラウドWAFで「守れること」「守れないこと」と選び方のコツ

この記事をtweetする このエントリーをはてなブックマークに追加

製品の基礎から選び方までをサポート! IT導入完全ガイド

クラウドWAFで「守れること」「守れないこと」と
選び方のコツ

2016/12/05

 導入や運用に手間がかからないクラウドWAFは、小規模なサイトでも手軽に利用できるが、万能薬ではない。本稿ではクラウドWAFで「守れること」「守れないこと」を整理し、「選び方のコツ」を紹介する。

ネットワークセキュリティ

※「ネットワークセキュリティ/クラウドWAFで「守れること」「守れないこと」と選び方のコツ」の記事を一部ご紹介します。会員登録を行い、 ログインすると、「ネットワークセキュリティ/クラウドWAFで「守れること」「守れないこと」と選び方のコツ」の記事全文がお読みいただけます。

会員登録はこちら(無料)


1WAFで守れること、守れないこと

  WAF(Web Application Firewall)とは、Webアプリケーションの脆弱(ぜいじゃく)性を悪用した攻撃を検知し、その攻撃からシステムを防御するためのものだ。これまで、セキュリティ対策としては、ファイアウォールやIPS(侵入防止システム:Intrusion Prevention System)、IDS(侵入検知システム:Intrusion Detection System)を導入してきた企業も多いだろう。一方のWAFはWebアプリケーションを守る部分に特化している。OSやネットワークなどを保護するセキュリティ対策機器の機能を補完し、通常の通信リクエストの中に潜む「攻撃」を検知、防御するものだと考えるべきだろう。  

 攻撃の中には、例えばWebアプリケーションに作られてしまったSQLインジェクションやクロスサイトスクリプティング(XSS)、クロスサイトリクエストフォージェリ(CSRF)といった脆弱性を攻撃するものがある。これらの通信には特徴的なパターンが含まれることが多く、それらの特徴を検知することがWAFの目的だ。

図1 Scutumの事例
図1 Scutumの事例
■SQLインジェクションについて
データベースのSQLクエリのパラメータとなる入力に、攻撃者は不正な文字列を入力して(上図1)、不正なSQLクエリを実行させる(上図2、3)。上図は、不正な文字列により認証を回避するSQLインジェクション攻撃の例。Webサイトからの情報漏えい事件の原因は、ほとんどがこのケースだ。 Scutumを利用した場合、不正な値の入力をブロックすることで攻撃を回避できる(上図4)。 
 
■ドライブバイダウンロード攻撃について
ガンブラー(Gumblar)などでは、Web管理者のPCに侵入したウイルスによってFTPのアカウント情報が攻撃者に送られる(上図1)。攻撃者は、入手したFTPのアカウント情報(ID・パスワード)を悪用して、その管理者が管理するWebサイトを改ざんする(上図2)。サイトの利用者が、改ざんされた正規のWebサイトを閲覧した場合、ウイルスは利用者AのPCに侵入して、さらに被害が広がります(上図3)。Scutumを利用した場合、悪意あるJavaScriptを無害化し、安全な状態で利用者に表示することができる(上図4)。
資料提供:セキュアスカイ・テクノロジー

…この記事の続きは、会員限定です。  会員登録はこちら(無料)

続きを読むには…
会員登録いただくと自動的にこの記事に戻り、続きが読めます。

会員登録(無料)・ログイン

このページの先頭へ
関連キーワード

ネットワークセキュリティ/クラウドWAFで「守れること」「守れないこと」と選び方のコツ」関連の情報を、チョイスしてお届けします

※キーマンズネット内の「ネットワークセキュリティ」関連情報をランダムに表示しています。

ネットワークセキュリティ」関連の製品

狙われ始めたファームウェアをどう守る? 次世代サーバセキュリティの重要事項 【日本ヒューレット・パッカード】 クラウド型WAF「攻撃遮断くん」 【サイバーセキュリティクラウド】 特権ID管理 iDoperation(アイディーオペレーション) 【NTTテクノクロス】
検疫 WAF ID管理
狙われ始めたファームウェアをどう守る? 次世代サーバセキュリティの重要事項 情報漏えいを狙った脆弱性への攻撃や、DDoS攻撃によるサービス停止を防止するクラウド型WAF。導入サイト数は3000を超え、クラウド国内トップクラスの導入実績。 申請と承認に基づく特権IDの貸し出しと、利用状況の点検・監査(申請とログの突合せ)に対応する特権ID管理製品。監査対応、特権ID管理の効率化、セキュリティ強化を実現。

ネットワークセキュリティ」関連の特集


統合ログ管理ツール(SIM/SIEM)の2016年度の国内市場は約74億円。拡大が見込まれるSIEM…



富士キメラ総研の調べによると、2011年まで、前年対比9.9%〜3.4%増の成長が予測されているシン…



こんにちは。加賀結衣(かが ゆい)と申します。このコラムでは、NRIネットコム株式会社の「Amazo…


ネットワークセキュリティ」関連のセミナー

Security Days Fall 2017 東京 【ナノオプト・メディア】 締切間近 

開催日 9月27日(水)〜9月29日(金)   開催地 東京都   参加費 無料

「標的型攻撃」「ランサムウェア」「情報漏えい」「クラウド」、「IoT」など注目のセキュリティトピックを一挙に解説!┏━━━━━━━━━━━━━━━━━━━━━━…

Security Days Fall 2017 大阪 【ナノオプト・メディア】 締切間近 

開催日 9月26日(火)   開催地 大阪府   参加費 無料

◆━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━◆        〜 最新の脅威動向とセキュリティ対策が集結するセミナー…

【徹底解説】McAfeeの次世代エンドポイントセキュリティの全貌 【テクマトリックス/マカフィー】 締切間近 

開催日 9月7日(木),9月27日(水)   開催地 東京都   参加費 無料

【好評につき追加開催決定!】サイバー犯罪の市場規模は今や約100兆円とも言われており、世界中で一日に数十万個のマルウェアが新たに出現しているというデータもありま…

「ネットワークセキュリティ」関連 製品レポート一覧

このページの先頭へ

ネットワークセキュリティ/ クラウドWAFで「守れること」「守れないこと」と選び方のコツ」の記事を一部ご紹介しました。
会員登録を行い、ログインすると、「ネットワークセキュリティ/ クラウドWAFで「守れること」「守れないこと」と選び方のコツ」の記事の続きがお読みいただけます。


Myリストへ

この記事をtweetする このエントリーをはてなブックマークに追加


この記事に掲載している情報は、掲載日時点のものです。変更となる場合がございますのでご了承下さい。


ページ: 1 | 2 | 3 | 4


30009207


IT・IT製品TOP > ネットワークセキュリティ > WAF > WAFのIT特集 > 特集詳細

このページの先頭へ

キーマンズネットとは

ページトップへ