クラウドWAFで「守れること」「守れないこと」と選び方のコツ

この記事をtweetする このエントリーをはてなブックマークに追加

製品の基礎から選び方までをサポート! IT導入完全ガイド

クラウドWAFで「守れること」「守れないこと」と
選び方のコツ

2016/12/05

 導入や運用に手間がかからないクラウドWAFは、小規模なサイトでも手軽に利用できるが、万能薬ではない。本稿ではクラウドWAFで「守れること」「守れないこと」を整理し、「選び方のコツ」を紹介する。

ネットワークセキュリティ

※「ネットワークセキュリティ/クラウドWAFで「守れること」「守れないこと」と選び方のコツ」の記事を一部ご紹介します。会員登録を行い、 ログインすると、「ネットワークセキュリティ/クラウドWAFで「守れること」「守れないこと」と選び方のコツ」の記事全文がお読みいただけます。

会員登録はこちら(無料)


1WAFで守れること、守れないこと

  WAF(Web Application Firewall)とは、Webアプリケーションの脆弱(ぜいじゃく)性を悪用した攻撃を検知し、その攻撃からシステムを防御するためのものだ。これまで、セキュリティ対策としては、ファイアウォールやIPS(侵入防止システム:Intrusion Prevention System)、IDS(侵入検知システム:Intrusion Detection System)を導入してきた企業も多いだろう。一方のWAFはWebアプリケーションを守る部分に特化している。OSやネットワークなどを保護するセキュリティ対策機器の機能を補完し、通常の通信リクエストの中に潜む「攻撃」を検知、防御するものだと考えるべきだろう。  

 攻撃の中には、例えばWebアプリケーションに作られてしまったSQLインジェクションやクロスサイトスクリプティング(XSS)、クロスサイトリクエストフォージェリ(CSRF)といった脆弱性を攻撃するものがある。これらの通信には特徴的なパターンが含まれることが多く、それらの特徴を検知することがWAFの目的だ。

図1 Scutumの事例
図1 Scutumの事例
■SQLインジェクションについて
データベースのSQLクエリのパラメータとなる入力に、攻撃者は不正な文字列を入力して(上図1)、不正なSQLクエリを実行させる(上図2、3)。上図は、不正な文字列により認証を回避するSQLインジェクション攻撃の例。Webサイトからの情報漏えい事件の原因は、ほとんどがこのケースだ。 Scutumを利用した場合、不正な値の入力をブロックすることで攻撃を回避できる(上図4)。 
 
■ドライブバイダウンロード攻撃について
ガンブラー(Gumblar)などでは、Web管理者のPCに侵入したウイルスによってFTPのアカウント情報が攻撃者に送られる(上図1)。攻撃者は、入手したFTPのアカウント情報(ID・パスワード)を悪用して、その管理者が管理するWebサイトを改ざんする(上図2)。サイトの利用者が、改ざんされた正規のWebサイトを閲覧した場合、ウイルスは利用者AのPCに侵入して、さらに被害が広がります(上図3)。Scutumを利用した場合、悪意あるJavaScriptを無害化し、安全な状態で利用者に表示することができる(上図4)。
資料提供:セキュアスカイ・テクノロジー

…この記事の続きは、会員限定です。  会員登録はこちら(無料)

続きを読むには…
会員登録いただくと自動的にこの記事に戻り、続きが読めます。

会員登録(無料)・ログイン

このページの先頭へ
関連キーワード

ネットワークセキュリティ/クラウドWAFで「守れること」「守れないこと」と選び方のコツ」関連の情報を、チョイスしてお届けします

※キーマンズネット内の「ネットワークセキュリティ」関連情報をランダムに表示しています。

ネットワークセキュリティ」関連の製品

脆弱性対策にDDoS攻撃、企業の「顔」であるWebサイトへの攻撃にどう対処するか 【株式会社ラック】 Secure Web Gateway 【シマンテック】 セキュリティアプライアンス Aterm SA3500G 【NECプラットフォームズ】
WAF 検疫 その他ネットワークセキュリティ関連
自社サービスが継続困難に……DDoS攻撃から保護する方法 クラウドセキュリティを全方位解説:機密データとパフォーマンスの守り方 既存ネットワーク構成を変えずに簡単に導入可能。分かりやすい価格設定で中小規模の法人ユーザ向けに最適なUTM(セキュリティアプライアンス)。

ネットワークセキュリティ」関連の特集


訴訟リスクを回避すべく導入に意欲的な企業が増えているIT資産管理ツール。SaaSや仮想化対応など、I…



投資を厳選しながらセキュリティ管理のPDCAを回す体制づくりとは?中小企業に注目し、今実施すべきセキ…



 最終回の本号では、実際にSaaS型WAFサービスの導入手順を説明することで、具体的なイメージを持っ…


ネットワークセキュリティ」関連のセミナー

System Support Day 2017 【ディー・オー・エス】 注目 

開催日 9月7日(木)   開催地 東京都   参加費 無料

標的型攻撃の脅威や、内部不正による情報漏洩などが社会問題となる昨今、あらゆるセキュリティ対策の基盤となるIT資産管理は、ますます重要性を増しています。また、ソフ…

ICS/SCADAセキュリティトレーニング紹介セミナー 【NHN テコラス】  

開催日 8月3日(木),8月10日(木)   開催地 東京都   参加費 無料

2017年9月13日(水)〜9月15日(金)に開催する有償のセキュリティトレーニングコース「ICS/SCADAセキュリティトレーニング」の予告編となるセミナーを…

カード業界セキュリティ PCI DSS導入実践コース ベーシック 【BSI グループジャパン】  

開催日 7月14日(金),9月20日(水)   開催地 東京都   参加費 有料 5万4000円(税込み)

東京オリンピックの2020年開催に向け、政府はクレジットカードを世界で最も安全に利用できる環境作りを、閣議決定しました。これを受けて金融庁・経産省はじめ6省庁は…

「ネットワークセキュリティ」関連 製品レポート一覧

このページの先頭へ

ネットワークセキュリティ/ クラウドWAFで「守れること」「守れないこと」と選び方のコツ」の記事を一部ご紹介しました。
会員登録を行い、ログインすると、「ネットワークセキュリティ/ クラウドWAFで「守れること」「守れないこと」と選び方のコツ」の記事の続きがお読みいただけます。


Myリストへ

この記事をtweetする このエントリーをはてなブックマークに追加


この記事に掲載している情報は、掲載日時点のものです。変更となる場合がございますのでご了承下さい。


ページ: 1 | 2 | 3 | 4


30009207


IT・IT製品TOP > ネットワークセキュリティ > WAF > WAFのIT特集 > 特集詳細

このページの先頭へ

キーマンズネットとは

ページトップへ