クラウドWAFで「守れること」「守れないこと」と選び方のコツ

この記事をtweetする このエントリーをはてなブックマークに追加

製品の基礎から選び方までをサポート! IT導入完全ガイド

クラウドWAFで「守れること」「守れないこと」と
選び方のコツ

2016/12/05

 導入や運用に手間がかからないクラウドWAFは、小規模なサイトでも手軽に利用できるが、万能薬ではない。本稿ではクラウドWAFで「守れること」「守れないこと」を整理し、「選び方のコツ」を紹介する。

ネットワークセキュリティ

※「ネットワークセキュリティ/クラウドWAFで「守れること」「守れないこと」と選び方のコツ」の記事を一部ご紹介します。会員登録を行い、 ログインすると、「ネットワークセキュリティ/クラウドWAFで「守れること」「守れないこと」と選び方のコツ」の記事全文がお読みいただけます。

会員登録はこちら(無料)


1WAFで守れること、守れないこと

  WAF(Web Application Firewall)とは、Webアプリケーションの脆弱(ぜいじゃく)性を悪用した攻撃を検知し、その攻撃からシステムを防御するためのものだ。これまで、セキュリティ対策としては、ファイアウォールやIPS(侵入防止システム:Intrusion Prevention System)、IDS(侵入検知システム:Intrusion Detection System)を導入してきた企業も多いだろう。一方のWAFはWebアプリケーションを守る部分に特化している。OSやネットワークなどを保護するセキュリティ対策機器の機能を補完し、通常の通信リクエストの中に潜む「攻撃」を検知、防御するものだと考えるべきだろう。  

 攻撃の中には、例えばWebアプリケーションに作られてしまったSQLインジェクションやクロスサイトスクリプティング(XSS)、クロスサイトリクエストフォージェリ(CSRF)といった脆弱性を攻撃するものがある。これらの通信には特徴的なパターンが含まれることが多く、それらの特徴を検知することがWAFの目的だ。

図1 Scutumの事例
図1 Scutumの事例
■SQLインジェクションについて
データベースのSQLクエリのパラメータとなる入力に、攻撃者は不正な文字列を入力して(上図1)、不正なSQLクエリを実行させる(上図2、3)。上図は、不正な文字列により認証を回避するSQLインジェクション攻撃の例。Webサイトからの情報漏えい事件の原因は、ほとんどがこのケースだ。 Scutumを利用した場合、不正な値の入力をブロックすることで攻撃を回避できる(上図4)。 
 
■ドライブバイダウンロード攻撃について
ガンブラー(Gumblar)などでは、Web管理者のPCに侵入したウイルスによってFTPのアカウント情報が攻撃者に送られる(上図1)。攻撃者は、入手したFTPのアカウント情報(ID・パスワード)を悪用して、その管理者が管理するWebサイトを改ざんする(上図2)。サイトの利用者が、改ざんされた正規のWebサイトを閲覧した場合、ウイルスは利用者AのPCに侵入して、さらに被害が広がります(上図3)。Scutumを利用した場合、悪意あるJavaScriptを無害化し、安全な状態で利用者に表示することができる(上図4)。
資料提供:セキュアスカイ・テクノロジー

…この記事の続きは、会員限定です。  会員登録はこちら(無料)

続きを読むには…
会員登録いただくと自動的にこの記事に戻り、続きが読めます。

会員登録(無料)・ログイン

このページの先頭へ
関連キーワード

ネットワークセキュリティ/クラウドWAFで「守れること」「守れないこと」と選び方のコツ」関連の情報を、チョイスしてお届けします

※キーマンズネット内の「ネットワークセキュリティ」関連情報をランダムに表示しています。

ネットワークセキュリティ」関連の製品

ネットワーク分離環境のデータ受け渡し Crossway/データブリッジ 【NTTテクノクロス】 クラウド対応ソフトウェア型WAF InfoCage SiteShell 【NEC】 UTM/Firewall/Proxyログ一括管理 ManageEngine Firewall Analyzer 【ゾーホージャパン】
その他ネットワークセキュリティ関連 WAF UTM
分離ネットワーク間でデータを安全に受け渡すための機器。
電源OFFなどで、データは自動的に消去されるので、USBメモリなどと違い重要情報の持ち運びリスクを軽減できる。
InfoCage SiteShellはWebサーバにインストールするソフトウェア型とWAF専用サーバのネットワーク型のどちらの形態でも導入可能。クラウド環境(IaaS)にも対応。 分かりにくいUTM/ファイアウォール/プロキシの生ログをグラフィカルで見やすくレポート出力できるログ管理ツール。
Juniper、Ciscoなど30ベンダー以上の主要機器に対応。

ネットワークセキュリティ」関連の特集


災害や節電対策、生活と仕事の調和を図るワークライフバランスへの配慮等から、在宅勤務の必要性が叫ばれて…



ネットワークやエンドポイントで多様な脅威にさらされる企業システム。これらを常に監視し、不正をリアルタ…



どこまでやるべきか悩ましいクライアントセキュリティ対策。今回は効果的な対策のために役立つフレームワー…


ネットワークセキュリティ」関連のセミナー

F5/Palo Alto/Proofpointで行うOffice 365のセキュリティ 【テクマトリックス】 締切間近 

開催日 11月22日(水)   開催地 東京都   参加費 無料

【Office 365に最適なインフラ構築とセキュリティ対策がわかる】Microsoft社のOffice 365を導入される際にセキュリティリスクとなるテナント…

CASBで実現!働き方改革×クラウドセキュリティ 【主催:マイナビ/協賛:マクニカネットワークス/シマンテック】  

開催日 12月6日(水)   開催地 東京都   参加費 無料

国を挙げて「働き方改革」が叫ばれている今、テレワークや在宅勤務を促進する企業が増えています。それに伴い、ビジネス基盤としてのクラウドサービス利用は急増しており、…

McAfee SIEMハンズオンセミナー 【マクニカネットワークス】  

開催日 12月1日(金)   開催地 東京都   参加費 無料

標的型攻撃やサイバー攻撃の高度化により、外部からの侵入をセキュリティ機器で防御する「予防的対策」だけでなく、侵入された場合にいち早く検知、調査、対処を行う「発見…

「ネットワークセキュリティ」関連 製品レポート一覧

このページの先頭へ

ネットワークセキュリティ/ クラウドWAFで「守れること」「守れないこと」と選び方のコツ」の記事を一部ご紹介しました。
会員登録を行い、ログインすると、「ネットワークセキュリティ/ クラウドWAFで「守れること」「守れないこと」と選び方のコツ」の記事の続きがお読みいただけます。


Myリストへ

この記事をtweetする このエントリーをはてなブックマークに追加


この記事に掲載している情報は、掲載日時点のものです。変更となる場合がございますのでご了承下さい。


ページ: 1 | 2 | 3 | 4


30009207


IT・IT製品TOP > ネットワークセキュリティ > WAF > WAFのIT特集 > 特集詳細

このページの先頭へ

キーマンズネットとは

ページトップへ