blog_example

様々な課題を解き明かす解決者、クラウドブリック

Title

サイバー攻撃(業種別事例)

会員の個人情報・クレジットカード情報のデータベースをハッキングして情報を盗み取っていた以前とは異なって、昨今のサイバー攻撃は多様な形でWebサイトに被害を及ぼしています。

普通のホームページからフィッシングサイトに誘導して個人情報や決済情報を入力させたり、決済段階でフィッシングサイトに誘導して2回決済させるなど、単純に情報データベースを盗み取るだけではなく、ユーザが直接個人情報を入力するように誘導する巧妙な手法を使い始めました。

このようなサイバー攻撃は、個人に被害を与えるだけではなく、該当サイトの信頼度を低下させてハッキング被害に遭った企業が顧客に補償をしなければいけないなど、企業に甚大な損害を与えています。
クラウドブリックのWAFは業界最強の防御力を誇っていて、お客様の様々な課題を解決しております。

1.オンラインショップ

オンラインショップは個人情報及び決済情報を多数収集している為、攻撃対象になりやすいです。

実際、サイバー攻撃を受けたサイトの大半はオンラインショップであり、よくニュースで被害事例を見かけます。オンラインショップは情報を入力する部分の暗号化が特に重要であり、規模が大きくない企業が運営する場合が多いのでセキュリティに投資出来る費用が少ないという課題を持っている場合が多いです。

クラウドブリックは全てのページを暗号化する常時SSLを無料提供していて、適用・更新も無料代行しています。また、事前に決められた金額で月額決済が出来るので少額の初期費用・運用費用で高性能WAFを適用出来ます。

2.メディアサイト

個人情報及び決済情報が比較的に少ないメディアサイトの場合、該当Webサイトが持っている情報自体を狙った攻撃が多い傾向があります。

リサーチ資料・競合企業の技術関連情報などを窃取したり、悪意を持って削除したりする攻撃がよくあります。また、多数のゾンビサーバを用いてWebサイトに負荷を与えるDDoS攻撃が発生する事もあります。その為、メディアサイトは情報暗号化と共にDDoS対策が必要になります。

クラウドブリックはSSLのみならずDDoS攻撃対策も無料オプションとして提供しています。

急上昇したトラフィックが攻撃なのか実ユーザのアクセスなのかを把握して適切な対応をする事で、ユーザのWebサイト利用満足度を高めています。

3.非営利機関

信頼性の高い非営利機関のホームページの場合、DDoS攻撃の土台として利用されたり改ざんされたりする事例が増えています。

Webサーバに不正アクセスして他サイトを攻撃するよう操ってサイバー攻撃の加害者にさせたり、全く違うページが出力されるように改ざんしてサイト運営を妨害したり、様々な被害事例が発生しました。このような攻撃を防ぐ為には不正アクセスを防止する事が大事です。

クラウドブリックはロジックベース検知エンジンを搭載している為、今までなかった新しい攻撃も的確に検知し、Webサイトを不正アクセスからより安全に保護しています。

貴社の課題は何ですか?

クラウドブリックのWAFはWebサイトの規模・業種に関係なく全ての課題を解決させて頂きます。

今すぐご相談ください。1か月間無料トライアルも可能です!

kaizan__image_180820

クラウドブリック導入で解決出来る課題とは⁈

cyber security
最近オリンピックのオフィシャルストアが出来るなど、東京オリンピックの対外的な準備が活発に行われています。公式グッズやコラボ企画などの様々な活動が行われて、世界が東京を注目する事になると思います。こうして世界の注目を浴びるのは良い事が多いですが、悪い側面もあります。その事例には2018年平昌オリンピックのサイバー攻撃事件がありますが、開幕式当日に組織委員会及び関連企業のサーバ及びホームページがサイバー攻撃に遭いました。復旧には12時間がかかり、この為52種のサービスが中断されました。このような被害を事前に防止する為に、政府機関では多様なサイバーセキュリティに関する準備をしていて、民間企業にも対策を立てるよう呼びかけています。民間企業で実行出来る最も簡単且つ安全な対策としてWAFの導入がありますが、クラウドブリックのWAFを導入したら解決出来る課題についてご案内いたします。

ssl

自社ホームページのセキュリティ強化

ホームページのセキュリティにおいて最も基本的な事は常時SSLの適用です。SSLを適用して全ての内容を暗号化すると第三者による個人情報流出を防止するのに役立ちます。

クラウドブリックは常時SSLを無料で提供し、適用/更新を全て無料代行しています。難しいコーディング作業なく、適用したいドメインをヒアリングシートに記入するだけで誰でも簡単にホームページにSSLを適用できます。

しかし、SSLを適用するだけではホームページを保護できません。改ざん・DDoS攻撃などの色んなサイバー攻撃を防御する為にはクラウドブリックのロジックベース検知エンジンが搭載したWAFが必要になります。従来のパターンマッチング型のWAFとは違い、クラウドブリックのWAFは新しい類型の攻撃を受けても以前の攻撃の類型から分析して攻撃を検知しており、とても低い誤検知率を誇っています。

professional

セキュリティ人材不足を解決

求人難により、多くの企業が人材採用の為に努力しています。特に、セキュリティ分野の人材はまだまだ足りなく、育成に力を入れています。この為、企業内にセキュリティを専門として担当するエンジニアがいない会社がほとんどです。非専門家が担当者になって既存の業務と一緒に該当業務を担当して業務過負荷が発生する事もよくあることです。また、昼夜を問わず攻撃が発生する為、企業内部の者が全て管理するのはとても難しいことです。

WAFを適用したら、検知エンジンが様々なサイバー攻撃を常に防御してセキュリティ担当のエンジニアがいなくてもWebサイトを安全に保護する事が出来るので、セキュリティ担当のエンジニアの採用・教育が必要なくなり、コストの節減にもなります。

http

サイト満足度増加

Google Chromeは常時SSL化がされていないWebサイトに対して警告表示をだしています。全てのページに警告メッセージが表示されたらホームページにアクセスしたユーザは不安を感じる事になります。

昨今、色々な個人情報流出事件が発生している為、個人情報入力が必要なサイトを利用する際にはセキュリティがきちんとしているWebサイトなのかを確認すべきだというニュースをよく見かけます。

クラウドブリックのWAFを導入したら、常時SSL及び様々なセキュリティが適用されてGoogle Chromeで閲覧する際に安全なサイトである鍵マークが表示されます。警告表示ではない安全なWebサイトである事を見せて顧客の信頼度を高めてサイバー攻撃から顧客の大事な個人情報を保護するべきです。このような努力でSEOにも良い影響を及ぼす事ができ、顧客のWebサイト満足度が高くなってレファランスも良くなると、より多くの人々が安全に貴社のWebサイトを利用することが出来ます。

クラウドブリックのWAFを導入すると、この他にも多様な課題を解決できます。製品についてもっと詳しい情報を知りたい方はクラウドブリック お問合せメニューにてお問合せ・資料請求ください。

cloud security cloudbric

常時SSL・部分SSL、どちらをご利用中ですか?

password

クラウドブリックの調査によると、国内各県の公式サイト47カ所中28カ所は部分 SSL を、19カ所は常時SSLを適用中であり、大半のサイトが部分SSLを適用していました(2018年10月基準)。このようなサイトのみならず、日本の多くのWebサイトが部分SSLを適用しています。

常時SSLと部分SSLの違いは何でしょうか。また、どちらの方がWebサイトのセキュリティにとって良いのでしょうか。今回はSSLの適用範囲についてご説明いたします。

₋SSLとは

SSLとは、Webサイト訪問者とWebサーバ間の通信を暗号化する為にWebサーバに保存すべき証明書です。

SSLを使用せずにHTTP通信を行ったらサイト訪問者とWebサーバ間の通信が第三者に露出されてしまう恐れがあります。特に、個人情報やクレジットカード情報などを収集するWebサイトではSSLの適用が必須で、大半のサイトがその必要性を認知して適用しています。

₋SSLの適用範囲と現況:部分/常時

SSLはサイト全体に適用出来る常時適用と、個人情報などを入力するページのみ適用する部分適用があります。サイト全体にSSLを適用する場合、メインページを含むすべてのページがhttpsに表示されてURLの隣に錠マークが表示されます。2018年7月にリリースされたGoogle Chrome 68からは、全HTTPページに警告ラーベルが表示されるようです。Googleは常時SSLを促進しており、HTTPページには常に警告表示が出されます。

₋部分SSLの盲点

SSLの部分適用ページに警告表示を出すのはなぜでしょうか。

まだ多くの方々がSSLは個人情報保護の為に適用すべきだと考えています。ですので、会員登録・ログイン・お問合せなどのページのみSSLを適用する場合が多くみられます。

しかし、SSLは暗号化を通じて改ざんを防止し、フィッシングサイトへの誘導を防止する機能もあり、SEO対策にもなるので、Webサイトの信頼性及び安全性を高めます。また、SSLの属性についてきちんと把握せずに部分SSLを適用したら設定に誤りがあったりして機能を果たせない場合もあります。

-常時SSLに対する誤解

常時SSLはよく「Webページの速度が遅くなる」、「費用が高い」、「導入が複雑で難しい」と誤解されています。

サーバに負荷が生じてアクセス速度が遅くなるのでは、とよく言われていますが、以前のSSLとは異なって現在使用されているSSLは速度の差がほぼ生じません。

また、費用面においては、もちろん高額のSSLもありますが、Webページの改ざん・個人情報流出などによる被害が発生してSSL導入費用の何倍以上の被害額が生じる事を想定したら大きい負担とは言い難いはずです。

trust

-常時SSLの利点

常時SSLは保護が必要な各ページにSSL適用の作業をしなくてもいいので、不必要なリソースの無駄遣いを防げますし、一度に適用して統合管理する事が可能です。そして、何より良いことは、Webサイトの信頼度及び安全性が高まってSEOも良くなることです。
Googleは2014年からSSLの適用可否を検索結果露出順位の測定方法に含むなど、SSL適用を促進しています。

ssl

-結局選択すべきなのは?

Webサイトのパフォーマンス・費用・導入過程の全てを考えたら、結局選択すべきなのは常時SSLです。CloudbricはIDソリューション分野のグロバールリーダーであるIden Trustから認証を貰ったLet’s Encrypt証明書を無料で提供しております。

また、WAFを導入するだけでSSL証明書を自動発行するのでとても簡単に適用できます。

また、3か月に一回行わなければならない更新も自動適用出来るようサポートしています。

まだSSL証明書を導入していなかったり、部分SSLを適用しているのであれば、常時SSL導入をご検討するのは如何でしょうか。
Webサイトを安全に保護する為の第一歩になります。

NICTER

Webサイトを守る最も安全な方法

賢い WAF製品 の選び方


NICTER(国立研究開発法人 情報通信研究機構)が発表した2017年観測レポートによると、2017年に30万IPを対象に観測を実施した結果、約1,500億パケットが観測されてIP当パケット数は約56万に至りました。

これは2016年に比べて約1.2倍の増加になります。

Report

(NICTER観測レポート2017,NICTERサイバーセキュリティ研究所サイバーセキュリティ研究室,2018,http://www.nict.go.jp/press/2018/02/27-1.html)

このように、Web攻撃は毎年増加していてその攻撃方法も多様になっています。これによって、多くの企業がWAFの必要性を認識して各社の基準に合うWebセキュリティサービスを導入しています。数多くのWAFサービスの中でどのサービスを選択すればいいのか悩んでいる方々の為に、今回はクラウドブリックを選択すべき理由を3つの側面からお話しさせて頂きます。

【機能面】

今まで受けた攻撃のパターンをデータベース化して該当する攻撃を受けた際に防御する事を「シグネチャ型WAF」といい、大半のWAFサービスがこの方式を採用しています。

企業で直接データアップデートをしなくてもいいので社内業務負荷が軽減し、様々な攻撃パターンに備える事が出来るのがポイントです。
しかし、今まで一度も無かった攻撃は防御出来なくて、データベース肥大化によってパフォーマンス鈍化や過剰検知などが発生して誤検知率が増加する恐れがあります。

Cloudbric WAF

このような問題を解決する為、クラウドブリックのWAFは自社独自開発のロジックベース検知エンジンを搭載して攻撃のパターンだけではなく属性まで把握して、今まで無かった攻撃を防御出来るようにしました。

この機能によって誤検知率が低くなり、Webサイトユーザが比較的にストレス無くサイトを利用出来てユーザの離脱を防止出来ます。
該当技術は日本/韓国/米国で特許を取得しました。

【運用面】

クラウドブリックのWAFは顧客専用サービス環境を構築してカスタマイズされたセキュリティ政策で運営出来ますし、DNS変更だけでWAFの導入が出来るので現在使用しているシステム環境を変更しなくても利用可能です。
また、維持においても素早い対応で社内リソース負担を減少させ、社内業務過負荷を防止出来ます。

Console

そして、クラウドブリックの紹介で外せない機能の一つに「ダッシュボード」があります。
インターネットが使用出来る環境であればいつどこでもWebサイトの管理現況を確認出来て、WAFに関する知識があまり無い方でもすぐ把握出来る見やすい画面構成になっています。

この点はWebセキュリティ状況を可視化して社内セキュリティ意識を高めるだけではなく、クライアントに可視化されたセキュリティ状況を提示して信頼度を高める事も出来ます。

【費用面】

今までWAFは高価のハードウェアと維持費用の負担により大手企業のような費用負担が可能な企業のみ導入出来るサービスでした。
しかし、クラウドブリックのWAFはハードウェアが必要ないクラウド型WAFであり、月別支払いが可能なリーズナブルな価格政策を提供していて、スタートアップ企業や中小企業も少ない費用でご利用されています。

Price

また、SSL(Let’s Encrypt)及びDDoS防御などのオプション機能を無料提供して、簡単な予算案の作成を手助けしています。他にもOWASP主要脆弱点Top10対応・既存SSL適用可能などの様々な長所を持っているクラウドブリックのWAFは、簡単に高い技術力のWebセキュリティを適用するに最適なサービスです。

このページをお読みになってクラウドブリックのWAFを利用してみたいと思いましたら以下のリンクにてお問い合わせください。

現在利用中のWAFの評価とクラウドブリックのWAFの体験を無料でご利用頂けます。

blog_Introduction

Cloudbric(クラウドブリック)の主要機能をご紹介いたします!

ご紹介ㅣCloudbric WAFの主要機能


企業のセキュリティ関連予算が毎年増加している中、どのようなセキュリティ対策を立てていますか?

過去には攻撃履歴のあるIPアドレスからのアクセスを遮断したり知られている攻撃パターンと比較して遮断したりする方法でWebサイトを保護しましたが、もうこの方法ではWebサイトを安全に保護出来なくなりました。

新種の攻撃を検知出来なかったり悪意の無いアクセスも遮断してしまったりする事が多くなっている為です。

このような問題を解決してWebサイトを保護してくれるCloudbric(クラウドブリック)WAFの主要機能についてご紹介致します。
安全なWeb環境を作る為にはどういったセキュリティ対策が必要であるかご確認ください。

紹介

– Web攻撃遮断サービス

「ロジックベース検知エンジン搭載」

クラウドブリックはより安全なWebセキュリティサービスを提供する為、既存WAF市場の検知技術とは異なる「ロジックベース検知エンジン」を搭載しています。ロジック分析を通じた検知技術で、攻撃真偽まで把握して誤検知率が低く、今までなかったWeb攻撃パターンを正確に検知して遮断出来ます。また、データの意味を論理的に分析するので誤検知も少ないです。

「OWASP主要脆弱性Top10に対応」

クラウドブリックのWAFは、OWASPが発表した主要脆弱性Top10に全て対応出来ます。
ロジックベース検知エンジンの26種の検知ルールを基盤に多様なWebサイトの脆弱性を補完してWeb攻撃を防御出来て有害なトラフィックを正確に区分して遮断しています。

 

– DDoS防御

「DDoS攻撃の定義」

DDoSはハッカーがウィルスに感染させて操る多数のゾンビPCが一斉にWebサーバに負荷をかける攻撃です。以前はトラフィックを発生させてネットワークをフリーズさせる攻撃が流行っていましたが、最近はアプリケーションの脆弱性を悪用してWebサーバを直接攻撃する場合が増加しています。

このような攻撃は、Webサーバの全ての情報が消えたり流出したりする致命的な結果を用いることがあります。

「多様なDDoS攻撃を防御」

クラウドブリックのWAFはWebアプリケーションの脆弱性を悪用した全ての非正常的なアクセスを迅速でスマートに検知/遮断します。最も多いDDoS攻撃から最新トレンドであるマルチバクタ攻撃(Slowloris, RUDYなど)まで、全範囲のDDoS攻撃からWebサイトを保護します。また、ネットワーク拡張を通じてネットワークフリーズを防ぎます。

ddos

– 無料SSL

「SSL証明書」

SSL(Secure Socket Layer)はWebサイトユーザとWebサーバ間の通信を暗号化する為にWebサーバに保存する証明書です。
SSLを使用せずにHTTP通信を行ったら、ユーザとWebサーバ間の通信が第三者に露出する可能性があります。
ユーザの大事な情報を保護する為には、SSLでWebサイトの全ての通信を暗号化しなければいけません。

「無料SSL提供」

クラウドブリックはIDソリューション分野においてグローバルリーダであるIden Trustから認証されたLet’s Encrypt証明書を無料提供しています。

また、Webサイトの有効性を証明して発行した証明書をWebサーバに保存する手間を無くす為、ユーザがサービス登録さえ完了すれば追加作業が必要ない自動SSLを使用出来るようにして利便性を高めました。


現在行っているセキュリティ対策に足りない部分はありませんか?
クラウドブリックのサービスを利用すれば、簡単・迅速に強力なWebセキュリティを導入して顧客からより信頼される企業になります。
もっと詳しい情報を知りたい方はクラウドブリックのホームページを参照もしくはお問合せメニューを利用してご連絡をお願い致します。

vevo

【コラム】Webサイト改ざんの事例と対策

最近大型サイトが  改ざん される事件が目立っています。
ユーザがWebサイトにアクセスしたら他のサイトに繋がるようにしたり、Webページを他のサイトに換えたりする事件が増えています。
様々なハッキング方法からWebサイトを安全に保護する為にはどういう対策を立てるべきでしょう。
今回は最近話題になった改ざん事例と対策についてご紹介致します。

「Webサイト改ざんとは」

Webサイト改ざんとは、ハッカーがWebサイトのコンテンツやシステムを任意に変造するWeb攻撃です。
企業もしくは個人情報の一部、あるいはWebサイト全体を変える不正行為に該当します。
こうしたWeb攻撃の主な目的は営利的な事から他人(もしくは他企業)を誹謗しようとする事、政治的な目的まで様々ですが、はっきりした目的も無く攻撃するハッカーもいます。

「話題になった改ざん事例」

₋Youtube
2018年4月10日、米国Youtubeサイトにある人気アーティストのPVが改ざん被害に遭いました。
ストリーミングサイトVevoのYoutubeチャンネルがハッキングされて発生した事でした。
英国BBCと米国The Vergeの報道によると、Youtubeで視聴回数1位だった「Despacito」のサムネイル画像がマスク姿で銃を構える集団の画像に置き換えられ、その後一時的に視聴できなくなったそうです。ほかにもシャキーラ、セレーナ・ゴメス、テイラー・スウィフトといった人気アーティストの音楽ビデオが相次いで改ざんされました。
被害に遭った動画はいずれもレーベルがVevoのアカウントを通じてYoutubeに公開した公式ビデオでした。
改ざん Youtube

参考:ITmedia エンタープライズ「人気音楽ビデオが相次いで改ざん被害、YouTubeのVevoチャンネルでハッキング」
http://www.itmedia.co.jp/enterprise/articles/1804/11/news058.html

₋政府機関
今は対策を立て関連法律を制定していますが、2000年代には各政府機関のサイトが改ざんされる事件が相次いでいました。
2000年1月24日、科学技術庁のホームページが日本人をののしり、ポルノサイトへ誘導する内容に改ざんされました。
その他にも総務省統計局・自動車事故対策センターなどのデータが削除される攻撃が発生しました。

参考:kogures.com 「中央官庁Webページ集中改ざん事件(2000年)」
http://www.kogures.com/hitoshi/history/virus-2000-web-kaizan/index.html

₋トヨタ自動車
2013年6月18日、トヨタ自動車はホームページの一部が不正アクセスを通じて改ざんされたという経緯書とそれに対する謝罪声明を発表しました。
ホームページのニュースサイトを閲覧したら悪性プログラムがインストールされ、この状態が6月4日から6月14日まで続きました。
幸い個人情報流出は無かったですが、この為しばらくの間ホームページ内コンテンツを閲覧出来ませんでした。

参考:日経コミュニケーション 「トヨタのWebサイトが改ざん、不正プログラムを自動実行する状態に」
http://tech.nikkeibp.co.jp/it/article/NEWS/20130619/486291/

「改ざんに備える為には」

1.改ざんチェック方法
₋Webサイトの全ページソースコードを確認
ウェブサイト上に公開されている全ページについて、不正なスクリプト(意味不明な文字列)が含まれていないかを確認してください。
同様に、ウェブページを編集するパソコンに保存されているページもチェックしてください。
ウェブページのブラウザ上での見た目は、改ざんされる前と区別がつかないため、ホームページの編集ソフト等でページのソースを表示して確認してください。
₋ftp へのアクセスログを確認
ftp のアカウントを不正に利用され、正常なページに不正なスクリプトを埋め込む事例が確認されています。
自分がアクセスしていない日時に、ftp のアクセスが行われていないかを確認してください。
特に、企業の場合は、ftp のアクセスログを定期的にチェックし、不正アクセスや改ざん検知サービスの導入を推奨します。
※ftp:File Transfer Protocolの略。ネットワークでファイルを転送する為のプロトコル。
2.Webサイト運用の見直し
ウェブサイト更新用のアカウント情報が適切に管理されているかパスワード及びアカウント共有の側面から見直してください。
使用しているパスワードが十分に複雑でハッキングされる危険が無いか、アカウント情報の共有を必要以上の人員にしていないかに対する見直しが必要です。
3.一般利用者における対策
脆弱性を悪用して感染するウイルスからパソコンを守るため、Windows OS の利用者は Microsoft の自動アップデート機能を有効にしてください。
また、パソコンのすべてのアプリケーションソフトを定期的に最新版に更新してください。
そして、セキュリティ対策ソフトをインストールしたり無料オンラインサービスを利用したりすることをお勧めします。

参考:ウェブサイト管理者へ:ウェブサイト改ざんに関する注意喚起 一般利用者へ:改ざん されたウェブサイトからのウイルス感染に関する注意喚起 (https://www.ipa.go.jp/security/topics/20091224.html)

4.企業などホームページ管理者における対策
WAFはWebサイトとアプリケーションの間に介入して通信を通したアクセスを監視及び防御するセキュリティソリューションです。
WAFを導入したらWebアプリケーションの脆弱性を狙ったWeb攻撃を検知して攻撃的通信のアクセスを防ぐ事が出来ます。
そして、Webページの改ざんだけではなく、DDoS攻撃など様々なサイバー攻撃に対応可能なWebサイトの総合セキュリティ対策を立てることが出来ます。
安全なWebサイトを作る事が企業財産を守る事です。ハッキングに遭遇する前に充分に備えてください。
Cloudbricの製品情報はこちら
製品に関するお問合せはこちら
パートナーに関する情報はこちら
パートナーに関するお問合せはこちら

cloudbric_hp_owasp_2

【コラム】10大Webアプリケーション脆弱性と対策法

昨今ハッカーによるWeb攻撃が単純にWebサイトをフリーズさせるたけではなく、個人情報流出や重要資料の削除などの大問題になっています。
こういうニュースを見る際に「脆弱性」という単語をご覧になりましたか?
地下市場の発達により、今は専門ハッカーでなくてもWebページにアクセスして脆弱性を見つける事が出来て、脆弱性を多く持っているWebサイトを探してくれる自動化ツールまで出来ています。
Webサイトを安全に保護する為には、ハッカーの標的になる「脆弱性」を把握してそれに対する補完及び対策を立てることが重要です。
今回はOWASPが提示した10大Webアプリケーション脆弱性について述べ、脆弱性に備える方法をご説明致します。
脆弱性

1.10大Webアプリケーション 脆弱性

OWASP Top 10(2017年)
A1: インジェクション A6: 不適切なセキュリティ設定
A2: 認証の不備 A7: クロスサイトスクリプティング (XSS)
A3: 機微な情報の露出 A8: 安全でないデシリアライゼーション
A4: XML外部エンティティ参照(XXE) A9: 既知の脆弱性のあるコンポーネントの使用
A5: アクセス制御の不備 A10: 不十分なロギングとモニタリング

 

A1 : インジェクション
SQL, OS, XXE, LDAP インジェクションに関する脆弱性は、コマンドやクエリの一部として信頼されないデータが送信される場合に発生します。
攻撃コードはインタープリタを騙し、意図しな いコマンドの実行や、権限を有していないデータへのアクセスを引き起こします。
A2: 認証の不備
認証やセッション管理に関連するアプリケーションの機能は、不適切に実装されていることがあります。
不適切な実装により攻撃者は、パスワード、鍵、セッショントークンを侵害したり、他の実装上の欠陥により、
一時的または永続的に他のユーザーの認証情報を取得します。
A3: 機微な情報の露出
多くのウェブアプリケーションやAPIでは、財務情報、健康情報や個人情報といった機微な情報 を適切に保護していません。
攻撃者は、このように適切に保護されていないデータを窃取または 改ざんして、クレジットカード詐欺、個人情報の窃取やその他の犯罪を行う可能性があります。
機微な情報は特別な措置を講じないでいると損なわれることでしょう。
保存や送信する時に暗号 化を施すことや、ブラウザ経由でやり取りを行う際には安全対策を講じることなどが必要です。
A4: XML外部エンティティ参照(XXE)
多くの古くて構成の悪いXMLプロセッサーにおいては、XML文書内の外部エンティティ参照を指 定することができます。
外部エンティティは、ファイルURIハンドラ、内部ファイル共有、内部 ポートスキャン、リモートコード実行、DoS(サービス拒否)攻撃により、内部ファイルを漏え いさせます。
A5: アクセス制御の不備
権限があるもののみが許可されていることに関する制御が適切に実装されていないことがありま す。
攻撃者は、このタイプの脆弱性を悪用して、他のユーザのアカウントへのアクセス、機密 ファイルの表示、他のユーザのデータの変更、アクセス権の変更など、権限のない機能やデータ にアクセスします。
A6 : 不適切 なセキュリティ設定
不適切なセキュリティの設定は、最も一般的に見られる問題です。
これは通常、安全でないデ フォルト設定、不完全またはアドホックな設定、公開されたクラウドストレージ、不適切な設定 のHTTPヘッダ、機微な情報を含む冗長なエラーメッセージによりもたらされます。
すべてのオ ペレーティングシステム、フレームワーク、ライブラリ、アプリケーションを安全に設定するだ けでなく、それらに適切なタイミングでパッチを当てることやアップグレードをすることが求め られます。
A7 : クロスサイトスク リプティング (XSS)
XSSの脆弱性は、適切なバリデーションやエスケープ処理を行っていない場合や、HTMLや JavaScriptを生成できるブラウザAPIを用いているユーザ入力データで既存のWebページを更新 する場合に発生します。
XSSにより攻撃者は、被害者のブラウザでスクリプトを実行してユー ザーセッションを乗っ取ったり、Webサイトを改ざんしたり、悪意のあるサイトにユーザーをリ ダイレクトします。
A8 : 安全で ないデシリアライ ゼーション
安全でないデシリアライゼーションは、リモートからのコード実行を誘発します。
デシリアライ ゼーションの欠陥によるリモートからのコード実行に至らない場合でさえ、リプレイ攻撃やイン ジェクション攻撃、権限昇格といった攻撃にこの脆弱性を用います。
A9 : 既知の 脆弱性のあるコン ポーネントの使用
ライブラリ、フレームワークやその他ソフトウェアモジュールといったコンポーネントは、アプ リケーションと同等の権限で動いています。
脆弱性のあるコンポーネントが悪用されると、深刻 な情報損失やサーバの乗っ取りにつながります。
既知の脆弱性があるコンポーネントを利用して いるアプリケーションやAPIは、アプリケーションの防御を損ない、様々な攻撃や悪影響を受け ることになります。
A10 : 不十分なロギング とモニタリング
不十分なロギングとモニタリングは、インシデントレスポンスに組み込まれていないか、非効率 なインテグレーションになっていると、攻撃者がシステムをさらに攻撃したり、攻撃を継続でき るようにし、ほかのシステムにも攻撃範囲を拡げ、データを改竄、破棄、破壊することを可能に します。
ほとんどのデータ侵害事件の調査によると、侵害を検知するのに200日以上も要してお り、また内部機関のプロセスやモニタリングからではなく、外部機関によって検知されています。

(引用:OWASP Top10 – 2017 https://www.owasp.org/images/2/23/OWASP_Top_10-2017%28ja%29.pdf)

2.脆弱性に備える為には

日々増加しているWeb攻撃に備えて、企業はWebアプリケーションを保護する為の効率的なプロセスと技術を持つ必要があります。
この為、まず自社のWebサイトに内在している脆弱性を認知・把握した後、必要に応じてWAF等のソリューションを導入するべきです。
多くの企業がWebサイトに数多くの顧客情報を保存しているので、企業は社会的責任と貢献の為に常にセキュリティを念頭に入れる義務を持っています。
全ての脆弱性について認知し、Web攻撃を防御してくれるWAFを導入して企業と顧客の資産を守りましょう。
Cloudbricのパートナーシップ制度はこちら
パートナーに関するお問合せはこちら
Cloudbricの製品情報はこちら
製品に関するお問合せはこちら

WAFER_Report

分かりやすいWAFERガイド

前回の「安全なWebサイトを作る3つの方法」に続いて今回はWAFERの使用法を分かりやすくご説明いたします。

1.ドメイン入力
テストするWebサイトのURLを入力します。
この時、WAFERが評価のため実際にWebサイトに無害な攻撃を実行するので、本人所有または直接管理するWebサイトのURLを入力しなければいけません。
(一度WAFERにWebサイトを登録したら他の人はそのWebサイトを登録出来ません。)

WAFER_Main Page

2.利用中のWAFサービスを選択
クラウドブリックのWAFを利用していなくてもテスト出来ます!
選択肢に該当するサービスが無い場合、「その他」を選択してください(重複選択不可)
Select

3.ドメイン所有認証
先に述べたように、Webサイトに直接攻撃パターンを実行するので、ドメインの所有者である事を認証することで悪用を防止しています。
認証方法は以下の3つから選択出来ます。
Domain

1)Cloudbricログイン:弊社のサービスをご利用中の場合、DNSが既にクラウドブリックのサーバを振り向いていて認証が完了しているので、ログインさえすれば次のページへ移動します。
login

2)DNSレコード変更:ドメインの管理ページにログインしてTXTレコードを変更してください。
TXT

3)HTMLタグを追加:<HEAD>部分にクラウドブリック提供のMETAタグを追加してください。
「例を確認します。」をクリックしたら具体的にどこにMETAタグを追加するのかが確認出来ます。
HTML

4.評価進行
ドメインの所有者である事が認証されたら、ご利用中のWAFの評価が始まります。
評価中には、進行中の攻撃パターンのカテゴリーをリアルタイムで確認出来ますし、評価の所要時間が長引いてしまうと停止ボタンをクリックして停止させる事も可能です。
そして、評価結果を待ちながら下段のBlackIPediaのリンクから最近ブラックリスト処理されたIP住所リストも確認出来ます。
Evaluate

5.結果レポート確認
評価が完了したら、結果レポートが出されます。
レポートには以下の評価項目が記載されています。

₋正検知パターンの総数及び遮断数、正検知遮断率(%)
₋誤検知パターンの総数及び遮断数(誤検知数)、誤検知遮断率(%)
₋攻撃種類のうち正検知率上位10個
(該当する攻撃種類の全体数、正検知数、正検知率)
₋正検知した攻撃の影響度の統計
₋攻撃種類の結果ページへのリンク

Report

いかがでしたでしょうか。
このように少しの間を使用してWAFERで貴社のWAFのセキュリティ性能を無料測定出来ます。
このガイドを参考してもっと簡単にWAFERを使用してください。
専門家がいなくても利用中のWAFの長短所を把握出来ます。
また、疑問点などがありましたら以下のリンクにてお問合せください。

お問合せはこちら
パートナーに関する情報はこちら
Cloudbricの製品情報はこちら

WAFER_Inforgraphic

安全なWebサイトを作る為には~3分で分かるWAFER~

今回は WAFER に関する紹介を分かりやすくまとめました!

前回の説明が難しかった方は特にご注目です!

前回のポストはこちらへ(安全なWebサイトを作る3つの方法)

WAFER
※イメージをクリックすると該当ページへ移動します。

お問合せ:Cloudbric株式会社(ホームページへ
Tel: 050-1790-2188 E-Mail:japan@pentasecurity.com

製品情報はこちら
パートナーシップ情報はこちら

WAFER のお試しはこちら