JSONパーサにファジングしたら収拾がつかなくなりました - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2021/04/15 9 users JSONパーサ Scutum 収拾 WAFサービス クラウド型

ファジング(Fuzzing)が便利 コンピュータにランダムに生成させたデータを入力とし、ソフトウェアの予期せぬ挙動を観測・発見する手法がファジングです。脆弱性発見の文脈で使われることが多いですが、一般的なごく普通のソフトウェア開発でも便利に使うことができます。私もこれまでに何度か、開発中の関数にファジング... 続きを読む

2020年になってもシグネチャ依存型のWAFが多いのはなぜか? - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2021/01/13 13 users WAF Scutum ファイアウォール WAFサービス 本質

はじめに 以前「シグネチャ依存型のWAFは避けよう」という記事に詳しく書いたように、WAFの仕事の本質は分類です。 WAFにはファイアウォールという言葉が含まれることから、その仕事には「守る」あるいは「防ぐ」ようなイメージがありますが、実際にはWAFが仕事を行う上で最も重要になるのは、その通信が攻撃なのかどう... 続きを読む

シグネチャ依存型のWAFは避けよう - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2020/04/13 15 users WAF Scutum ウェブサーバ 誤検知 WAFサービス

はじめに 先日、とあるScutumを利用中のお客様からうれしいフィードバックを頂きました。 「ウェブサーバをオンプレからクラウドに移した際に、WAFを(一時的にScutumをやめて)そのクラウドにメニューとして用意されていたWAFに切り替えてみたところ、誤検知が多発して本当に苦労した。Scutumがいかに楽なのかが実感でき... 続きを読む

高度なコマンドインジェクション攻撃とその対策 - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2020/03/19 19 users Scutum コマンドインジェクション WAFサービス 対策

注意事項 この記事で示す内容は日本国内の情報セキュリティ技術者が攻撃のリスクを正しく評価できるようにするための情報共有を目的に提供されます。自身の管理下にないコンピュータ等に対しコマンドインジェクションを実施する行為は場合によっては犯罪行為となりますので絶対に行わないでください。 はじめに Scutumは... 続きを読む

眠らないTime-Based SQL Injection - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2020/02/28 5 users Scutum WAFサービス WAF Tech Blog

注意事項 この記事で示す内容は日本国内の情報セキュリティ技術者が攻撃のリスクを正しく評価できるようにするための情報共有を目的に提供されます。自身の管理下にないコンピュータ等に対しSQLインジェクションを実施する行為は場合によっては犯罪行為となりますので絶対に行わないでください。 はじめに SQLインジェク... 続きを読む

WAFとHTTPリクエストスマグリング - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2018/11/01 10 users WAF Scutum WAFサービス クラウド型

HRSとは 2018年の7月に、「XSS due to the header Transfer-Encoding: chunked」というタイトルでPHPの脆弱性報告がありました。 https://bugs.php.net/bug.php?id=76582 日本語の情報源としては徳丸さんによるこちらの記事が参考になります。 この脆弱性は下記のように、HTTPリクエストヘッダ内に一見矛盾していたり、... 続きを読む

IPレピュテーションでウェブアプリへの攻撃は防げるか - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2018/10/01 33 users ウェブアプリ Scutum ウェブアプリケーション WAF

はじめに IPレピュテーションはIPアドレスそのものの信頼性をスコアリングし共有する手法で、主にスパムメール対策において使われてきました。しかし近年では(他社さんの)WAFがウェブアプリケーションへの攻撃を防ぐためにIPレピュテーションを利用する、というケースが増えてきたように感じます。 筆者は、あくまで個人... 続きを読む

さよならCSRF(?) 2017 - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2017/11/29 91 users Scutum WAFサービス WAF Tech Blog

はじめに 2017年、ついに OWASP Top 10 が更新されました。筆者が一番印象的だったのは「Top 10にCSRFが入っていない」ということです。 なぜCSRFが圏外になってしまったのかは4ページのリリースノートで軽く説明されています。「retired, but not forgotten」つまり「引退したね...でも君の事は忘れてないよ」という感じでしょうか。全米がCSRFのために泣き... 続きを読む

Tomcatに見つかった3つの脆弱性について - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2017/10/03 74 users Tomcat RCE Scutum JSP ソースコ

はじめに Apache Tomcatに立て続けに見つかったCVE-2017-12615～12617の3つの脆弱性は基本的には同じ原因によるものでした。3つのうち2つは任意のJSPファイルをPUTリクエストでアップロードできてしまい、アップロード後にアクセスすることでJavaのコードが実行できてしまう、というパターンのRCE。残りの1つはJSPがそのまま静的ファイルとしてアクセス可能なためにソースコ... 続きを読む

Struts2 S2-052を例とした脆弱性攻撃手法の調査及びそれらを考慮した防御機能の開発 - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2017/09/27 40 users Scutum WAFサービス WAF Tech Blog

はじめに 先日、Struts 2に新たな脆弱性S2-052(CVE-2017-9805)が発見され、修正されました。 これはリモートからの任意のコードの実行(RCE)が可能な脆弱性であり、「またか」と思われた方も多かったのではないかと思います...。 しかし実はこの脆弱性によるRCEは、過去繰り返しStruts2に報告されてきたOGNLインジェクションとは異なるメカニズムで発生するものでした。 こ... 続きを読む

Struts2が危険である理由 - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2017/03/27 483 users Scutum Struts セキュ WAFサービス 筆者

はじめに 2017年3月、Struts2にまたしても新たな脆弱性(S2-045、S2-046)が見つかり、複数のウェブサイトにおいて情報漏洩等の被害が発生しました。筆者は2014年4月（およそ3年前）に「 例えば、Strutsを避ける 」という記事を書きましたが、今読み返してみると「やや調査不足の状態で書いてしまったな」と感じる点もあります。今回、良いタイミングなのでもう一度Struts2のセキュ... 続きを読む

HTTP/2のRFCを読んだ感想 - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2015/05/27 247 users RFC Scutum プロキシサーバ http WAFサービス

はじめに 私は自ら「串職人」と名乗るほどウェブの(つまりHTTPの）Proxyサーバが好きで、もう10年以上もプロキシサーバを作り続けています。このブログの主題であるクラウド型WAF、Scutumもそのひとつです。そもそもプロトコルとしてのHTTPが好きです。ウェブの裏側に、とてもシンプルな、テキストベースのHTTPプロトコルが活躍しているということが私の串職人としての出発点です。 HTTP/2が... 続きを読む

JavaのString生成方法がボトルネックになっていた話 - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2015/05/07 376 users Scutum コンストラクタ ボトルネック Java エントリ

はじめに 先日、私たちが開発しているクラウド型WAFサービス、Scutum(スキュータム)において、予想していなかった箇所の修正によってサーバの負荷が大幅に減るということがありました。原因はこのエントリのタイトルにもあるように、Stringクラスのインスタンスを生成する際の方法にありました。 Stringクラスのコンストラクタとcharset Stringクラスにはいくつかのコンストラクタが用意さ... 続きを読む

POODLE攻撃の検知とJavaによる検証コード - WAF Tech Blog ｜ SaaS型 WAFサービス　Scutum　【スキュータム】

2014/12/18 42 users Scutum 検知 Java SaaS型 WAFサービス

はじめに SSLv3のパディングに注目した攻撃手法であるPOODLEは、以前こちらのブログのエントリで取り上げたことがあるBEASTとCRIMEに非常によく似た攻撃です。今回はこのPOODLEについて、一般的な視点とはやや異なる、筆者独自の意見を述べてみたいと思います。 必ずしもSSLv3を無効にする必要はない POODLEの対策として書かれている情報はそのほぼ全てが「SSLv3を無効にする」とい... 続きを読む

例えば、Strutsを避ける - WAF Tech Blog ｜ SaaS型 WAFサービス　Scutum　【スキュータム】

2014/04/23 327 users Struts Coc Scutum 食わず嫌い 筆者

はじめに 筆者は10年以上ウェブアプリケーション開発を主な業務とするJavaプログラマであったにも関わらず、Strutsについてはこれまでずっと食わず嫌いでした。初期のStrutsは「XMLだらけで効率が悪そう」というイメージが強かったためです。最近はRuby on Rails等の影響を受けCoC(convention over configuration)を採り入れ、XML地獄もだいぶ解消したよ... 続きを読む

ベイジアンネットワークを使ったウェブ侵入検知 - WAF Tech Blog ｜ SaaS型 WAFサービス　Scutum　【スキュータム】

2014/02/10 73 users Scutum ベイジアンネットワーク 検知 ウィキペディア

はじめに 私たちが提供しているSaaS型のWAFサービス、Scutum（スキュータム）では、より高精度な攻撃検知を実現するために、ベイジアンネットワークの技術を利用しています。今回は「ウェブセキュリティ」「不正検知」「異常検知」「攻撃検知」といった観点から、ベイジアンネットワークについて解説します。 ベイジアンネットワークとは？ ウィキペディアによると、ベイジアンネットワークは次のようなものです。... 続きを読む

二要素認証追加機能を提供開始 - Scutum技術関連情報 ｜ SaaS型 WAFサービス Scutum 【スキュータム】

2013/07/09 11 users Scutum WAF 主流 SaaS型 WAFサービス 多く

WAF 『Scutum』は、パスワードリスト攻撃などの成りすまし被害防止のため、利用中のWebサイトに簡単に「二要素認証」を追加する機能をベータ版サービスとして提供いたします。 「二要素認証」について 現在、多くのWebサイトでは、ユーザーIDとパスワードのみでログイン認証を行う方法が主流となっていますが、頻発するパスワードリスト攻撃等の成りすまし被害を防止するため、より強固なユーザー認証手段が求... 続きを読む

PHP環境で発生するMongoDB Request Injection攻撃 - WAF Tech Blog ｜ SaaS型 WAFサービス　Scutum　【スキュータム】

2011/08/03 37 users MongoDB Scutum github.com PHP

はじめに SaaS型WAF「Scutum（スキュータム）」では、最近バックエンドのDBにMongoDBの導入を進めています。私も個人的にPHPのフレームワークであるCakePHP向けにMongoDBを扱うプラグインCakePHP-MongoDB Datasourceを開発し、公開しています。 https://github.com/ichikaway/cakephp-mongodb/ 今回は、PHP... 続きを読む

MongoDBとメモリ使用量 - WAF Tech Blog ｜ SaaS型 WAFサービス　Scutum　【スキュータム】

2011/07/05 91 users MongoDB Scutum リプレース memcached

はじめに Scutum（スキュータム）ではサービス開始時より、データストアとしてmemcachedとpgpool II+PostgreSQLを利用しています。これらはどれも安定して動いており満足しているのですが、最近になってより柔軟にデータを取っていきたいというニーズが高くなってきたため、MongoDBの導入を行いました。まだ完全なリプレースまでは至っていませんが、元々のデータベースのスキーマ構造... 続きを読む