JSONパーサにファジングしたら収拾がつかなくなりました - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2021/04/15 9 users JSONパーサ Scutum 収拾 スキュータム クラウド型

ファジング(Fuzzing)が便利 コンピュータにランダムに生成させたデータを入力とし、ソフトウェアの予期せぬ挙動を観測・発見する手法がファジングです。脆弱性発見の文脈で使われることが多いですが、一般的なごく普通のソフトウェア開発でも便利に使うことができます。私もこれまでに何度か、開発中の関数にファジング... 続きを読む

2020年になってもシグネチャ依存型のWAFが多いのはなぜか? - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2021/01/13 13 users WAF Scutum ファイアウォール スキュータム 本質

はじめに 以前「シグネチャ依存型のWAFは避けよう」という記事に詳しく書いたように、WAFの仕事の本質は分類です。 WAFにはファイアウォールという言葉が含まれることから、その仕事には「守る」あるいは「防ぐ」ようなイメージがありますが、実際にはWAFが仕事を行う上で最も重要になるのは、その通信が攻撃なのかどう... 続きを読む

シグネチャ依存型のWAFは避けよう - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2020/04/13 15 users WAF Scutum ウェブサーバ スキュータム 誤検知

はじめに 先日、とあるScutumを利用中のお客様からうれしいフィードバックを頂きました。 「ウェブサーバをオンプレからクラウドに移した際に、WAFを(一時的にScutumをやめて)そのクラウドにメニューとして用意されていたWAFに切り替えてみたところ、誤検知が多発して本当に苦労した。Scutumがいかに楽なのかが実感でき... 続きを読む

高度なコマンドインジェクション攻撃とその対策 - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2020/03/19 19 users Scutum スキュータム コマンドインジェクション 対策

注意事項 この記事で示す内容は日本国内の情報セキュリティ技術者が攻撃のリスクを正しく評価できるようにするための情報共有を目的に提供されます。自身の管理下にないコンピュータ等に対しコマンドインジェクションを実施する行為は場合によっては犯罪行為となりますので絶対に行わないでください。 はじめに Scutumは... 続きを読む

眠らないTime-Based SQL Injection - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2020/02/28 5 users Scutum スキュータム WAF Tech Blog

注意事項 この記事で示す内容は日本国内の情報セキュリティ技術者が攻撃のリスクを正しく評価できるようにするための情報共有を目的に提供されます。自身の管理下にないコンピュータ等に対しSQLインジェクションを実施する行為は場合によっては犯罪行為となりますので絶対に行わないでください。 はじめに SQLインジェク... 続きを読む

IIJがクラウド型のWAFサービス、DDoS対策やSOCとの連携も | 日経 xTECH（クロステック）

2019/07/09 16 users IIJ WAF xTech SoC DDoS対策

インターネットイニシアティブ（IIJ）は2019年7月9日、Web上で動くアプリケーションの保護に特化した「WAF（Web Application Firewall）」の機能をクラウドを介して提供する新サービスを始めると発表した。多様化するWebアプリケーションの脆弱性を突いた攻撃から企業のWebサイトを守る。 「IIJマネージドWAFサービス」... 続きを読む

WAFとHTTPリクエストスマグリング - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2018/11/01 10 users WAF Scutum スキュータム クラウド型

HRSとは 2018年の7月に、「XSS due to the header Transfer-Encoding: chunked」というタイトルでPHPの脆弱性報告がありました。 https://bugs.php.net/bug.php?id=76582 日本語の情報源としては徳丸さんによるこちらの記事が参考になります。 この脆弱性は下記のように、HTTPリクエストヘッダ内に一見矛盾していたり、... 続きを読む

IPレピュテーションでウェブアプリへの攻撃は防げるか - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2018/10/01 33 users ウェブアプリ Scutum ウェブアプリケーション WAF

はじめに IPレピュテーションはIPアドレスそのものの信頼性をスコアリングし共有する手法で、主にスパムメール対策において使われてきました。しかし近年では(他社さんの)WAFがウェブアプリケーションへの攻撃を防ぐためにIPレピュテーションを利用する、というケースが増えてきたように感じます。 筆者は、あくまで個人... 続きを読む

さよならCSRF(?) 2017 - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2017/11/29 91 users Scutum スキュータム WAF Tech Blog

はじめに 2017年、ついに OWASP Top 10 が更新されました。筆者が一番印象的だったのは「Top 10にCSRFが入っていない」ということです。 なぜCSRFが圏外になってしまったのかは4ページのリリースノートで軽く説明されています。「retired, but not forgotten」つまり「引退したね...でも君の事は忘れてないよ」という感じでしょうか。全米がCSRFのために泣き... 続きを読む

Tomcatに見つかった3つの脆弱性について - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2017/10/03 74 users Tomcat RCE Scutum JSP ソースコ

はじめに Apache Tomcatに立て続けに見つかったCVE-2017-12615～12617の3つの脆弱性は基本的には同じ原因によるものでした。3つのうち2つは任意のJSPファイルをPUTリクエストでアップロードできてしまい、アップロード後にアクセスすることでJavaのコードが実行できてしまう、というパターンのRCE。残りの1つはJSPがそのまま静的ファイルとしてアクセス可能なためにソースコ... 続きを読む

Struts2 S2-052を例とした脆弱性攻撃手法の調査及びそれらを考慮した防御機能の開発 - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2017/09/27 40 users Scutum スキュータム WAF Tech Blog 調査

はじめに 先日、Struts 2に新たな脆弱性S2-052(CVE-2017-9805)が発見され、修正されました。 これはリモートからの任意のコードの実行(RCE)が可能な脆弱性であり、「またか」と思われた方も多かったのではないかと思います...。 しかし実はこの脆弱性によるRCEは、過去繰り返しStruts2に報告されてきたOGNLインジェクションとは異なるメカニズムで発生するものでした。 こ... 続きを読む

Struts2が危険である理由 - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2017/03/27 483 users Scutum Struts セキュ スキュータム 筆者

はじめに 2017年3月、Struts2にまたしても新たな脆弱性(S2-045、S2-046)が見つかり、複数のウェブサイトにおいて情報漏洩等の被害が発生しました。筆者は2014年4月（およそ3年前）に「 例えば、Strutsを避ける 」という記事を書きましたが、今読み返してみると「やや調査不足の状態で書いてしまったな」と感じる点もあります。今回、良いタイミングなのでもう一度Struts2のセキュ... 続きを読む

HTTP/2のRFCを読んだ感想 - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2015/05/27 247 users RFC Scutum プロキシサーバ http スキュータム

はじめに 私は自ら「串職人」と名乗るほどウェブの(つまりHTTPの）Proxyサーバが好きで、もう10年以上もプロキシサーバを作り続けています。このブログの主題であるクラウド型WAF、Scutumもそのひとつです。そもそもプロトコルとしてのHTTPが好きです。ウェブの裏側に、とてもシンプルな、テキストベースのHTTPプロトコルが活躍しているということが私の串職人としての出発点です。 HTTP/2が... 続きを読む

JavaのString生成方法がボトルネックになっていた話 - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

2015/05/07 376 users Scutum コンストラクタ ボトルネック スキュータム 負荷

はじめに 先日、私たちが開発しているクラウド型WAFサービス、Scutum(スキュータム)において、予想していなかった箇所の修正によってサーバの負荷が大幅に減るということがありました。原因はこのエントリのタイトルにもあるように、Stringクラスのインスタンスを生成する際の方法にありました。 Stringクラスのコンストラクタとcharset Stringクラスにはいくつかのコンストラクタが用意さ... 続きを読む

ベイジアンネットワークを使ったウェブ侵入検知 - WAF Tech Blog ｜ SaaS型 WAFサービス　Scutum　【スキュータム】

2014/02/10 73 users Scutum ベイジアンネットワーク スキュータム 検知 観点

はじめに 私たちが提供しているSaaS型のWAFサービス、Scutum（スキュータム）では、より高精度な攻撃検知を実現するために、ベイジアンネットワークの技術を利用しています。今回は「ウェブセキュリティ」「不正検知」「異常検知」「攻撃検知」といった観点から、ベイジアンネットワークについて解説します。 ベイジアンネットワークとは？ ウィキペディアによると、ベイジアンネットワークは次のようなものです。... 続きを読む