狠狠撸

WAF による「やられ Web アプリケーション」の保護デモンストレーション～ WAF 製品の WebGoat 保護のデモ～井上達一　 ( 株 ) インテカーセキュアソリューションズ NSFOCUS 担当

アジェンダやられ Web アプリケーションとは何か？ OWASP top 10 (2010 年度版 ) デモ環境 WebGoat の導入 WebGoat へのログイン SQL インジェクション攻撃の具体例 WSF 製品特徴構成方法その他

やれれ Web アプリケーションとは何か？ “ あえて”脆弱性を保有している Web アプリテストや評価のベースラインとして使用されている Webgoat OWASP Hacme シリーズ Foundstone( 現 McAfee) Moth bonsai ? 今回は NSSLabs の Web Application Firewall Testing Procedure (V1.0) でも用いられている Webgoat にてデモ参考 URL: http://nsslabs.com/certification/waf/nss-waf-v10-testproc.pdf

OWASP Top 10 ( 旧版と 2010 年度版比較 ) http://www.owasp.org/index.php/Top_10

デモ環境透過 (Transparent) 構成 vmnet2: 10.10.20.198 Switch LAN: 10.10.20.199 MGR: 192.168.0.1 WAN: Switch 10.10.20.170 vmnet2: 10.10.20.198 LocalArea2: 192.168.1.199

Webgoat の入手 OWASP のサイトから webgoat 本体をダウンロード http://www.owasp.org/index.php/Category:OWASP_WebGoat_Project Google code の WebGoat-OWASP_Standard-5.3_RC1.7z をダウンロード

Webgoat のインストール、起動 # sudo su 7zip,Java JDK 1.6 のインストール # apt-get install p7zip # apt-get openjdk-6-jdk Webgoat の展開、起動 # cd /users/root-works/works # 7z x ../pub/WebGoat-OWASP_Standard-5.3_RC1.7z # cd WebGoat-5.3_RC1 # vi tomcat/conf/server_80.xml # sh webgoat.sh start80

Webgoat ログイン ① guest/guest にて Basic 認証 ② Start WebGoat ボタンをクリック ③ レッスン TUTORIAL の表示

SQL インジェクション成功例 (WAF オフ ) ① Injection Flaws をクリック ② String SQL Injection をクリック ③‘ or ’1‘=’1 を入力 ④ SQL インジェクション成功

SQL インジェクション成功例 (WAF オン ) ① Restart this lesson をクリック ③‘ or ’1‘=’1 を入力 ④ SQL インジェクション失敗 ② SQL injection ルールを Activate

WAF セキュリティポリシー設定 ① Web Security?Policy Configuration?WebSecurity ③ 保護対象の指定 (Domain/WebSite/Site Group) ④ ルール定義 ② Action: Forward/Block/Accept の選択

NSFOCUS WAF 主要機能 All contents are Copyright ? 2010 NSFOCUS Information Technology Co.,Ltd 多様な Web セキュリティ機能 HTTPS/SSL インスペクションセキュリティ機能 Web アプリケーションスキャンプラットフォームセキュリティ Web アプリケーションセキュリティ Web コンテンツフィルターリング Web ページ改ざん防止ネットワークレイヤ防御 DDoS 攻撃防御セキュリティ機能管理ツールセキュリティポリシー設定セキュリティルール管理豊富なログとレポート機能レポート管理?作成検索や集計の各条件に応じたログをレポートとして出力することが可能。レポートは定期的に作成することが可能。ログ管理ブラウザから分かり易い操作でログを検索することが可能。便利なシステム管理機能システム管理ツールシステム稼働情報多国語対応（中国語?英語）シグネチャーアップデードシステムメンテナンスツール自己診断機能

NSFOCUS WAF の主な特長連携した 3 段階のセキュリティ防御機能 HTTP/HTTPS 双方向でのトラフィッククリーニング Web ページ改ざん防止（※国際特許出願中）アプリケーション層の DDoS 攻撃防御 SSL のカプセル化、 SSL オフロードの機能搭載冗長化構成 All contents are Copyright ? 2010 NSFOCUS Information Technology Co.,Ltd

【特長】連携した 3 段階のセキュリティ防御機能 All contents are Copyright ? 2010 NSFOCUS Information Technology Co.,Ltd OWASP 脅威への対応「 SQL インジェクション」「 XSS 」「 CSRF 」などプラットフォームセキュリティへの対応「バッファーオーバーフロー」「ワーム」など TCP/HTTP Flood 防御ネットワークセキュリティへの対応「 ARP スプーフィング」「 L4 ACL 」など Web コンテンツフィルターリング「悪意のあるコード」「キーワード」の濾過既存や新規の Web サービスのアプリケーションに「 SQL インジェクション」「 XSS 」などの脆弱性を存在するかをスキャンスキャンした結果に従って、より一層有効的なセキュリティポリシーやルールを設定することが可能

【特長】 HTTP/HTTPS 双方向でのトラフィッククリーニング All contents are Copyright ? 2010 NSFOCUS Information Technology Co.,Ltd オンライン防御エンジンコンテンツフィルターリングモジュール Web サーバファーム Web サービス利用者クリーニングされたトラフィック混雑するトラフィック

【特長】 Web ページ改ざん防止独自開発した技術で Web ページ改ざんを検知可能万が一 Web ページが改ざんされても、ページロールバック機能を搭載することによって、改ざんされる前の Web ページを自動的にロールバックして Web 閲覧者が正常的な Web ページを閲覧可能することを保証 Web 改ざん検知技術は、国際特許出願中（ PCT/CN2009/000780 ） Web キャッシュ技術は、中国において特許出願中（ 200910083751.3 ） All contents are Copyright ? 2010 NSFOCUS Information Technology Co.,Ltd

構成方法 ① 透過 ( トランスペアレント ) 方式　?　本日のデモ構成 ② VLAN Trunk(802.1q) 方式 ③ ルーティング方式

その他シグネチャ 150 　内部シグネチャ 105 追加（選択可能）シグネチャ月に 1 回の定期更新、緊急シグネチャ誤検知 (False-Positive) は 10% 以下攻撃パターンにより、ばらつき有り

狠狠撸

Iss seminar 2010709#1-upload

Recommended

More Related Content

What's hot (20)

Viewers also liked (12)

Similar to Iss seminar 2010709#1-upload (20)

Recently uploaded (13)

Iss seminar 2010709#1-upload

Editor's Notes