狠狠撸

WAF
すごいぞ?
2023/03/08 はるきち
第31回セキュリティ共有勉強会
（テーマ: 间违った常识）

Copyright ?? m.kouda 2023
幸田将司(はるきち):
セキュリティエンジニア:
- フリーランス
- SecuriST(R) 認定診断士試験委員
- 株式会社Levii
- 合同会社blk.SMITH.LLC
twitter:
- @halkichisec
Who am I?

1. WAFってなぁに
2. 世间のギャップ
3. 奥础贵すごいぞ
Contents

WAFってなぁに

WAF(Web Application Firewall)
?Webアプリケーションを堅牢化する要素の1つ
?できること
? シグネチャにマッチした攻撃を防ぐ
? DoSの緩和
? オリジンサーバの隠蔽(クラウド型)
?できないこと
? ロジック、仕様にかかる脆弱性
例1. 適当なマイナンバーでワク
チン摂取の予約ができる
例2. 登録済みのユーザを親切に
教えてくれる (wordpress)

WAFのタイプ3つ
?ホスト(ソフトウェア)型
?サーバ毎にインストール
? mod_security
? SiteGuard
?クラウド型
?インストール不要、細かい設定不要
? Akamai、遮断くん
?ネットワーク(ゲートウェイ)型
?ネットワークの経路上に設置
? Fortiweb
WAF
WAF
WAF

WAFのタイプ3つ
? mod_security
? SiteGuard
?クラウド型
?ネットワークの経路上に設置、SSLの複合を担う
? Fortiweb
今回はこれを推したい

世間とのギャップ
?サイト運営者(非IT企業)
? セキュリティはやらなければいけない
? でもコストがかかる…
? 対策の妥当性も確認できない。
? ググったらWAFというのがいいらしい。
?そうだ、WAFいれよう
WAFを紹介する
個人ブログ
セキュリティ対策は
これでヨシっと...
インストールするだけで
リスク対応可能
最新の攻撃パターンを
即座に検知します。

セキュリティ業界とのギャップ
?セキュリティエンジニア
? WAFは確かに便利???
? でも万能ではない(WAF迂回攻撃へ未対応)
?確かにWebサーバへの無作為なスキャンは防ぐ
? ?こういうやつ
? ?こういうのは防げない
"GET /index.php?name=OR 1=1 HTTP/1.1" 200
"GET /index.php?name=' '''''''UNION SELECT '2 HTTP/1.1" 200
※URLデコード済み
"GET /index.php?name=/*!||*/1=1 HTTP/1.1" 200
"GET /index.php?name=' +un/**/ion+se/**/lect '2 HTTP/1.1" 200
※URLデコード済み

セキュリティ業界とのギャップ
?セキュリティエンジニア(僕)的には...
?多層防御の観点ではもちろん重要
?ただ、導入コストに対するリターンが見込めないかな...
? メンテナンスも必要
? パケット解析のオーバヘッドがある
?と考えていた時期がありました。

奥础贵すごいぞ

WAFのタイプ
? mod_security
? SiteGuard
?クラウド型
?ネットワークの経路上に設置、SSLの複合を担う
? Fortiweb
今回はこれを推したい

クラウド型のイメージ
?攻撃者とサーバの間に介在できる
?サーバへの直接攻撃を防ぐメリットもある
WAF
攻撃者のペイロードが
全てWAFを通過する
HTTPより下位層の
脆弱性を利用されない
www.example.com
WebサーバはWAFのIPから
80ポート(HTTP)のみ
inbound通信を許可

クラウド型のイメージ
?攻撃者とサーバの間に介在できる
?サーバへの直接攻撃を防ぐメリットもある
WAF
WAFの振り分けは
HTTPのHostヘッダを参照する
[www.example.com]
本来ならいろいろ見えていた
けど、まぁ大丈夫(よくない)
DNSリバインディングも
ついでに防ぐ
www.example.com

クラウド型WAFのメリット
?ホスト型に比べると...
?オリジンサーバの隠蔽
?メンテナンスコストが安価
? シグネチャのアップデートが自動
? 各ホストにインストールしなくてOK
? ついでにTLSのアップデートも不要
?ネットワーク(アプライアンス)型に比べると...
?メンテナンスコストが安価
? シグネチャのアップデートが自動
?導入費用も安い

ちゃんと設定しないとちゃんとしくじる
?CDNやWAFを迂回される
?ポケ徹のクラウド型DDoS保護の迂回事例
CDN
img.xxxxx.com
AWS
SAKURA Internet
xxxxx.com

クラウド型...なコンテンツ
?某大手美容外科クリニックの例
?オリジンサーバのIPを調べる方法もあるので完全隠蔽
でないことに注意
$dig www.s-b-c.net
;; ANSWER SECTION:
www.s-b-c.net. 84 IN CNAME www.s-b-c.net.edgekey.net.
www.s-b-c.net.edgekey.net. 84 IN CNAME e28430.a.akamaiedge.net.
e28430.a.akamaiedge.net. 15 IN A 210.132.245.200
e28430.a.akamaiedge.net. 15 IN A 210.132.245.232
オリジンサーバのIPが
応答しない

まとめ
?クラウド型WAFはえらい

狠狠撸

奥础贵すごい

Recommended

More Related Content

Similar to 奥础贵すごい (16)

Recently uploaded (8)

奥础贵すごい