ソリュー ション
サービスを極める

Webセキュリティ

クラウドWebアプリケーション

Webサイトセキュリティ対策ソリューション
「TrustShelter」
NTTソフトウェアが2014年11月 ４ 日から提供開始した，Webサイトをサイバー攻撃の脅威から守るソリューション「TrustShelter」は，Webセキュリティ対策に必要な機能をまとめてクラウド型で提供することで，Webセキュリティ対策を低価格かつ短期で導入できます．また，当社のセキュリティに対するノウハウやスキルを活用したWebサイトに関するチェック，チェック結果や問題点の対策，運用サポートによりセキュリティの不安をお任せで解消することができます．
ひ ろ のやすひこ

広野 靖彦

たかはしゆうすけ/高橋 祐介NTTソフトウェア

つだけいすけ/津田 恵輔

題点に対する対策，担当者の負担を減立上げの背景

特長と優位点らす運用サポートによりセキュリティの不安をお任せで解消できる点がもう最近，ホームページの改ざんやウイ

本ソリューションは，企業としてサ１ つの特長になります．特に，企業がルスの埋込みなど，Webサイトに対すイバー攻撃への早急な対応が求められ負担や不安に感じることの多い運用面

る 攻 撃 が 増 加 し て お り，JPCERT/る中で，お客さまのセキュリティ対策に対して，セキュリティ専門家によるCCの報告書によると，2014年上半期の要望に応じて必要なサービスを選択サポートサービスを提供することによでも2000件を超すWebサイト改ざん被いただけるようラインアップを取りそり，担当者が抱える運用の負担やリス害の届出がなされています ．攻撃をろえています．また，これをまとめてクを軽減し，セキュリティへの不安を受けた結果，改ざんだけでなく，顧客クラウド型サービスとして提供するこ解消します．

情報漏洩，他社サイト攻撃への利用，とにより，お客さまが必要なサービス閲覧者へのウイルス感染など，より深を短期間で利用開始できるとともに，刻な被害を引き起こすケースもあり，担当者の負担や維持管理コストを抑えその結果，企業の信用失墜につながるたセキュリティ対策を打てる点が特長

おそれがあります．の １ つです．

（1）

TrustShelterで提供するサービス
本ソリューションではWebサイトのセキュリティ対策サービスとして「攻Webサイトを攻撃から守るために当社のセキュリティに対するノウハ撃遮断サービス」「改ざん検知サービ

は，監視 ・ 防御 ・ 診断 ・ 運用などさまウやスキルを活用した，Webサイトにス」「セキュリティ診断サービス」をざまな視点からの対策が必要であり，かかわるチェック，チェック結果や問提供します（図 １ ）．

複数視点 ・ 複数製品を検討するなどのIT担当者の負担が増加します．さらに，最近のサイバー攻撃は技術的に複雑化 ・ 巧妙化が進み，次々と新しい攻撃が出てきており，常にIT担当者がセキュリティスキルの向上に努める必攻撃遮断サービス

セキュリティ診断サービス

攻撃を防御する

reactive

攻撃を予防する

Webサイトproactive

要があるため大きな負担となります．
このような背景をふまえ，NTTソフト

改ざん検知サービス

ウェアは，Webサイトのセキュリティ対策detective

ソリューションとして「TrustShelter」（２）を立ち上げました ．

40

NTT技術ジャーナル 2014.12

改ざんを検知する図1

TrustShelterの提供するサービス

す．しかし，不正アクセスは日々複雑ウォールの機能に加えて，CDN（Con­本サービスではWAF（Web Appli­化しており，不正パケットのパターンtents Delivery Network）機能により，cation Firewall）の導入によるセキュも変化するため，それに応じてシグネ

コンテンツキャッシュを用いてWebサ

リティ対策をクラウド型サービス，ア

チャも新しいものに更新していく必要

イトへのトラフィック量を削減，クラプライアンス製品のラインアップで提があります．

イアントへのレスポンスを効率化しま供します．WAFはその名のとおり，本サービスでは専門家たちが日々発す（図 ３ ）．その結果，お客さまのネッ

Webアプリケーションをセキュリティ生する攻撃や脆弱性を把握するためにトワークやWebアプリケーションへの脅威から保護するファイアウォールの最新のセキュリティ脅威について世界負荷を低減することが可能になりま機能を実現し，脆弱性を突いた悪意の規模で監視を行い，早期検出のためにす．ほかにも，LB（ロードバランサ）あるアクセスを遮断して，正規アクセ調査，情報収集を行います．さらに，機能によりアプライアンス型のネットスのみを通過させます（図 ２ ）．ファ

最新の脅威について解析を行い，攻撃ワーク機器をお客さまの環境に導入す

イ ア ウ ォ ー ル の 機 能 に よ り，SQL対策として新しいシグネチャを生成しることなく負荷分散を実現する機能を（Structured Query Language）インジェていき，Webサイトの安全を守ります．

持つなど，本サービスは攻撃遮断だけ

クションやXSS（Cross Site Scripting）

クラウド型サービスではファイアでなく，企業の資源の効率化，コストのようなWebアプリケーションへの不正アクセスや情報漏洩を目的とした攻撃から保護することができます．また，
DDoS ＊ 1 （Distributed Denial ofService：分散サービス妨害）対策も備えており，DDoSのようなWebサイトのサービス停止を目的とするような攻撃からも保護することが可能です．

正規アクセスクライアント
悪意のあるアクセス

このように，本サービスはWebサイトをねらったさまざまな攻撃を遮断することができます．

正規アクセス

WAF

阻止！

Webサイト

攻撃者（1） サイバー攻撃からの保護 ・ 解析
WAFの基本機能はWebクライアン

図2

攻撃遮断サービスト（ブラウザ）とWebアプリケーション間のアクセス（HTTP通信）の内容を検査し，攻撃アクセスを発見して処置（スルー，アラート，ブロック，同一セッションからのアクセスをブロッ

リクエスト
リクエストク，同一IPからのアクセスをブロックなど）を実行することです．通常，

クライアントWAFを利用する際には，攻撃アクセ

リクエスト

スを判断するために，不正パケットのパターンを指定したシグネチャ＊2をWAFに設定する運用が必要になりま＊1＊2

DDoS：複数のクライアントから通信許容量を超えた大量の接続要求によりWebサイトの機能を停止させる攻撃．
シグネチャ：WAFに設定する通信内容を示す値や規則のパターンを定義したルール．

レスポンス

WAF
クライアントキャッシュからのレスポンス

図3

オリジナル
サーバからのレスポンス

Webサイトコンテンツキャッシュ

攻撃遮断サービス（CDN機能）

NTT技術ジャーナル 2014.12

41

ソ リューションサービスを極める■攻撃遮断サービス

して定義することも可能です．また，でなく社会的な信用を失うことにつな

攻撃遮断サービスは，①サイバー攻クライアント種別ごとのアクセス状況がるため，早期発見と早期対応が必要

撃による情報漏洩や営業機会損失，企（アクセス数，トラフィック量など）となります．改ざん検知サービスでは，業イメージ失墜の予防，②攻撃をすでや攻撃検知数といった統計情報，レ定期的にWebコンテンツを監視し，改に受けている企業への対策，③企業資ポートを提供します．攻撃検知ログやざんを早期に検知して管理者に報告し源の効率化やコスト削減など，さまざWebサイトの監視状況，レポートなどます．必要に応じて自動的に復旧する

まな企業の目的に対して価値を提供しのサマリをメールでお届けすることもサービスも提供し，Webコンテンツのます．

可能です．

改ざん対策を実現します（図 ４ ）．

（2） クラウド型DDoS対策（4） 専門家によるシグネチャ更新（1） リモート監視による安全性のネットワークファイアウォールや本サービスでは専門家が監視を行

ルータ等のネットワーク機器に対するい，スキルと手間が必要なシグネチャ

本サービスでは，安全性を考慮し，詳細な設定，専用機器の購入など，対対応作業などのWAF運用サービスを監視対象となるWebサーバには監視策の難易度が高いとされているDDoS提供するため，企業に専門のセキュリエージェントなどのアプリケーション対策をサービス型で提供します．クラティ担当やITスタッフがいなくてもは一切搭載させずにリモートにて監視ウド型サービスのためDDoS攻撃を受シグネチャの管理や攻撃傾向対策を打を行います．Webサーバに監視エーけてもお客さまのネットワークへの負つことができます．

ジェントなどのアプリケーション類を荷はかからず，複雑な設定も必要なし■改ざん検知サービス

搭載させるような構成の場合に，サー削減も実現します．にWebサイトを保護します．

確保

本サービスではWebコンテンツのリバ自体が乗っ取られてしまい監視機能

モート監視の導入によるセキュリティが有効に動作できないという事例も確対策を提供します．Webサイトのセ認されています．リモート監視により，本サービスは攻撃を検知した件数，キュリティ対策として，より安価で手監視不能に陥るリスクやWebコンテン攻撃のアクセス元情報などを解析した

軽に始められるサービスメニューでツの改ざんが検知されないという不安ログを提供します．ログ情報からホワす．企業はWebコンテンツの改ざんのを解消できます．

イトリストやブラックリストを設定と発見が遅れると，営業機会の損失だけ（3） 解析されたログとレポーティ
ング

お客さま環境データセンタWeb改ざんセキュリティ
監視サーバ

監視

Webサーバ

検知自動復旧

自動通知
作業

Webコンテンツの改ざん

お客さま居室通知案内
作業指示
運用オペレータ

管理者

図4

42

NTT技術ジャーナル 2014.12

改ざん検知サービス

を活用し，Webサイトに関するチェッモートで実施することでセキュリティ

ク，チェック結果や問題点に対する対WebサーバのOSやWebアプリケー診断を行い，問題点と対策案を報告し策の提案，担当者の負担を減らす運用

ションには依存しないため汎用性が高ます．診断内容はWebアプリケーショサポートを提供していきます．そのた

く，Webサーバでのインストール作業

ンに特化したもので，SQLインジェめにWebセキュリティ対策に有効と考といったわずらわしい初期構築作業もク シ ョ ン やXSSな ど のWebア プ リ

えられるサービスや企業が求めるセ必要ないため，利便性が高く導入しやケーションが取り込む入力値の検査

キュリティ対策サービスを積極的に追すいサービスとなっています．

や，セッション管理に問題（セッショ加していきます．そして，
高度なセキュ

（3） 要 望 に 合 わ せ た サ ー ビ ス メ

ンハイジャック等の危険性）がないか

リティ専門家による保守や運用サポー

ニューと24時間365日の運用保守のセッション管理検査，強制ブラウジ

トサービスを強化し，トータルセキュサポート

ング検査，アクセス権回避検査，パラリティ対策ソリューションとしての価メータ改ざん検査，Webサイト構成の値を創出していきます．

構築も不要

サービスメニューは ３ 段階のプランを用意しており，お客さまの要望に応分析検査などを実施します．

じて選択できます．オプションとして（2） ネットワークセキュリティ診断

チェックインターバル（監視間隔）のネットワークセキュリティ診断は，変更も対応することができ，要望に合お客さまが公開しているWebサーバをわせたサービスを提供します．

含めたサーバやネットワーク機器に対また，運用保守サポートとしてオペして，インターネット回線またはオンレータが24時間365日対応するため，サイトでTCP（Trans­mission Control

Webサーバの再起動やシャットダウン

Protocol）のフルポートスキャンを実などの作業を電話やメール １ 本で，曜施して，ネットワークサービスの稼働日や時間を選ばずに依頼することがで状況を検査し，OSの脆弱性検査，設きます．ITスキルに自信がない場合定不備，アカウント調査などを行い，でも安心してサービスを受けることが問題点と対策案を報告します．

できます．

（3） ソースコード診断■セキュリティ診断サービス

ソースコード診断は，お客さまが公

本サービスではお客さま環境を診断開しているWebアプリケーションを対象するセキュリティ対策を提供します．に，お客さまよりソースコードのご提お客さまのWebサーバを含む外部公開供を受け，CWE（Common Weakness

サーバの脆弱性を診断し，対策案を提Enumeration：共通脆弱性タイプ）＊ 3案するサービスです．診断メニューはに基づき静的な脆弱性診断を実施しま「Webセキュリティ診断」「ネットワークす．ソースコード診断では，検査するセキュリティ診断」「ソースコード診

脆弱性対象は，お客さまの求めるセ断」の ３ 種類があり，企業のセキュリキュリティ要件により柔軟にカスタマ

ティ対策の要望，状況に応じて最適なイズを行います．また，Webアプリケー組み合わせ，内容で診断を実施します．

ション開発の納品物に対するチェック（1） Webセキュリティ診断などにも利用することができます．

Webセキュリティ診断は，お客さまが公開しているWebアプリケーション

今後の展望

＊3

本ソリューションでは，当社のセCWE：MITRE Corporationが定義したソフトウェアにおけるセキュリティ上の弱点（脆弱性）の種類を識別するための分類基準．

■参考文献（1） https://www.jpcert.or.jp/ir/report.html（2） http://www.ntts.co.jp/products/trustshelter/

キュリティに対するノウハウやスキル（左から）高橋 祐介/ 津田 恵輔/
広野 靖彦
NTTソ フ ト ウ ェ ア が 提 供 す る ソ リ ュ ーションの１つとして，サービスメニュー，実績の拡大を目指して，より良いWebセキュリティ対策ソリューションを提供していきます．

◆問い合わせ先								NTTソフトウェア
セキュリティ事業部
TEL 045-212-7412
FAX 045-212-9800
E-mail websecsol cs.ntts.co.jp

NTT技術ジャーナル 2014.1243

ソ リューションサービスを極めるを対象に，インターネット回線からリ（2） 既存環境への依存が低く，初期