Ｓｃｕｔｕｍとは第26回スクエアFreeセミナー：テーマ１
SaaS型Webアプリケーション
ファイヤーウォール（WAF）Scutum～Webサイトへの攻撃は通常のファイヤーウォールでは防げません～

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

はじめにWebアプリケーションの脆弱性基礎講座。
これがあると超やばいっ！
SQLインジェクション

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

SQLインジェクションとは• 不正な入力により任意のSQL文を実行させる– Webコンテンツやユーザー入力値を格納するデータベースに対する攻撃– 想定される影響• 顧客情報の改ざん・流出• コンテンツの改ざん• 認証の回避• 認証情報の書き換え• テーブル破壊など
Webサーバー

攻撃者

DB

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

（例）通常の動作Browser
http://........

ショッピングサイト

こんにちは、大空太郎 さん
ショッピングカート – 購入履歴
カテゴリ

ログイン中のユーザーの購入履歴が表示される機能

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

（例）通常の動作
Browser
http://........

ショッピングサイト

こんにちは、大空太郎
大空太郎さんの購入履歴さん
注文日

ショッピングカート– 購入履歴
お届け先
商品

08/11/27
カテゴリ

大空太郎

書籍:今夜わかるTCP…

08/09/28

大空太郎

書籍:情報セキュリテ…

08/08/17

大空太郎

書籍:ネットでライフ…

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

内部の処理Browser
http://........

ショッピングサイト

大空太郎http://shop.example.com/history?uid=MfRV0Nl5VlK3vYy0さんの購入履歴
注文日

お届け先

商品

08/11/27

大空太郎

書籍:今夜わかるTCP…

08/09/28

大空太郎

書籍:情報セキュリテ…

08/08/17

大空太郎

書籍:ネットでライフ…

MfRV0Nl5VlK3vYy0は、大空太郎さんのuid【SQL文】
SELECT date, dest, item FROM historyTbl WHERE uid = 'MfRV0Nl5VlK3vYy0';

データベース historyTblから、uid= 'MfRV0Nl5VlK3vYy0' が含まれる行のdate, dest, itemのデータを表示しなさい

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

SQLインジェクション
書き換えるBrowser
http://........

ショッピングサイト

http://shop.example.com/history?uid=MfRV0Nl5VlK3vYy0
http://shop.example.com/history?uid=1%27%20or%20%271%27%20%3d%20%271
大空太郎 さんの購入履歴
注文日お届け先商品

08/11/27

大空太郎

書籍:今夜わかるTCP…

08/09/28

大空太郎

書籍:情報セキュリテ…

08/08/17

大空太郎

書籍:ネットでライフ…

デコードすると
1' or '1' = '1

【SQL文】
SELECT date, dest, item FROM historyTbl WHERE uid = '1''MfRV0Nl5VlK3vYy0';
or '1' = '1';

データベース historyTblから、uid='1'、または条件'1'='1'
historyTblから、uid = 'MfRV0Nl5VlK3vYy0' が含まれる行のdate,が成り立つ行のdest,itemのデータを表示しなさい
date,dest, itemのデータを表示しなさい

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

内部の処理historyTbl
uiddatedestitem

LfhllUTwqFZaa6Sm

08/12/24

鈴木一郎

書籍:野球の基本技術

MfRV0Nl5VlK3vYy008/11/27

大空太郎

書籍:今夜わかるTCP…

Hbgcfus2leCRGl1R

08/10/10

高橋尚美

書籍:初心者のためのマラソン

MfRV0Nl5VlK3vYy0

08/09/28

大空太郎

書籍:情報セキュリテ…

Hbgcfus2leCRGl1R

08/09/01

高橋尚美

DVD:マラソン上達レッスン

LfhllUTwqFZaa6Sm

08/08/27

鈴木一郎

ゲーム:プロ野球ナイン2008

MfRV0Nl5VlK3vYy008/08/17

大空太郎

書籍:ネットでライフ…
「条件'1'='1'」は常にどの行でも成り立つ
つまり、データベース historyTblから、uid='1'、または全ての行のhistoryTblから、uid= 'MfRV0Nl5VlK3vYy0' が含まれる行のdate,historyTblから、uid='1'、または条件'1'='1'が成り立つ行のdest, itemのデータを表示しなさい
date,dest, itemのデータを表示しなさい

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

SQLインジェクション
Browser
http://........

ショッピングサイト

大空太郎 さんの購入履歴
注文日

お届け先

商品

08/11/27
08/12/24

大空太郎
鈴木一郎

書籍:今夜わかるTCP…
書籍:野球の基本技術

08/09/28
08/11/27

大空太郎

書籍:情報セキュリテ…
書籍:今夜わかるTCP…

08/08/17
08/10/10

大空太郎
高橋尚美

書籍:ネットでライフ…
書籍:初心者のための…

08/09/28

大空太郎

書籍:情報セキュリテ…

08/09/01

高橋尚美

DVD:マラソン上達レ…

08/08/27

鈴木一郎

ゲーム:プロ野球ナイ…

08/08/17

大空太郎

書籍:ネットでライフ…

本来ならば表示されない他のユーザーの購入履歴も表示されてしまう

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

SQLインジェクションの対策

http://shop.example.com/history?uid=1‘ or ’1‘ = ‘1

ユーザから入力された値を元にして、データベースへの問い合わせを行なう場合、データベースへの問い合わせを行なう段階で、入力された値の中に不正な文字列が含まれていないかをチェックし、その結果としてエラー処理や無害な文字列に変換するなどの処理を行なってください。
また、パラメータの種類を考えて特定の文字しか受け付けない（記号は受け付けない）ようにしておくことでより安全なものとなります。

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

セキュリティ先進企業に聞く
セキュリティ対策の考え方
ISMSの罠にはまるな！

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

セキュリティ担当の悩みごと
標的型攻撃や遠隔ウイルスとか怖いな

ハッカーのアノニマスってうちにも攻撃するのかな

中国との関係悪化で攻撃増えてると聞いてるし

クラウドサービスを活用したいけどセキュリティ大丈夫なのかな

不正アクセスによる情報漏え
い事件増えてるな

うちのWebサイトを開発してる会社はセキュリティの知識あるのかな？

国もサイバー攻撃に備えて部隊作るしやばいのかな
ISMSやプライバシーマークの審査員から、内部セキュリティについて情報管理などいっぱやる事あるな

モバイルパソコンのHDD暗号化くらい必要かな？
PCのウイルス、マルウェア対策
しないとな
入退室装置もそろそろ導入しないとそもそもセキュリティ専任じゃない
し・・・、メインの仕事あるし・・・
Webサイト運営部署にセキュリティルール守るように言ったら嫌われそう・・・

顧客情報DB大丈夫かな、持ち出しとか不安

セキュリティの専任知識ない
し・・・
Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

Webサイトのセキュリティ対策
 それぞれのフェーズですべき対策
実施すべき内容

セキュリティを考慮した設計

要件定義必要な事

設計

ｾｷｭｱﾌﾟﾛｸﾞﾗﾐﾝ
ｸﾞ教育

セキュア
コーディング

脆弱性診断

WAF／IPS

実装

テスト

運用・ｿｰｽｺｰﾄﾞ診断
・ｾｷｭｱﾌﾟﾛｸﾞﾗﾐﾝｸﾞ

Webｱﾌﾟﾘｹｰｼｮ
ﾝ診断

WAF

脆弱性を作らない様、管理者、開発者のスキルアップを図る

脆弱性が作り込まれていないかチェックする

細かい追加開発での脆弱性作り込みのリスクを軽減する。

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

先進企業からのアドバイス◆セキュリティ対策を行うパワー配分は、
イントラセキュリティ：公開Webセキュリティ＝１：９で考える– インターネットWebサイトで顧客情報や重要情報を持つWebサイトを最優先で考えなさい。
– イントラセキュリティは、PC対策と顧客情報DBに絞って対策、この２点以外でISMSで必要と言われることは無視しなさい。
– １００点を目指してもダメ、費用対効果がリニアに上がる８０点を目指しなさい。
– 残るセキュリティリスクは許容する、事件が起こる前提で考えな
さい。
Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

セキュリティ対策度とコストの相関イメージ
高いセキュ
リティ
コス
ト

このポイントを見つける事がコスト抑制と効果の最大点

このエリアのリスクについては許容。事故前
提の考え方

低い０％

５０％

８０％

１００％

セキュリティ対策度
Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

本日お薦めしたいWebアプリケー
ション脆弱性対策サービス

SaaS型WAFサービス：Scutum

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

導入実績

ご利用実績：300サイト以上（2012年12月現在）
導入企業様の一例
・ディップ株式会社様・株式会社転送コム様・株式会社カフェグロープ・ソリューションズ様
・学校法人 大妻学院様
OEM 提携先・株式会社インターネットイニシアティブ（IIJ）様・株式会社電通国際情報サービス（ISID)様
販売代理店
・株式会社アイ・シー・アイ・株式会社イーツ
・日本ベリサイン株式会社
・プロフェッショナル・ネットワーク・コンサルティング株式会社
Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

ＳｃｕｔｕｍとはScutumとは？

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

特徴 / コンセプト

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

特徴 / コンセプト2012年12月現在、300

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

サービスメニュー / 価格表

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

サービスメニュー / 価格表

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

防御できる攻撃Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

導入の流れCopyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

管理画面

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

管理画面

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

クラウド対応

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

クラウド対応

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

CDNオプション

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

CDNオプション

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

従来型WAFとの比較

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

従来型WAFとの比較

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

～キャンペーンのご案内～

Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.

～キャンペーン内容～◆対象とする官公庁、自治体、教育機関のWebサイトは、比較的セキュリティ対策度が低いのが実情です。
そして、不正アクセスの対象になりやすいのも特徴です。
◆ICI／SSTでは、横浜市ホームページへの書き込みに寄る誤認逮捕事件を受けて、掲示板のCSRF（クロスサイトリク
エストフォージェリ：「リクエスト強要」）の脆弱性の有無を調査し、脆弱性が検出された場合は、２０１３年３月までScutumを無償提供する支援を行っています。
Copyright © 2009 Internet & Communication Innovator, Ltd. All Rights Reserved.