Web
サーバに対するセキュリティ
Webサーバに対するセキュリティ
アセスメント技術の最新動向
2005年1月18日
富士通株式会社
セキュリティサービス統括部

Web
アプリケーションセキュリティ
Webアプリケーショの現状

All Rights Reserved, Copyright (C) FUJITSU Security SystemDept. 2003

1

まずはデモをご覧ください

セキュリティ対策の現状 （1/2）◆ インフラのセキュリティ対策は実施している （ファイアウォール、監視システムの設置など）◆ 定期的なパッチ適用などの対策も実施している
ファイアウォール
ファイアウォール

不正なパケットを遮断
DMZ
DMZ

インターネット
インターネット
FUJITSUGRANPOW

RE7000ウェブ
サーバ

FUJITSUGRANPOW

RE7000

メール
サーバ

FUJITSUGRANPOW

RE7000

DNS
サーバ

攻撃
クラッカー
クラッカー
FUJITSUGRANPOWRE

7000

不審なパケット
を監視

アプリ
サーバ

FUJITSUGRANPOWRE

7000

データベース
サーバ

監視システム
監視システム社内ネットワーク
社内ネットワーク

4

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

2セキュリティ対策の現状 （2/2）◆ 一般的なセキュリティ対策は実施されている
複数回答(%)

複数回答(%)

0

10

20

30

40

50

60

70

62

不要サービス／機能の削除

59

サーバ／OSへ最新パッチを適用

43
42

重要情報は公開サーバに置かない
ウェブサーバログを定期的に検査

33

パスワード設定に入力制限

25
21

認証時などの漏洩／改ざん対策
入力フォームのフィルタリング

7
9

その他
特に対策していない

セキュリティ対策実施状況（複数回答 N=263）
出展: @IT 「第 3回 読者調査結果 〜 Webアプリケーションのセキュリティ〜」− 2002 −All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

5

ファイアウォールだけでは防御できないファイアウォールの導入など、インフラや OS、ミドルのセキュリィティ対策だけでは防ぎきれないWeb アプリケーションへの攻撃が急増しています。インフラのセキュリティ対策はもちろん、Webアプリケーションのセキュリティ対策も不可欠です。
HTTP（ポート、HTTPS（ポート443）プロトコルでの攻撃が行われる
HTTP（ポート80）
80）、HTTPS（ポート443）プロトコルでの攻撃が行われる
公開用Web
公開用Webサーバへの通信は遮断できないため、ファイアーウォールで通信を制限できないサーバへの通信は遮断できないため、ファイアーウォールで通信を制限できない
正常なルートでの侵入、無数の攻撃パターンの存在などにより、監視システムによる検知が困難
正常なルートでの侵入、無数の攻撃パターンの存在などにより、監視システムによる検知が困難

インターネット
インターネットDMZDMZWebサーバHTTP （ポート80）

クラッカー

社内ネットワーク
社内ネットワーク

社内サーバ

HTTPS（ポート443）
FUJITSUGRANPOWRE

FUJITSUGRANPO

7000

WRE

7000

Java,CGI 等

ファイアウォール

監視システム6

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

3

Webアプリケーションセキュリティの 実情 (1/3)• Webアプリケーションの92％に脆弱性有り• アプリケーション層における主要な脆弱性（米WebCohort社が2000年1月から2004年1月に約300サイトに対して行ったテスト結果より）
攻撃の種類

脆弱性の見つかった割合

クロスサイトスクリプティング

80%

SQLインジェクション

62%

パラメータの改ざん

60%

クッキーの改ざん

37%

データベースサーバへの攻撃

33%

Webサーバへの攻撃

23%

バッファオーバーフロー

19%

出展：米WebCohort社プレスリリース（2004年2月2日）
http://www.imperva.com/company/news/2004-feb-02.html
7

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

Webアプリケーションセキュリティの実情 (2/3)◆ ウェブアプリケーション侵入検知ツールにて公開Webサイトを検査調査を行った300サイトのうち97%のWebサイトにセキュリティホール

F U J I TS U

GRANPOW

RE7000● 機密情報を格納したファイルの内容が参照可能

32%● 個人情報の覗き見が可能

25%● 価格の改ざんが可能

23%● セッションハイジャックが可能

7%● 情報の改ざんが可能

7%● サイト情報の消去が可能

3%

● その他

3%
出展: Sanctum社

8− 2003 −All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

4

Webアプリケーションセキュリティの実情 (3/3)◆ ほとんどのECサイトにセキュリティ上の問題あり
独立行政法人 産業技術総合研究所の研究グループがクロスサイトスクリプティングへの対策状況を調査したとこ
ろ、調査を行ったほとんどの大手ECサイトにて、他人によるなりすましや個人情報の閲覧が可能であることが判明した。クレジットカード番号を奪われ得るサイトも複数存在したとこのこと。
また同研究グループは、現行のサイトを無作為で抽出し、調査を行ったところ、日本通信販売協会のオンラインマークを取得したサイトの 84％、日本情報処理開発協会のプライバシーマークを取得したサイトの 68 ％、大手の銀行や証券サイトの 91％はクロスサイトスクリプティングへの対策を実施していなかったと発表した。

オンラインマーク取得サイト（脆弱サイト 21/25サイト）

プライバシーマークイト（脆弱性と17/25サイト）

未発見,
16%

未発見
12

脆弱,
84%

脆弱,
68%

不明,
20%

クロスサイトスクリプティング脆弱性有無の調査結果

銀行、証券サイト（脆弱性と21/23サイト）

取引サー
バ以外のサーバが脆弱,
13%

未発見,
9%

取引サー
バ自体が脆弱,78%

出典：独立行政法人 産業技術総合研究所 − 2001 −9

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

Webアプリケーションセキュリティ事件例 （1）◆ オンラインショッピングで、消費者のクレジットカード番号が流出した事件
2000年1 月、Maxus と名乗るクラッカーが米国のオンラインCDショップであるCD Universのアプリケーションの脆弱性をついてWebサイトを攻撃。クレジットカードのトランザクション処理を行うCyberCashのICVerify と、SQLServerの脆弱性が原因だとされている。
約30万人分の消費者のクレジットカード番号が盗み出され、約 2万5千人のクレジットカード情報をMaxus のホームページ上に公開された。
米国連邦捜査局(FBI)は、このホームページを即日閉鎖したが、Maxusは更に10万人分のカード情報と引き換えに10万ドルを支払うように恐喝した。

アプリケーションの脆弱性をついた攻撃

MaxusMaxus

攻撃
クレジットカード情報流出

10

30万人分のクレジットカード番号が流出し、ホームページに公開された上、情報と引き換えに多額の金を要求があった。

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

5

Webアプリケーションセキュリティ事件例 （2）◆ A協会 個人情報流出事件
2003年11 月、デジタル著作物の著作権保護を進めているA協会が開設するホームページの質問フォームに記入を行った約1200 人分個人情報が流出。

(1) ホームページの質問フォームに記入を行った約 1200分の個人情報が、情報漏洩の危険(一部、漏洩)にさらされていたもの。

(3) セキュリティホール発見者の脆弱性公開の方法を巡り、大問題となった。

F U J I TS U

GRANPOWRE

7000

プログラミングミス
CGI(2) 送られてきた個人情報を含む質問内容を、サーバで処理するCGIプログラムにプログラムミスがあったといわれる。質問フォームを悪意を持って不正に改ざん、送信することで、蓄積個人情報が読み出せる仕様になっていた。

氏名、性別、住所、電話番号など、およそ1200人分の個人情報

11

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

サーバ側の主な脆弱性 (OWASP Top Ten for 2004)
Unvalidated Input
Broken Access Control
Broken Authentication and Session Management
Cross-Site Scripting (XSS) Flaws
Buffer Overflows
Injection Flaws
Improper Error HandlingInsecure Storage
Denial of ServiceInsecure Configuration Management

12

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

6

Web
アプリケーションのWebアプリケーショ
脆弱性と改善策

クロスサイトスクリプティング 【脆弱性】
脆弱性脆弱性クロスサイトスクリプティングは、攻撃者が脆弱性を持つWebサイトを経由して、Web サイト利用者のクライアントマシン上で J a v aスクリプトなどのプログラムを実行させる攻撃。
カスタマセション、およびcookieなど、個人情報や重要な情報をクライアントマシンから漏洩させたり、Webサイト利用者から入力された個人情報を全く別のWeb サーバに送信させたりすることが可能となる。

WebシステムWebシステム・Cookie情報、個人情報などの漏洩・Webブラウザ、データの破壊 等
FUJITSUGRANPOWRE

7000

FUJITSUGRANPOW

RE7000

FUJITSUGRANPOWRE
7000

Webサイト閲覧

インターネット
インターネット

WWW（Webサイト）

バックエンドのサーバ

クラッカー
クラッカー
<SCRIPT>xx
xxxxxxxxxxxx</SCRIPT>

悪意あるスクリプトの埋め込み

悪意あるスクリプトがページに埋め込まれたWeb サイトをユーザが閲覧した際に、Webサイトの「スクリプトを排除しない欠陥」を利用して、スクリプトが利用者のブラウザ上で実行され、クッキーや個人情報が漏洩したり、ファイルが破壊したりといった被害が発生する。
14

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

7

クロスサイトスクリプティング 【脆弱性】
脆弱性
脆弱性(1)クラッカーの作成した悪意あるWebサイトの閲覧
クラッカーサイト
スクリプト

利用者
スクリプト

(6) スクリプト実行(3) URLリンクなどを利用し、悪意あるスクリプトをパラメータとして、ターゲットサイトのアプリケーションを利用者に呼び出させる。

(2) 悪意あるWebページの出力

スクリプト

ターゲットサイト(5) 悪意あるスクリプトが含まれたレスポンスを利用者に送信(4) ターゲットサイトのページの出力(7) ターゲットサイトから発行されたCookie情報をクラッカーサイトに送信

クラッカーサイト
クラッカークラッカー

クロスサイトスクリプティングの脆弱性が存在重要なCookie情報の漏えい
15

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

クロスサイトスクリプティング 【改善策】
改善策
改善策
1. 特殊文字のサニタイジング （スクリプトの無効化）
利用者から文字列入力を受け付けるページの場合には、危険な文字列をフィルタリングし、除去あるいは置換を行うこと｢&｣、｢ <｣、｢ >｣、「 」、｢ 」 ⇒ ｢&amp; ｣、｢ &lt;｣、｢ &gt;｣、｢ &quot;｣、｢ &#39｣
2. URL属性
URL属性部分に入力データを埋め込まないこと
3. イベントハンドラ属性
入力データに応じてイベントハンドラの動作を変えたい場合でも、イベントハンドラ部分へ入力データを埋め込まないこと｢onchange｣、｢ onmouseover｣、｢ onload｣、｢ onerror｣
4. <SCRIPT></SCRIPT><SCRIPT> タグで囲まれた部分に入力データを埋め込まないこと
5. スタイル属性
デザインを決定するスタイル属性部分に入力データを埋め込まないこと
6. 想定範囲のチェック
入力文字列、およびボタンの値など、利用者からの入力によって変化する値は、入力文字列が想定範囲内にあるかどうかをチェックすること
16

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

8

不正リクエスト、未検証のパラメータ 【脆弱性】
脆弱性
脆弱性
1. 強制ブラウジング
攻撃者は、推測によるブラウジングを実施することで、Webサーバに格納されている情報の獲得を試みる。
2. 想定外の入力データ（パラメータ値）による動作異常
攻撃者は、想定外のリクエストを送信することにより、Webアプリケーションに対して動作異常を発生させる。
HTTPリクエストのパラメタを下記のように改変し送信(a) パラメータ削除(b) 空白パラメータ(c) NULL値(d) 各種の問題を引き起こす文字 （｢’｣、｢ ”｣、｢ ¥’｣、｢¥¥’｣、｢)｣、｢;｣）(e) オーバーフロー発生パラメタ値(f) トグル値に対する 想定外の値(g) 入力制限値の範囲外の値
例 a) パラメータ削除

http://www. target.com/samedir/samplecgi?pam=aabbcc
http://www. target.com/samedir/samplecgi?pam=aabbcc

クラッカー
クラッカー

ブラウザのアドレスの一部を削除して実行

17

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

不正リクエスト、未検証のパラメータ 【脆弱性】
脆弱性
脆弱性
1. 強制ブラウジング
攻撃者は、推測によるブラウジングを実施することで、Webサーバに格納されている情報の獲得を試みる。
2. 想定外の入力データ（パラメタ値）による動作異常
攻撃者は、a) パラメタの削除、b) 空白パラメタ、c) NULL値、d)各種の問題を引き起こす文字、e)オーバーフロー発生パラメタ、f) トグル値に対する想定外の値、g) 入力制限値の範囲外の値などのリクエストを送信することにより、動作異常を発生させる。
WebシステムWebシステム1. http://ターゲットサイト/same_dir/

FUJITSU

クラッカー
クラッカー

GRANPOWREF U J I T

GRANPOW7000

S URE7000

F U J I T S

GRANPOW

URE7000

インターネット
インターネット

2. HTTPリクエストのパラメタを下記のように改変し送信(a) パラメタ削除 (b) 空白パラメタ (c) NULL値(d) 各種の問題文字（｢’｣、｢ ”｣、｢ ¥’｣、｢ ¥¥’｣、｢ )｣ 、｢;｣）(e) オーバーフロー発生パラメタ値(f) 想定外の値(g) 範囲外の値
18

WWW（Webサイト）

バックエンドのサーバ

動作異常発生All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

9不正リクエスト、未検証のパラメータ 【改善策】
改善策
改善策
1. 強制ブラウジング対策
・公開するディレクトリを制限すること・不必要なファイルの配置は行わないこと
・最新のパッチを適用すること⇒強制ブラウジングは、Webサーバアプリケーション（IISなど）のセキュリティホールも考えられるため、ベンダからのパッチ情報を確認し、最新のセキュリティパッチを適用すること
2. httpリクエストに含まれるパラメタのチェック・受信したhttpリクエストに含まれるパラメタに対し、パラメタの「種類」、「文字種」、「値」、「範囲」が想定しているものであるかどうかをWebシステム内でチェックすること

19

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

ページ間の値の受け渡し 【脆弱性】
脆弱性
脆弱性
1. クエリストリング
クエリストリングはWebページ間で容 易にパラメタを受け渡しできる。しかし、クエリストリングに含まれる情報は筒抜けであり、改 ざんされやすい。またこの情報から、攻撃者にWeb アプリケーションの仕組みを知られる可能性もある。

http://www. kakuumail.jp/ cgibin/showmail.cgi?user=10334&pw=1211 &&mailid=256

ブラウザのアドレス欄 に入力するだけであり、改竄が 容易
http://www. kakuumail.jp/ cgibin/showmail.cgi?user=10335&pw=0919 &&mailid=257
クラッカー
クラッカー

架空Webサイトの URLの“ ?”以降のクエリストリングから、他の利用者のユーザID（例:user＝10335）を設定し、パスワード（例 :pw=0919）などを推測して入力することで、他の利用者の個人情報が流出する可能性がある。

20

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 200310

ページ間の値の受け渡し 【脆弱性】
脆弱性
脆弱性
2. hidden
hiddenフィールドを使用した場合、Webブラウザに表示させずにページ間で容 易にデータを受け渡しできる。
しかし実際には、hiddenフィールドで指定した情報はWeb ブラウザへ送信されているため、情報の参照および改ざんが可能となる。hiddenフィールドの情報を改ざんされた場合、重要な情報が漏洩する危険性がある。
HTMLソースの参照

hiddenフィールドの参照、ソースの改ざん

画面にhidden フィールドは表示されない

クラッカー
クラッカー

21

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

ページ間の値の受け渡し 【改善策】
改善策
改善策
1. “POST”の利用・フォームの送信メソッドとして、”GET”を使用しないこと・”POST”を使用することで、利用者が入力したパラメタはリクエストボディに入れられてWebアプリケーションへ送信される。リクエストボディはログに記録されることが稀なため、情報が流出する可能性が低い
2. セッションの利用
・Webページ間の移動はCookie にのせたセッションIDおよび、セッション変数により管理する。
ブラウザとはセッションID情報のみをやり取りするため、重要情報が流出する危険性を低く抑えることができる

22

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

11

不正なURLの入力 【脆弱性】
脆弱性
脆弱性
1. URLの直接入力
ログインページからのユーザ認証を経ず、URLやクッキーを不正に直接入力された場合、認証されたユーザのみが閲覧許可されるべきページを不正な利用者に閲覧される可能性がある。
また、認証されたユーザ専用の処理を実行するような URLやクッキーを悪用された場合も、重要な情報が漏えいする可能性がある。

×

ログイン認証ページ
http://www.login.html----------- --------------------- ---- -------------------URLの不正な直接入力

×
認証済ユーザ専用ページ
http://www. private.html----------- --------------------- ----------- --------------------

クラッカー
クラッカー

不正にログイン認証をかわし、専用ページを閲覧
All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

23

不正なURLの入力 【脆弱性】
脆弱性
脆弱性
2. URLのからの推測
URLの情報から他のユーザのIDを推測することにより、他のユーザの個人情報が漏洩する可能性がある。
userID=554の個人情報
http://www. userinfo.cgi?userID=554

userIDの推測およびURLの不正入力

名前：-----------住所:--------- ------ -電話:---------E-mail:--@----年齢:---userID=555の個人情報
http://www. userinfo.cgi?userID=555
名前：-----------住所:--------- ------ -電話:---------E-mail:--@----年齢:---

クラッカー
クラッカー

userIDを予測し、他人の個人情報を閲覧
24

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

12

不正なURLの入力 【改善策】
改善策
改善策
1. “POST”の利用・フォームの送信メソッドとして、”GET ”を使用しないこと・”POST”を使用することで、利用者が入力したパラメタはリクエストボディに入れられてWebアプリケーションへ送信される。リクエストボディはログに記録されることが稀なため、情報が流出する可能性が低い
2. セッションの利用・Webページ間の移動はCookie にのせたセッションIDおよび、セッション変数により管理する。
ブラウザとはセッションID情報のみをやり取りするため、重要情報が流出する危険性を低く抑えることができる
3. HTTP_REFERER
・環境変数HTTP_REFERER へは、リンク元のURLが入ってくるため、CGI にどこのリンクからたどってアクセスをしてきたかがわかる。CGIに対し、URLをブラウザへ直打ちしてアクセスした場合、この変数には何もデータが入らないため、変数が空など正しくないものを遮 断 する
ことで、不正なURL直打ちによる情報漏えいを防ぐことができる

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

25

Cookie盗聴 【脆弱性】
脆弱性
脆弱性
1. Cookie盗聴
Cookieを利用したセッション管理を行っており、Cookie に｢secure｣属性を指定していない場合、Cookieを盗聴される危険性がある。Cookieを盗聴された場合、盗んだCookie にてセッション追跡を行われることで、アプリケーションのログイン状態を乗っ取られ、個人情報を不正に閲覧される恐れがある。
セッション追跡をCookieにて管理
FUJITSUGRANPOWRE

7000

CookieクライアントクライアントWebサーバWebサーバ

パケット盗聴により、セッション追跡用のCookieを盗み出す

Cookie

クラッカー
クラッカー

26

盗んだCookieでログイン状態を乗っ取ったhttp画面やhttps 画面に侵入し、重要な情報を閲覧

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

13

Cookie盗聴 【改善策】
改善策
改善策
1. Cookieに｢ secure｣属性を付加する
Cookieに｢secure｣属性を指定することにより、通信プロトコルがhttpの場合、クライアントからサーバへCookieを送信しなくなる。
2. 全ての通信をhttpsで行う
セッション追跡が必要な画面は全てhttps://とし、httpおよび他のTCPポートも閉じる。
3. httpおよびhttpsのセッション管理を別のCookieにて行う
httpおよびhttps のセッション関係を管理するアプリケーションを開発し、httpsでは｢secure｣属性ありの Cookieを使用し、httpでは｢secure｣属性なしの Cookieを使用する。
両者にはそれぞれセッションIDを与え、どちらのセッションIDからでも同一のユーザを特定できる仕組みにする。

27

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

統合的なセキュリティ確保の必要性◆ 設計・開発・構築・運用のフェーズにおいてセキュリティの確保が重要となるシステムの稼動段階でWeb アプリケーションの脆弱性が発見された場合、プログラムの作り直しなど、大幅な戻り作業が発生する場合があるため、設計段階からの網羅的なセキュリティ対策が必要です。

セキュリティを考慮
セキュリティを考慮した設計
した設計

セキュアな
セキュアなプログラミング
プログラミングイン
フラ/アプリレベル
イン
フラ/アプリレベルのセキュリティ考慮のセキュリティ考慮

設計

開発

構築

定期的な
定期的な
セキュリティ監査
セキュリティ監査

運用

00110111011
01011010101
01010101011
11110101110
11101111110--------------------------------------------

プログラミング

セキュリティ要件定義

構築診断
セキュリティ教育28

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 200314

セキュリティ確保のために◆ Webアプリケーションセキュリティ対策のための情報サイト◆IPA
セキュア・プログラミング講座
http://www.ipa.go.jp/security/awareness/vendor/programming/index.html◆独立行政法人 産業技術総合研究所 グリッド研究センター

00110111011
01011010101
01010101011
11110101110
11101111110

安全なWebアプリ開発40箇条の鉄則
http://staff.aist.go.jp/takagi.hiromitsu/

セキュア◆The open web application security project

プログラミング

http://www.owasp.org/index
リスク分析
セキュリティ教育29

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

セキュリティアセスメント技術

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

15

Webアプリケーションブラックボックステストの基本手順

リクエストを発見• 対象Webアプリケーションで処理される、有効なURLやクエリパラメタなどの発見

テストリクエストを作成• たとえば、対象Webアプリケーションで処理されるが、入力値検査などによって適切な処理をされないと問題となる入力の作成

出力分析・診断• テストリクエストの応答から、入力に対する適切な検査処理がされているか判定

31

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

32

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

Webアプリセキュリティテストツール
開発コード名「玄武」• 2004年11月より社内提供
主な目的• セキュリティテスト方式• ブラックボックステスト
特徴• 画面構成の視覚化• 自動テスト入力／
テスト結果報告All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

16

Webアプリケーションのセキュリティブラックボックステスト
様々な HTTP(S) リクエスト

Webアプリケーション

テストツール（玄武）

攻撃者の立場

レスポンス

ｸﾗｲｱﾝﾄｻｰﾊﾞ

自動テスト• 各処理（＝テスト対象）に対し様々なパラメーターを自動入力• 出力から問題の有無を自動判定

33

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

診断自動化を阻むもの

画面探索の完全性• エラー画面を含めすべての画面を見つけ出すのは容易ではない。
• 「正しいデータ」を入力しないとその先に進めない場合、完全自動化は難しい。

画面の再現性• 画面探索時と脆弱性診断時で入力フィールド名が変わったり、挙動が変わるなど。

現状では完全な自動診断は難しく、診断者の技術に強く依存する。

34

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 200317

Webアプリケーションセキュリティへの取り組み

民生用量産品と特需用個別生産品は分けて考えよう

量産型• 厳密に定義された「形」• 標準化された生産• 少ない（簡略化された）テスト項目

個別型• 多種多様な要件とその実現• 一品設計、一品生産• コストがかかる多数のテスト項目

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

35

Webアプリケーション診断サービス
インフラ、OS、ミドルのセキュリティを診断する従来型のサーバスキャンではカバーしていないユーザ独自開発のWebアプリケーション脆弱性を診断します。
ファイアウォール

診断

当社診断拠点インターネット
インターネット

ウェブ

FUJITSUGRANPOWRE

7000

F U J I TS U

GRANPO

WRE700

0

サーバ

アプリ

FUJITSUGRANPOWRE

7000

FUJITSUGRANPOWRE

7000

サーバ

FUJITSUGRANPOWRE

7000

サーバ

診断結果のご報告

メール

ＤＮＳ
サーバ

データベース
サーバ

お客様環境

お客様

ハッカー視点での診断実施

セキュリティ専門家による分析Webアプリケーションの脆弱性を手作業で診断するには膨大な工数と知識、費用が必要です。本診断サービスではWebアプリケーションの脆弱性と攻撃手法を集約したハッカーの視点での脆弱性評価を行い、迅速かつ確実な分析を実施いたします。

診断ツールを使用した診断に加え、ツールでは発見できない脆弱性に関してもセキュリティ専門家による診断を実施します。診断結果をもとに、わかりやすい診断結果レポートを作成し、適切なセキュリティ対策方法をご提示いたします。
36

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 200318

アタックテストサービス エクスプレス

ファイアウォール

②診断実施
お客様DMZ
Qualysサイト

連携

お客様イントラネット

インターネット
①診断登録
③診断結果

セキュリティポータルサイト

ITマネージメントセンタ

Webブラウザ37

All Rights Reserved, Copyright (C) FUJITSU Security System Dept. 2005

All Rights Reserved, Copyright (C) FUJITSU Security System
Dept. 2003

19