株式会社サイバーセキュリティクラウド

クラウドWAF 機能解説と自動運用サービスについて( ) yber ecurity loud , nc. 2023

目次

■ 会社紹介□ W について□ パブリッククラウド
anaged W□ 運用上 悩みポイント( ) yber ecurity loud , nc. 2023

2

会社概要
社

名

株式会社サイバーセキュリティクラウド

設立

2010年8月11日

上 場 日

2020年3月26日

代 表 者

代表取締役社長 兼
代表取締役役

取締役
倉田 雅史（公認会計士）
社外取締役 伊倉 吉宣（弁護士）
社外取締役 栗原 博
常勤監査役 関 大地（公認会計士）
社外監査役 泉 健太
社外監査役 村田 育生

員

小池 敏弘
渡辺 洋司

所 在 地

東京都品川区上大崎3-1-1

東急目黒ビル13階

事業内容

技術を活用した
サイバーセキュリティサービス

開発・提供

yber ecurity loud nc. （）グループ会社( ) yber ecurity loud , nc. 2023

3

ミッション

世界中 人々が安心安全に使えるサイバー空間を創 する。

( ) yber ecurity loud , nc. 2023

4

当社
4つ

セキュリティサービスラインアップ

プロダクトを自社開発・自社サポートで安心を提供する国産セキュリティーメーカー
パブリックラウド WAF
自動運用サービス

クラウド型WAF

AWS WAF 専用ルールセット

脆弱性情報収集・管理ツール

W W
anaged ules

Webサイトへ
断ツール

サイバー攻撃 可視化・遮AWS WAF 自動運用サービス
導入ユーザー数

国内シェア

No.1

AIによるAWS/ Azure / Google Cloud
種WAF自動運用ツール

国内※1※1 日本マーケティングリサーチ機構調べ 調査概要：2021年10月期_実績調査※2 日本マーケティングリサーチ機構調べ 調査概要：2020年7月期_実績調査

No.1

※2

各

脆弱性情報を収集し、パッチ情報や回避方法を提供するサービス

サイバーセキュリティクラウド独自 AWS
WAF専用 ルールセット

脆弱性情報配信サービスシェア
脆弱性情報提供実績
脆弱性オリジナルコンテンツ数

導入ユーザ数
累計90ヵ国 以上

3部門国内3,273

ユーザー

No.1

※3

※4

※3 2023年3月時点※4 日本マーケティングリサーチ機構調べ 調査概要：2021年8月期_実績調査( ) yber ecurity loud , nc. 2023

5

目次

□ 会社紹介■ W について□ パブリッククラウド
anaged W□ 運用上 悩みポイント( ) yber ecurity loud , nc. 2023

6

Wと7 防御層

ファイアウォール/W

Web サイトWeb サービス

正常なアクセス
Web アプリケーション層へ 攻撃
クロスサイトスクリプティング
インジェクション
ブルートフォースアタック
etc, ...

ソフトウェア/へ 攻撃

インフラ/ネットワーク層へ攻撃( ) yber ecurity loud , nc. 2023

7

Wで防ぐことができる攻撃W

op 10 (最新版 2021年)

アクセス制御 不備
暗号化 失敗インジェクション
安全が確認されない不安な設計
セキュリティ 設定ミス
脆弱で古くなったコンポーネント（ゼロデイ攻撃含む）
識別と認証 失敗
ソフトウェアとデータ 整合性 不具合
セキュリティログとモニタリング 失敗（W が監視とロギングも担う）
サーバーサイドリクエストフォージェリ( ) yber ecurity loud , nc. 2023

8

Wで防ぐことができる攻撃W

op 10 (最新版 2021年)

ヘッダーインジェクション
アクセス制御 不備
インジェクション
暗号化 失敗コマンドインジェクション
インジェクション
インジェクション
安全が確認されない不安な設計
インジェクションX athインジェクション
セキュリティ 設定ミス
コマンドインジェクション
脆弱で古くなったコンポーネント（ゼロデイ攻撃含む）
改行コードインジェクション
識別と認証 失敗
メールヘッダ・インジェクション
バイトインジェクション
ソフトウェアとデータ 整合性 不具合
セキュリティログとモニタリング 失敗（W が監視とロギングも担う）
チームで セキュアコーディング
サーバーサイドリクエストフォージェリ
徹底
実装調査に 限界がある。

( ) yber ecurity loud , nc. 2023

9

インジェクション

例
SELECT * FROM user WHERE id=ʻ$ID’

実装者の意図攻撃者の意図$ に 、 からユーザ「taro」が渡ってくることで以下 ようなクエリが実行される ず$ に、必ず成立する条件文を付与して指定する（taro’ or ‘ ’=‘ ）ことでクエリ 条件文を誤魔化そう

SELECT * FROM user WHERE id=ʻtaro’
こ 結果、’taro’に関連した情報だけが に返却される

SELECT * FROM user WHERE id=ʻtaro’ orʻA’=ʻA’

こ 結果、本来閲覧できるべきで抽出されてしまうない情報までが・基本 プログラム側で脆弱性 ないよう実装する、セキュリティパッチを迅 にあてるといった対応が必要
・それでも必ずしも万全に 出来ない で、W で検知・防御( ) yber ecurity loud , nc. 2023

10

目次

□ 会社紹介□ W について■ パブリッククラウド
anaged W□ 運用上 悩みポイント( ) yber ecurity loud , nc. 2023

11

各種パブリッククラウド

Wと関連リソースAWSDNS
CDN/ エッジサービス

WAFに統 L7 ロードバランサ
合可能な そ 他
サービス

AzureGCP

Route53

Azure DNS

Cloud DNS

Amazon CloudFront

Azure Front Door

Cloud CDN

Application Load Balancer

Azure Application Gateway

Cloud Load Balancing

Amazon API Gateway
AWS AppSync
Amazon Cognito user pool
AWS App Runner

GKE
Cloud RunApp Engine
Cloud Functions

AWS Verified Access instance

WAF

AWS WAF

Azure WAF

Cloud ArmorDDoS

AWS Shield(Standard | Advanced)

Azure DDoS Protection(IP Protection | Network Protection)

Cloud Armor Standard
Managed Protection Plus

ロギング

AWS Cloud Watch

Log Analytics

Cloud Logging( ) yber ecurity loud , nc. 2023

12

W W

特徴

ALB A

WebWebWeb- 複数 エンドポイントでWeb共有できる（同一 ルール構成を複数サイトで共有）

ALB B- W という単位が各ルールごとに定義されており、これらが上限に達するまでルール投入できるloud ront- W を通過したログ
3や loud Watch、 inesisといったサービスと連携することで解析やトリガーをしかけることが可能

loud ront-WAFログ3

loudWatchというユニットで対象サイトを防御

API Gateway A

１つ 対象に複数 Webをアタッチすること できない

Web- WebW 自身が提供する anaged ule 他、サードパーティベンダーが開発・保守しているanaged uleもある

inesis irehose( ) yber ecurity loud , nc. 202313

zure W特徴

WAF Policy A

Application Gateway A
Listener 1

Application Gateway BWAF Policy B

Listener 2
Listener 3

WAF Policy C

Frontdoor A- W- 複数 エンドポイントでW
olicy 共有できる（同一 W シグネチャを複数サイトで共有）- なおかつ、 pplication ateway全体にアタッチすることもそ 配下
istener単位（さらにパスベースルールがあれ そ 単位も）にアタッチすることもできる-

ore ule etをベースにした管理ルールを基本ルールとし、追加ルールやカスタムルールが追加できる-

pplication W向けと ront oor向けでW に設定できるルールや細かい条件などが異なる

Frontdoor B
WAFログ

StorageAccount

Log Analytics

olicyというユニットを設定して対象 サイトを防御

Event Hubs
( ) yber ecurity loud , nc. 2023

14

oogle loud rmor

特徴

BackendSecurity Policy A-oad alancingという大きなネットワークサービス 中枠組み（デフォルトで dgeレイヤーが組み込まれている）-

ecurity olicyというユニットを設定して対象 サイトを防御

Backend Service A
Backend Service B

BackendSecurity Policy B

Backend Service C

Edge
Security Policy C

Backend Service D- デフォルト ルールがあり、allow/denyを制御することできるが、除外すること できない

リクエストログ
Log Router

Logging Bucket

BigQuery- 複数 エンドポイントで olicy 共有できる（同一 W シグネチャを複数サイトで共有）-

Cloud Storage

daptive rotectionといった機械学習モデルベース 防御機能もある

Pub/Sub( ) yber ecurity loud , nc. 2023

15

Web

関連リソース概念図

Web

ule

ules

tatement (マッチング条件）
attachpriority 0

ule

priority 1ulepriority 2

ule-attachegex attern etule roupules
priority 0

pathにxxxx 文字列を含んだら…
bodyが正規表現にマッチしたら…
特定 地域からなら…
…

etule

attachction (どうするか）
priority 1ule

llow/ lock/ ount/…

( ) yber ecurity loud , nc. 2023

16

tatement詳細
内容

説明

アドレス
文字列マッチ
正規表現
レートベースeo ロケーション

サイズ制約

CIDR 形式
文字列

対象

IP アドレス。IP Set というリソースと関連付く。（後ほど説明）

完全一致、文頭文尾一致

直接記述もしく RegexPatternSet という正規表現をまとめたリソースと関連付く
IPアドレス毎

５分間で アクセス数で検知

サイズで検知ラベル

ラベルが付与されたアクセスを検知

i, X

SQLインジェクション、クロスサイトスクリプティング-ookieinglell

クエリパラメータ
inglell

AWS 判定によるアクセス元 国で検知
アクセス元 IPから地域レベル 情報もラベルとして付与されるように
対象

ヘッダー
inglell

ボディ
body
パス攻撃を検知メソッド( ) yber ecurity loud , nc. 2023

17

ction詳細
内容

説明
ount

マッチしたも をカウント。後続

ルール

判定処理を継続する

llow

当該リクエストをサービスに転送。後続lock

当該リクエストをブロックし、クライアントに応答する（デフォルト 403）。
レスポンス内容 カスタマイズ可能。後続 ルール 判定処理 それ以上されない

ルール

判定処理

それ以上されない人から アクセスであることを確認するためパズルを表示するよう、応答する。
パズルが成功すると元 リクエストをサービスに転送。
hallenge

ブラウザから アクセスであることを確認するためavascriptコードを返却するよう、応答する。
ブラウザから アクセスであれ 当該 avascriptコードが実行されることで hallengeに成功し、サービスに転送。

( ) yber ecurity loud , nc. 2023

18

ルール優先度

優先度
0

優先度
1

優先度
2

条件
日本以外から アクセス条件/admin.php へ条件

アクション
ountアクション
lock記録

アクセス拒否！！

クエリが (?i)((true|1|\W|),\s…にマッチする

アクション
lock

検査なし

アクションが「 llow」「 lock」であるルールにリクエストが該当した場合、そこで W検査 ストップする。
結果が「 ount」 場合 ログに書き出されるも検査が止まらず、優先度に基づいて検査が続く。

( ) yber ecurity loud , nc. 2023

19ラベル機能

優先度
0

優先度
1

優先度
2

条件
日本以外から アクセス条件
/admin.php へ アクセス かつ “foreign” ラベル付き

条件

アクション
lock

アクション
lock

アクション
ount かつ“foregin” ラベル付与

記録

クエリが (?i)((true|1|\W|),\s…にマッチする拒否！！

検査なし

ルールにラベルをつける機能で なく、アクセスに対してラベルを付与する機能。
付与されたラベルを元に後段 ルールで条件を設計できる。
複数 ルールにまたがる共通 前提条件として利用すると便利。

( ) yber ecurity loud , nc. 2023

20

まとめ✔ ど クラウドでもW/ dge向け も と egion向け

も とがあり、できることが異なる✔ いずれもクラウド ネットワーク構成やサービスコンセプトが特徴として現れているが、基本要素「標準（ anaged）ルール 提供」「ルールエンジン」「アクション」「統合できるサービス」「ロギング」といったも で構成されている✔ （当然ながら）いずれ W もデフォルトルール 内部詳細 非公開。
どうして検知した か（リクエスト どこに問題があった か）について 明確に判断すること 難しい✔ ルールエンジンやアクションについて 、標準的なもいずれ W でも提供されている が、W について かなり細かい制御にも対応している（ただし、W というコスト 考え方が複雑）✔

zure,について ネットワークレベルで dgeを組み込んだ設計であったり、単純なルールベースで ないモデルベースで 防御機能がある（ W にも部分的に ある）が、ルールベースよりもさらにどうして検知した か 判断が難しい( ) yber ecurity loud , nc. 2023

21

目次

□ 会社紹介□ W について□ パブリッククラウド
anaged W■ 運用上 悩みポイント( ) yber ecurity loud , nc. 2023

22

W

運用上課題

そもそも 導入に際して、ど ようなルールをどれくらい入れれからない-

クラウド側が提供しているルールで十分な か提供されているも全部入れるべきな か
自前でルールを入れるに セキュリティ 知識に加えて、loud W 特有 仕様や制限にも精通しておく必要がある

誤検知が発生した際、ど ように対応すれ-よいか分からない

セキュリティレベルを落とさずに誤検知対応する
難しい
大手
サービス 高額だったり、日本語で 対応に難があることも新たに登場する個別-

いいか分

脆弱性へ 対応負担が大きい

脆弱性を追跡し、脅威を判断・対策する
するし負担も大きく、専任者をおかなけれ専門知識を必要と難しい( ) yber ecurity loud , nc. 2023

23

W

自動運用サービス「Waf harm」がお悩みを解決します「Waf harm」、クラウドW

自動運用サービスです。

アクセスログをもとに新たに発見した攻撃や新規脆弱性に対応するルール（シグネチャ）をWaf harmが自動で作成・更新する
で、 W Wとセットで利用することで専任とができます。あなたをWセキュリティエンジニアを必要とすることなく W W運用を円滑に行うこ運用から解放します。

( ) yber ecurity loud , nc. 2023

24

Waf harm 特徴1
強力な防御性能
お客様 環境に最適なルール（シグネチャ）を作成し自動適用します。
新たな脆弱性にもWaf harmが対応する で安心。

お客様ごとに最適な防御をご提供

数百も シグネチャでより強力に●最適シグネチャを自動選択●設定しているルールで●シグネチャ カスタマイズや新規作成可能●

設定したルール外●

最新

攻撃にも数百も シグネチャで再マッチング

脆弱性にも対応。新規シグネチャを迅に作成に、すぐに適用。

漏れる可能性も●再マッチングで攻撃認定したもlacklistに自動適用

面倒なルール作成

Waf harmにおまかせ( ) yber ecurity loud , nc. 2023

25

Waf harm 特徴2
導入から運用まで安心 サポート
導入から利用開始後もサポート面が充実しています。
24時間365日 日本語サポートがある で安心。

なにか困ったらサポートへ導入も運用も楽に●

専用機器設置や切り替えなど不要で導入がスムーズ●

Waf harm管理画面と W マネージドコン

●

日本語で

●

誤検知対応、ルール

24時間365日技術サポート
入れ替え、カスタマ

イズにも柔軟に対応

ソールから 設定で即時利用可能

導入もスムーズ、運用も手放しで( ) yber ecurity loud , nc. 2023

26

Waf harm 特徴3
改ざん検知機能を搭載
Webサイトが改ざんされていないかを毎日チェック
万が一 際に 通知でいち早くお知らせします。

高性能検知エンジンで毎日チェック

管理者へ即座にメール通知●●

登録されたWebサイト（）を日々継続的にチェックし、改ざん 可能性がないかを確認●

Webサイト

改ざんを検知した場合、登録した管理者

メールアドレスにすぐに通知

通知メール 内容：監視対象
当、該、検出された内容

改ざんにも対応、万が一もすぐにわかる( ) yber ecurity loud , nc. 2023

27

Waf harm システムアーキテクチャ( ) yber ecurity loud , nc. 2023

28

導入実績
多く お客様に導入いただき、 W W

自動運用サービス導入ユーザー数国内 o.1を達成しております。
Waf harm ユーザー数

W W

1,000以上

自動運用サービス

導入ユーザー数

国内o.1

日本マーケティングリサーチ機構調べ 調査概要：2020年7月期_実績調査

導入企業様
一例

( ) yber ecurity loud , nc. 2023

29

W

arketplaceで✔ 昨年11月より W
✔ 通常

販売も開始
arketplaceで全世界向けにWaf harm

販売開始

Waf harm 機能にWeb改竄検知機能を追加し、いくつか✔ 今年1月よりアイレット様にてで機能でもパワーアップ提供も開始

https://aws.amazon.com/marketplace/pp/prodview-crrflizdnl6pw

https://www.iret.co.jp/news/20230131.html( ) yber ecurity loud , nc. 2023

30

総括

✔ W と Webアプリケーション層 防御機構であり、シグネチャと呼✔ Webアプリケーション・セキュリティにおける代表的なリスク
W
ついてW が主たる防御機能を果たすれるルールを投入して使用する
10が知られており、こ 中 いくつかに✔

W / zure/といったクラウドベンダーが提供しているW があり、インフラレイヤー クラウド側によって管理されており、基本的に ルールを投入して対象サイトにアタッチして使用する。
✔ クラウドサービスとして コンセプトや特徴 あるも、基本要素「標準（ anaged）ルール 提供」「ルールエンジン」「アクション」「統合できるサービス」「ロギング」といったも で構成されている✔ これらを使用することで、自前でW を構築・運用する苦労が大幅に減らせるも、中に投入するルール 部分について 「専門知識が必要」「誤検知対応や新規脆弱性対応が負担」といった課題に関して 依然として残る✔ これら クラウド anaged W に「Waf harm」を併用することで、クラウド享受しつつ、運用も楽にすることができる可用性や信頼性を( ) yber ecurity loud , nc. 2023

31

ご清聴ありがとうございました。

( ) yber ecurity loud , nc. 2023

32