Webアプリケーション脅威解析報告書...1位脆弱性スキャン 48.3% 2位サーバ運用妨害 13.8% 3位金銭的損害 12.7% 検知ルール割合 1位エクステンションフィルタリング

Webアプリケーション脅威解析報告書: 2015年上半期

目次

はじめに

Web脅威の動向のサマリー

Web攻撃動向の解析

1.WAPPLESルールによる検知Top10

2.OWASP 2013基準Web攻撃類型Top10

3.Web攻撃発信国Top５

4.Web攻撃の目的

5.WAPPLESルール別危険度

6.Web攻撃の月次推移

WAPPLESルールによる対応

1.OWASP 2013に対応するWAPPLESルール

2.危険度に対応するWAPPLESルール

3.Web攻撃の目的に対応するWAPPLESルール

付録

WAPPLESルールの紹介

2015年上半期Webアプリケーション脅威解析報告書

2

はじめに

本報告書では、ペンタセキュリティシステムズ株式会社(韓国本社)のWebアプリケーションファイアウォール

(WAF：Web Application Firewall)であるWAPPLESより収集された検知ログの統計情報から、当社のICS

(Intelligent Customer Support)のシステムを採用し解析した攻撃動向を記載しています。

本報告書の作成目的は、検知ログの統計データより解析されたWeb攻撃動向の情報を共有および提供する

ことによりWAPPLESを導入しているお客様に、より高いレベルのセキュリティサービスを提供することにあります。

本報告書では、Web攻撃動向を次のように各カテゴリにわけて解析しており、WAPPLESの26の検知ルールと

その危険度、OWASP2013の脆弱性TOP10、攻撃の発信国、攻撃を実行する目的、攻撃の月次推移などに

あわせたデータおよび解析結果を提示しています。その他、WAPPLESの26の検知ルールに対し、OWSAP 2013

脆弱性、危険度、Web攻撃を実行する目的にマッピングしたテーブルを提供することにて、WAPPLESを

導入しているお客様には、最近の攻撃の推移をより易しく理解して頂くように致します。

本報告書で採用している検知ログの統計データは、官公署を除外した、検知ログの統計情報の収集および利用に

同意しているお客様の1143のWAPPLESにて2015年1月1日から2015月6月30日までの期間を基準とします。

当該のデータには、お客様より収集した検知ログの統計データのみであり、個人情報およびWAPPLESの保護

対象の情報などは一切含まれていません。


3

Web脅威の動向のサマリー※

2015年上半期では、攻撃危険度は「中」であり、脆弱性スキャンを目的とした攻撃が最も多く見られています。

(WAPPLESルール別危険度の「中」の攻撃は68.8％、Web攻撃の目的の脆弱性スキャンの攻撃は、48.3％）

脆弱性スキャンの攻撃は、2014年下半期にも約2億6千万件の検知件数を記録し、最も多かった類型であり、

2015年上半期には前年度対比、さらに検知件数が約1億5千万件増加したことが分かりました。このような類の

攻撃は、WAPPLESのインバリッドHTTP(Invalid HTTP)、ディレクトリリスティング(Directory Listing)、エラー

ハンドリング(Error Handling)等の検知ルールにより、検知および遮断されるため、WAPPLESポリシー設定は、

インバリッドHTTP(Invalid HTTP)-「危険な HTTPの遮断」、ディレクトリリスティング(Directory Listing)-

「ディレクトリ漏洩に対応検知」、エラーハンドリング(Error Handling)-「１次レベル遮断設定」)を推奨致します。

OWASP Top 10 (2013) 基準では、機密データの流出(Sensitive Data Exposure)を目的とした試みが

29.9％で最も多く検知され、その次に適切な権限を持っていない者よる認証を迂回し、特定機能やデータに

アクセスする(Missing Function Level Access Control)試みが29.0％となりました。2015年上半期は、

第２次、３次攻撃のためのシステムの下調べとして脆弱性スキャンによる情報収集、個人情報を含む機密情報の

流出、そして、認証を迂回した管理者権限の獲が主な推移であることが分かりました。

特に、機密データの流出と関連した攻撃の中ではWebサイトを介しdll、conf、ini等のファイルにアクセスを試み、

システム構成情報を漏えいする攻撃があり、エクステンションフィルタリング(Extension Filtering）ルールにより

最も多く検知されました。また、脆弱性スキャンの場合、自動化された攻撃ツールを採用し、不正なリクエストを

発行し、そのレスポンスを以て脆弱性を把握するという試みがあり、インバリッドHTTP(Invalid HTTP)ルールにより

最も多く検知されました。このような類の攻撃が成功した場合、Webサイトの脆弱性情報の露出、Webサーバの

動作不能、機密情報漏えいに直結しますので、その対策に細心の注意を払うとともにWAPPLESポリシー設定を、

(エクステンションフィルタリング(Extension Filtering)-「安全な形式のみアクセス可能」)にすることを推奨します。

※ 詳細は、Web攻撃動向の解析を参考にしてください


4

Web攻撃の目的割合

1位脆弱性スキャン 48.3%

2位サーバ運用妨害 13.8%

3位金銭的損害 12.7%

検知ルール割合

1位エクステンションフィルタリング 42.5%

2位インバリッドHTTP 11.4%

3位リクエストヘッダフィルタリング 8.5%

危険度割合

緊急 10.7%

高 12.3%

中 68.8%

脆弱性の下調べ 8.1%

< 2015年上半期（2015.01.01~2015.06.30）のWAPPLESの検知統計情報サマリー >

Web攻撃動向の解析

1. WAPPLESルールによる検知Top10

本グラフは、WAPPLES検知ルール別に発生しているアラートの頻度を出力しています。2015年1月1日から

2015年6月30日までの間、エクステンションフィルタリング(Extension Filtering)ルールにより最も多く検知され、

その次がインバリッドHTTP (Invalid HTTP)、リクエストヘッダフィルタリング(Request Header Filtering)の

順となっています。

▶ エクステンションフィルタリング(Extension Filtering)は、通常Webサイトで使用されるファイル形式でなく、

脆弱性が存在するシステムファイル（例：dll、conf、iniなど）へのアクセスを検知します。これらのシステムファイルへの

アクセスが一般ユーザにアクセスが許可された場合、Webサーバの動作とWebサービスに深刻な影響を与えるため、

非常に危険です。

▶ インバリッドHTTP(Invalid HTTP)とリクエストヘッダフィルタリング(Request Header Filtering)は、

Webサイトの脆弱性を突いた攻撃を検知します。通常使用されるWebクライアントではなく、「The Slapper

Worm」等自動ツールを使った攻撃が頻繁に行われ、WAPPLESはこのような攻撃の属性を以て検知を行います。


5

エクステンションフィルタリング

インバリッドHTTP

リクエストヘッダフィルタリング

エラーハンドリング

バッファオーバーフロー

プライバシーアウトプットフィルタリング

URIアクセスコントロール

パラメータタンパリング

インクルードインジェクション

クッキーポイズニング

0 5 10 15 20 25 30 35 40 45

2.3%

42.5%

11.4%

8.5%

4.2%

5.2%

5.8%

6.0%

6.3%

7.6%


6

< 表1. WAPPLESルールによる検知Top 10 >

WAPPLESルール検知件数(件)

エクステンションフィルタリング(Extension Filtering) 605,976,612

インバリッドHTTP(Invalid HTTP) 162,775,470

リクエストヘッダフィルタリング(Request Header Filtering) 120,760,619

エラーハンドリング(Error Handling) 108,785,425

バッファオーバーフロー(Buffer Overflow) 89,903,023

プライバシーアウトプットフィルタリング(Privacy Output Filtering) 86,053,537

URI アクセスコントロール(URI Access Control) 83,011,503

パラメータタンパリング(Parameter Tampering) 73,508,382

インクルードインジェクション(Include Injection) 60,477,659

クッキーポイズニング(Cookie Poisoning) 33,413,130

※ 詳細数値情報は、WAPPLESを購入したお客様に配布される報告書のみで提供されます。

2. OWASP 2013基準Web攻撃類型Top10

本グラフは、WAPPLES検知ルールにより発生したアラート情報を、OWASP Top 10に照らし合わせ、攻撃を

類型化しています。2015年1月1日から2015年6月30日までの間、機密データの露出 (Sensitive

Data Exposure)の検知が最も多く発生し、その次に微細な差で機能レベルのアクセス制御の欠落

(Missing Function Level Access Control)の順となっています。

機密データの露出(Sensitive Data Exposure)ルールは、 OWASP Top 10 リスクのA6に該当する

セキュリティ脅威です。キャッシュカード番号、パスワード、病院診察記録などの機密情報が、暗号化されていない

データとして送受信、保存された場合、この攻撃のターゲットになります。個人情報および機密情報の保護の

重要性は日々高まっていますが、未だに多くのWebアプリケーションは、暗号化を反映せずにデータの送受信および

保存を行っています。暗号化システム又は権限別アクセス制御が反映されていない場合、簡単なトラフィックの

キャプチャでも電話番号や住所といった個人情報が盗まれ、悪用される恐れがあり、二次被害につながるため、

適切な対応策を設けなければありません。


7

< 表2. OWASP 2013基準Web攻撃類型Top10 >

A1. インジェクション

A2. 不完全な認証とセッション管理

A3. クロスサイトスクリプティング (XSS)

A4. 安全ではないオブジェクトの直接参照

A5. セキュリティの不適切な設定

A6. 機密でータの露出

A7. 機能レベルのアクセス制御の欠落

A8. クロスサイト要求偽造

A10. 検証されていないリダイレクトとフォワード

0 5 10 15 20 25 30

29.9%

12.7%

29.0%

3.5%

4.3%

11.8%

1.2%

1.5%

6.3%

OWASP Top 10 Web Application Security Risks 2013 検知件数(件)

A1. インジェクション(Injection) 150,849,501

A2. 不完全な認証及びセッション管理(Broken Authentication and Session Management) 34,899,397

A3. クロスサイトスクリプティング(Cross Site Scripting：XSS) 27,716,283

A4. 安全ではないオブジェクトの直接参照(Insecure Direct Object References) 280,343,319

A5. セキュリティの不適切な設定(Security Misconfiguration) 301,196,497

A6. 機密データの露出(Sensitive Data Exposure) 710,006,214

A7. 機能レベルのアクセス制御の欠落(Missing Function Level Access Control) 689,105,852

A8. クロスサイト要求偽造(Cross Site Request Forgery：CSRF) 101,224,665

A10. 未検証のリダイレクトとフォーワード(Unvalidated Redirects and Forwards) 83,011,503


Web攻撃発信国Top5 検知件数(件)

韓国 933,366,202

アメリカ 68,146,639

中国 59,274,548

タイ 30,857,771

日本 26,833,154

3. Web攻撃発信国Top5

本グラフは、WAPPLES検知ルールにより発生したアラートを発信元アドレスに基づいて国別に分類し、頻度の高い

攻撃発信国を出力しています。2015年1月1日から2015年6月30日までの間、2014年下半期と同じく韓国が

最も頻度の高い攻撃発信国であり、その次が、アメリカ、中国の順となっています。

2014年下半期と比べると、韓国からの攻撃が約3億件減少したことに対し、タイからの攻撃が3千万件ほど発生し、

タイが新たにTop5に上がったことが目立ちます。また、2014年下半期に攻撃検知件数が約860万件を記録し、

4位を占めた日本は、順位が5位に下がったのにも関わらず、攻撃検知件数が3倍の約2千7百万件に

上がりました。従って、2015年上半期には、日本とタイからの攻撃件数が急激に伸びたことが分かります。

※ 本報告書の解析対象としているデータは、韓国国内のサーバを保護対象としたWAPPLESに限定されているため、本攻撃発信国のランキングには全世界における攻撃の動向が反映されていることではありません。


8

< 表3. Web攻撃発信国Top 5 >

83.4%

韓国

6.1%

アメリカ

5.3%

中国

2.8%

タイ

2.4%

日本


4. Web攻撃の目的

本グラフは、WAPPLES検知ルールにより発生したアラートを、その実行の目的別ごとに分類し頻度を出力して

います。2015年1月1日から2015年6月30までの間、脆弱性スキャンを目的とした攻撃が約４億件（全体攻撃の

48.3％）で、最も多く検知されており、この次にサーバ運用妨害、金銭的損害の順となっています。特に脆弱性

スキャンの場合、前年比、約1億5千万件増加したことが確認され、インバリッドHTTP(Invalid HTTP)、

ディレクトリリスティング(Directory Listing)、, エラーハンドリング(Error Handling)のような脆弱性スキャンを

目的とした攻撃は、2次攻撃のための準備過程で採用されるため、さらなる被害が引き起こされる前に対策を

設けることがセキュリティへの第一歩です。

▶ 脆弱性スキャンは、自動化された攻撃ツールを用い、HTTP定義ではない不正なリクエスト(要求)および

レスポンス(応答)を返す(インバリッドHTTP)、RFC定義ではない不正なURIをリクエスト(要求)する(インバリッド

URI)、Webサイトのディレクトリ構造を漏洩する(ディレクトリリスティング)、意図的にエラーメッセージを表示させる

(エラーハンドリング)等を行い、Webサイトの脆弱性を洗い出す攻撃のための事前調査です。

▶ サーバ運用妨害は、Webサーバの正常運用を妨害することであり、不正な実行コードにより内部のバッファを

超えるようにする(バッファオーバープロ―)、リクエスト(要求)にて必要以上のメソッドおよびヘッダを送り付ける等が

あります。

▶ 金銭的損害は、認証を迂回するためにクッキー(ユーザの端末PCに保存されている個人情報)を改ざんし

攻撃を行い、他のユーザ情報を取得し、そのユーザになりすます(クッキーポイズニング)、不正なパラメータを挿入し

アプリケーション動作を妨害する(パラメータタンパリング)等、ユーザに対し金銭的損害を及ぼす恐れがあります。


9

48.3%

13.8%

12.6%

脆弱性スキャン

Webサイト改ざん

悪意あるコード挿入

情報漏洩

金銭的損害

サーバ運用妨害

12.7%

8.8%

3.8%

Web攻撃の目的検知件数(件)

脆弱性スキャン 406,475,137

サーバ運用妨害 116,584,506

金銭的損害 106,921,512

情報漏洩 105,984,733

Webサイト改ざん 73,787,669

悪意あるコード挿入 32,287,043

▶ 情報漏洩は、Webサイトに対し、住民登録番号(韓国)やクレジットカード番号のような個人情報を入力し

漏洩する(プライバシーインプットフィルタリング、プライバシーアウトプットフィルタリング)または、個人情報の

含まれているファイルをアップロードする(プライバシーファイルフィルタリング)等、ユーザの個人情報を不正に取得する

ことです。

▶ Webサイト改ざんは、特定のWebページを改ざんする（Webサイト改ざん）、SQLサーバにて実行される

コードに悪意あるコードを挿入し権限のないユーザが情報を取得し操作をする(SQLインジェクション)、Webサーバにて

実行可能な.exe, .jsp, .php等ファイルをWebサーバにアップロードする（ファイルアップロード）、悪意ある

スクリプト、ファイル、コードを挿入する（インクルードインジェクション）等、権限のないユーザがWebサイトを改ざん

および操作することです。

▶ 悪意あるコード挿入は、サーバの脆弱性を突いたTrojan、ウィルス等の不正なコードを挿入することであり、

悪意あるスクリプトコードを挿入することによってユーザ情報を出力させる(クロスサイトスクリプティング)、サーバ側に

スクリプトを挿入し悪意あるコマンドを実行し情報を取得する(ステルスコマンディング)、不正なアクセスにて悪意ある

コードを送り付けるなどの試みです。

※ Web攻撃の目的に対応するWAPPLESのルールについては、「WAPPLESルールによる対応－3. Web攻撃の目的に対応するWAPPLESルール」をご参考ください。


10

< 表4. Web攻撃の目的 >


5. WAPPLESルール別危険度

本グラフは、WAPPLESルールを対応への早急性に照らし合わせ、緊急、高、中、脆弱性の下調べといった

危険度にて分類し、攻撃の発生頻度を出力しています。 2015年1月1日から2015年6月30日までの間、

中レベルが最も頻度が高く、その次が高、緊急の順となっています。（危険度中レベルの攻撃は約10億5千万件で、

前年度下半期に比べ、約6億件増加）

※ WAPPLESルールの危険度は、OWASP Top10を基準とし当社にて分類したレベルです。

詳細は、「WAPPLESルールによる対応－2. 危険度に対応するWAPPLESルール」をご参考ください。


11

< 表5. WAPPLESルールごとの危険度 >

68.8%

中緊急

10.7%

高

12.3%

脆弱性の下調べ

8.1%

WAPPLESルール別危険度検知件数(件)

緊急 163,394,656

高 187,867,019

中 1,048,017,560

脆弱性の下調べ 123,044,845


6. Web攻撃の月次推移

本グラフは、対応への早急度の高い４つの攻撃に対しての月次の推移を出力しています。2015年上半期では、

前年度下半期の分析結果で2位だったバッファオーバーフロー(Buffer Overflow、非常に長いリクエストデータを

サーバに送り付け、リモートコード実行、サービス拒否、メモリアクセスエラー等を発生させることで、プログラムの正常

動作を妨げたり、任意のコマンドを実行させたりする攻撃)による攻撃が最も多く発生しました。この次に個人情報

漏えいを目的として行われるプライバシーアウトプットフィルタリング(Privacy Output Filtering)の順となっています。

これらの攻撃は攻撃難易度が高くない反面、攻撃が成功した場合、プログラム誤作動やWebサービス提供不能

状態、機密情報の漏えいなど致命的な損失に繋がる恐れがあるため、適切なセキュリティ対策を設け、対応する

必要があります。


12

危険度の高い攻撃 1月 2月 3月 4月 5月 6月

バッファオーバーフロー(Buffer Overflow)

26,593,078

15,941,112 13,637,622 11,483,132 9,232,440 13,015,639

Total 89,903,023

プライバシーアウトプットフィルタリング(Privacy Output Filtering)

15,045,735

14,421,172 15,841,339 11,871,506 8,779,382 20,094,403

Total 86,053,537

インクルードインジェクション(Include Injection)

11,340,240

2,985,014 7,117,644 13,117,607 10,468,214 15,448,940

Total 60,477,659

クッキーポイズニング(Cookie Poisoning)

4,012,431 4,720,120 6,411,431 8,958,816 5,688,452 3,621,880

Total 33,413,130

< 表6.「緊急」レベルの月ごとの攻撃推移 >

1月 2月 3月 4月 5月 6月

X 10000

3000

2500

2000

1500

1000

500

0

バッファオーバーフロー

プライバシーアウトプットフィルタリング

インクルードインジェクション

クッキーポイズニング


WAPPLESルールによる対応

1. OWASP 2013に対応するWAPPLESルール

OWASP(Open Web Application Security Project)では、Webアプリケーションセキュリティ上で発生頻度が

高く、他にも影響を及ぼす恐れのあるWeb脆弱性に関する報告書を作成しています。以下の表では2013年度

OWASPが発表した10代脆弱性とこれに対応するWAPPLESルールを切り分けて表示しました。


13

NO. OWASP 2013 WAPPLES Rules

1 インジェクション(Injection)

パラメータタンパリング（Parameter Tampering）

SQLインジェクション（SQL Injection）

ステルスコマンディング（Stealth Commanding）

インクルードインジェクション（Include Injection）

2不完全な認証およびセッション管理(Broken Authentication and Session Management)

クッキーポイズニング（Cookie Poisoning）

不正アクセス（Suspicious Access）

3 Cross Site Scripting(XSS) クロスサイトスクリプティング（Cross Site Scripting）

4安全ではないオブジェクトの直接参照(Insecure Direct Object References)

URIアクセスコントロール（URI Access Control）

インバリッドURI（Invalid URI）

ユニコードディレクトリトラバーサルUnicode Directory Traversal）

エラーハンドリング（Error Handling）


ステルスコマンディング（Stealth Commanding）

5セキュリティの不適切な設定(Security Misconfiguration)

ディレクトリリスティング（Directory Listing）

エラーハンドリング（Error Handling）

リクエストメソッドフィルタリング(Request Method Filtering）

インバリッドHTTP（Invalid HTTP）

ファイルアップロード（File Upload）

6 機密データ露出(Sensitive Data Exposure)

プライバシーファイルフィルタリング（Privacy File Filtering）

プライバシーインプットフィルタリング（Privacy Input Filtering）

プライバシーアウトプットフィルタリング（Privacy Output Filtering）

インプットコンテンツフィルタリング（Input Contents Filtering）

エクステンションフィルタリング（Extension Filtering）

Supported by transaction encryption function(e.g., TLS)

7不安全な機能レベルのアクセス制御(Missing Function Level Access Control)


ユニコードディレクトリトラバーサル（Unicode Directory Traversal）

エクステンションフィルタリング（Extension Filtering）

8クロスサイト要求偽造(Cross Site Request Forgery)

クロスサイトスクリプティング（Cross Site Scripting）


9既知の脆弱なコンポーネントを使用(Using Components with Known Vulnerabilities)

ALL

10未検証のリダイレクトとフォワード(Unvalidated Redirects and Forwards）


2. 危険度に対応するWAPPLESルール


14

レベル説明 WAPPLESルール

緊急Webサーバが完全にハッカーによって奪われ、操られているため、深刻な機密情報漏洩が懸念される

インクルードインジェクション(Include Injection)

プライバシーアウトプットフィルタリング(Privacy Output Filtering)

ステルスコマンディング(Stealth Commanding)

SQLインジェクション(SQL Injection)

高Webサーバを踏み台としハッキングが行われ、深刻な2次攻撃へと拡大される

プライバシーファイルフィルタリング(Privacy File Filtering)

リクエストメソッドフィルタリング(Request Method Filtering)

ファイルアップロード(File Upload)

インバリッドURI(Invalid URI)

バッファオーバーフロー(Buffer Overflow)

クッキーポイズニング(Cookie Poisoning)

クロスサイトスクリプティング(Cross Site Scripting)

中Webサーバの情報が改ざんされ、深刻な障害までは陥っていないが、限定された範囲内のWebサーバ上被害が懸念される

リクエストヘッダフィルタリング(Request Header Filtering)

URIアクセスコントロール(URI Access Control)

エクステンションフィルタリング(Extension Filtering)

Webサイト改ざん(Web Site Defacement)

インバリッドHTTP(Invalid HTTP)

不正アクセス(Suspicious Access)

ユニコードディレクトリトラバーサル(Unicode Directory Traversal)

パラメータタンパリング(Parameter Tampering)

脆弱性の下調べ本格的な攻撃のための準備の段階であり、脆弱性を洗い出し情報を収集する

ディレクトリリスティング(Directory Listing)

インプットコンテンツフィルタリング(Input Content Filtering)

エラーハンドリング(Error Handling)

レスポンスヘッダフィルタリング(Response Header Filtering)

3. Web攻撃の目的に対応するWAPPLESルール

Web攻撃の目的は、:

1. 攻撃を行うことによって、金銭的損害を及ぼすか、金銭的利益を得ることを狙っている

2. サーバーに負荷を与え、動作不能状態に陥るようにしてサーバー運用を妨害する

3. Web攻撃を実行するために、事前調査レベルで対象になるWebサーバの脆弱性をスキャンする

4. Webサイトを利用し、悪意あるコードを挿入しようとする

5. Webサイトの内容を任意で変更する（Webサイト改ざん）

6. 個人情報、サーバー情報、データベース情報などを漏洩させようとするなどが考えられます


15

Web攻撃の目的 WAPPLESルール

金銭的損害パラメータタンパリング (Parameter Tampering)

クッキーポイズニング (Cookie Poisoning)

サーバー運用妨害

不正アクセス (Suspicious Access)

リクエストメソッドフィルタリング (Request Method Filtering)

バッファオーバーフロー (Buffer Overflow)

脆弱性スキャン

インバリッドURI (Invalid URI)

インバリッドHTTP (Invalid HTTP)

リクエストヘッダフィルタリング (Request Header Filtering)

エラーハンドリング (Error Handling)

ディレクトリスティング (Directory Listing)

レスポンスヘッダフィルタリング (Response Header Filtering)

悪意あるコード挿入ステルスコマンディング (Stealth Commanding)

クロスサイトスクリプティング (Cross Site Scripting)

Webサイト改ざん

インクルードインジェクション (Include Injection)

ファイルアップロード (File Upload)

SQLインジェクション (SQL Injection)

Webサイト改ざん (Web Site Defacement)

情報漏洩

SQLインジェクション (SQL Injection)

ユニコードディレクトリトラバーサル (Unicode Directory Traversal)

プライバシーアウトプットフィルタリング (Privacy Output Filtering)

プライバシーファイルフィルタリング (Privacy File Filtering)

プライバシーインプットフィルタリング (Privacy Input Filtering)

付録

WAPPLESルールの紹介


16

WAPPLESルール説明

バッファオーバーフロー(Buffer Overflow）

Webサーバに対しメモリ上Bufferをオーバーさせるような制限値より大きなサイズのデータを遮断

クッキーポイズニング(Cookie Poisoning）

認証情報のような重要なデータが含まれているCookieの認証のためのMAC(Message Authenticity Code)より判断をし、改ざんを遮断

クロスサイトスクリプティング(Cross Site Scripting）

クライアント側にて実行可能な悪意あるスクリプトコードを挿入する試みを遮断

ディレクトリリスティング(Directory Listing）

Webサーバのファイル、ディレクトリのトポロジー(構造)の外部漏洩を遮断

エラーハンドリング(Error Handling）

Webサーバ、WAS、DBMSサーバなどの情報が含まれているエラーメッセージを遮断.

エクステンションフィルタリング(Extension Filtering）

悪意あるユーザより利用される恐れのある拡張子を持つファイルへのアクセスを遮断

ファイルアップロード(File Upload）

Webサーバ側にて実行可能なファイルのアップロードを遮断

インクルードインジェクション(Include Injection）

Webサーバにて実行可能なファイルの挿入を遮断

インプットコンテンツフィルタリング(Input Content Filtering）

Webサイトのような公開ページ上他人を不愉快にさせる言葉を遮断するか、指定した言葉に変換

インバリッドHTTP(Invalid HTTP）

RFC 2068-HTTP/1.1基準プロトコルに準じていないアクセスを遮断

インバリッドURI(Invalid URI）

RFC 2068-HTTP/1.1基準プロトコルに準じ定義されている形式ではないURIへのアクセスを遮断

IP遮断(IP Black）

同じ発信元より一定の時間内閾値以上の不正なアクセスが検知されると発信元のアクセスを一時的に遮断

IPフィルタリング(IP Filtering)

指定した特定のIPのセグメントや国からのアクセスを遮断

パラメータタンパリング(Parameter Tampering）

Webサイトよりリクエストされていないパラメータを挿入し送り付けるか、Webサーバから転送されたパラメータを改ざん

プライバシーファイルフィルタリング(Privacy File Filtering）

個人情報が含まれているファイルのアップロードおよびダウンロードを遮断


17

WAPPLESルール説明

プライバシーインプットフィルタリング(Privacy Input Filtering）

掲示板やWebページのような公開ページ上個人情報(クレジットカード番号、メールアドレス）の書き込みによる露出を遮断

プライバシーアウトプットフィルタリング(Privacy Output Filtering）

掲示板やWebページのような公開ページ上個人情報(クレジットカード番号、メールアドレス）が漏洩される恐れのある場合、遮断および一部に対しマスキング処理

リクエストメソッドフィルタリング(Request Method Filtering）

安全ではないHTTPリクエストのメソッドを遮断

レスポンスヘッダフィルタリング(Response Header Filtering）

HTTP レスポンスにてWebサーバおよびWASの情報を削除

SQLインジェクション(SQL Injection）

データベースに対しの不正なSQLクエリ文の試みを遮断

ステルスコマンディング(Stealth Commanding）

Webサーバ上特定のコマンドを実行するリクエストを遮断

不正アクセス(Suspicious Access）

Webブラウザからの正常なリクエストではない自動化されたツールによるアクセスを遮断

ユニコードディレクトリトラバーサル(Unicode Directory Traversal）

Webサーバのユニコード関連の脆弱性を利用するディレクトリおよびファイルへのアクセスを遮断

URIアクセスコントロール(URI Access Control）

特定のURIやファイルへのアクセスを制御

Webサイト改ざん(Website Defacement）

Webページが改ざんされた場合、検知し復旧ページを出力

ペンタセキュリティシステムズ株式会社

東京都新宿区四谷四丁目3-20 いちご四谷四丁目ビル３F 〒160-0004TEL. 03-5361-8201 FAX. 03-5361-8202 / www.pentasecurity.co.jpお問い合わせ. [email protected]

Yeouido, Seoul www.pentasecurity.com

Houston, Texas www.pentasecurity.com/en

Copyright 1997-2015 Penta Security Systems Inc. All rights reserved.

Penta Security Systems Inc. [KOREA]

Penta Security Systems Co. [U.S.A.]

Documents

Webアプリケーション 脅威解析報告書...1位脆弱性スキャン 48.3% 2位サーバ運用妨害 13.8% 3位金銭的損害 12.7% 検知ルール 割合 1位エクステンションフィルタリング

Webアプリケーション脅威解析報告書...1位脆弱性スキャン 48.3% 2位サーバ運用妨害 13.8% 3位金銭的損害 12.7% 検知ルール割合 1位エクステンションフィルタリング