Webセキュリティの小部屋

Twitter のフォローはこちらから Facebook ページはこちら Google+ページはこちら RSSフィードのご登録はこちらから

ブログ

2014年3月11日
IPA がオープンソースのソースコード脆弱性検査ツールの紹介資料を公開しました

IPAテクニカルウォッチ「ウェブサイトにおける脆弱性検査手法の紹介(ソースコード検査編)」:IPA 独立行政法人 情報処理推進機構 IPA がオープンソースのソースコード脆弱性検査ツールの紹介資料を公開しました。 商用のソースコード脆弱性検査ツールで有名なものに、Fortify がありますが、お値段がかなりするので、試しに導入してみようとするのは、かなり難しいものがあります。 その点、若干の性能の...
>>続きを読む

2014年2月24日
ModSecurity のルールを全て適用したら 404 エラーが減って 403 エラーが激増した

このサイトは、ModSecurity を導入していましたが、実際に攻撃を防御するためのルールを、影響度の大きい基本ルール、SQL インジェクション、クロスサイトスクリプティングに限定していました。 これは、全てのルールを適用してしまうと偽陽性の発生確率が高まり、運用に支障が出るのを回避するためでした。もともとこの発想は、IPA が公開している以下の資料を元にしていました。Web サイトを運営...
>>続きを読む

2014年2月23日
ModSecurity のルールを全て有効にしました

最近、Web サーバーのログのチェックをしていると、Web サーバーに対する攻撃が非常に増えてきている傾向が見て取れます。ちょっと異常なレベルです。 このサイトでは、オープンソースの WAF である ModSecurity を導入しているのですが、有効にしているのは基本ルールと、クロスサイトスクリプティングと SQL インジェクションだけなんですよね。 それだけのルールでも、403 Forbidd...
>>続きを読む

2014年2月6日
Zenmap をインストールしようとしたらウィルス判定されてしまった

Zenmap は、オープンソースのポートスキャンツールとして有名な Nmap の GUI 版ですが、Windows にインストールしようとしたらウィルス検知にひっかかってしまいました。 Nmap は Netcat というツールを同梱しているのですが、Wikipedia によれば、Windows のウィルススキャナが Netcat をウィルスとして判定するようです。 netcatのWindows版...
>>続きを読む