BIG-IP ASMで対応するOWASP Top 10 - 2017年版
この投稿は、F5ネットワークスのシニア・ソリューション・デベロッパーであるPeter Silva のブログ投稿「The OWASP Top 10 - 2017 vs. BIG-IP ASM 」を元に、日本向けに再構成したものです。
OWASP Top 10の2017年正式版がリリースされましたので、BIG-IP ASMのWAF機能でどのくらい対応できるか概要を紹介したいと思います。
まず最初に、2013年版と2017年版の比較です。いくつかの新規項目の追加と、既存項目の統合が行われています。
では、BIG-IP ASMの対応状況を見ていきましょう。
|
|
Vulnerability |
BIG-IP ASM Controls |
|
A1 |
Injection Flaws インジェクション |
Attack signatures Meta character restrictions Parameter value length restrictions |
|
A2 |
Broken Authentication and Session Management 認証とセッション管理の不備 |
Brute Force protection Credentials Stuffing protection Login Enforcement Session tracking HTTP cookie tampering protection Session hijacking protection |
|
A3 |
Sensitive Data Exposure 機密データの露出 |
Data Guard Attack signatures (“Predictable Resource Location” and “Information Leakage”) |
|
A4 |
XML External Entities (XXE) XML外部実体参照(XXE) |
Attack signatures (“Other Application Attacks” - XXE) XML content profile (Disallow DTD) (Subset of API protection) |
|
A5 |
Broken Access Control アクセス制御の不備 |
File types Allowed/disallowed URLs Login Enforcement Session tracking Attack signatures (“Directory traversal”) |
|
A6 |
Security Misconfiguration セキュリティ設定のミス |
Attack Signatures DAST integration Allowed Methods HTML5 Cross-Domain Request Enforcement |
|
A7 |
Cross-site Scripting (XSS) クロスサイトスクリプティング(XSS) |
Attack signatures (“Cross Site Scripting (XSS)”) Parameter meta characters HttpOnly cookie attribute enforcement Parameter type definitions (such as integer) |
|
A8 |
Insecure Deserialization 安全でないデシリアライゼーション |
Attack Signatures (“Server Side Code Injection”) |
|
A9 |
Using components with known vulnerabilities 既知の脆弱性を持つコンポーネントの使用 |
Attack Signatures DAST integration |
|
A10 |
Insufficient Logging and Monitoring 不十分なロギングおよび監視 |
Request/response logging Attack alarm/block logging On-device logging and external logging to SIEM system Event Correlation |
新規に追加された「A4: XML外部実体参照（XXE）」の項目についても、すでにシグネチャで対応しています。
200018018 External entity injection attempt
200018030 XML External Entity (XXE) injection attempt (Content)
また、XXE攻撃は、XMLプロファイルによって汎用的な防御も可能です。
（DTDsを無効にして、"Malformed XML data"バイオレーションを有効にします）
また「A8:安全でないデシリアライゼーション」の対応策として、こちらも多くのシグネチャがすでに提供されています。
これらシグネチャの多くは、下記のように“serialization” や“serialized object” といった名前が含まれています。
200004188 PHP object serialization injection attempt (Parameter)
200003425 Java Base64 serialized object - java/lang/Runtime (Parameter)
200004282 Node.js Serialized Object Remote Code Execution (Parameter)
以上、OWASP Top10 2017年版のリリースにともなう、BIG-IP ASMのWAF機能の対応状況のご紹介でした。
関連リンク：
What’s New In The OWASP Top 10 And How TO Use It
Published Dec 12, 2017
Version 1.0
No CommentsBe the first to comment