[stalk:01486] Re: Web Server 用 IPS( or IDS)

[Yutaka Kokubu <bun@xxxxxxxxxx>]

こんにちは、国分です。

> > ウェブサーバーの手前でリバースプロキシ的に置いて使うことのできるIPS（もし
> > くはIDS）を探しています。アプリケーション層でHTTPを中継して、そのリクエス
> > トやレスポンスをコントロールできるようなものです。
> 
> CodeSeeker が求めているものになるのでは、と期待しているのですが、
> まだ開発段階のようですので、なんとも言えません。
> http://www.owasp.org/codeseeker/

Codeseeker-1.0-Beta-1 が出ていたので、見てみました。
ちょっと使った感じ、リバースプロキシに IDS のようなシグネチャを持たせて、
それにマッチするリクエストが来るとブロックする、といった動作をしています。
シグネチャは XML で書かれているので、好きにカスタマイズができそうです。

検知した場合の動作としては、
・カスタムページを返す
・他のページへリダイレクトする
・素通し
の３種類。
通知方法は、
・メール
・Syslog
・NT Event Log
・ログファイル
が選択でき、不正と判断されたHTTPリクエスト全文を記録できました。

また、ブロックすると決めたらブロックするだけなので、
リクエストの一部を操作してから Web サーバに送る、
といったことはできませんでした。
同様に、Web サーバからのレスポンスの一部を操作してクライアントに送信する、
もできなさそうです。


シグネチャベースなので、攻撃パターンがほぼ決まってるような場合
例えば HTTPD や アプリケーションパッケージの防御にはよいかもしれませんが、
独自アプリケーションはまともに防御できそうにありません。

-- 
Yutaka Kokubu <bun@xxxxxxxxxx>
--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　　　　　　 チャンス満載！　これであなたも　億万長者！？
　　　　　　　　 http://ap.infoseek.co.jp/kenshou2.html