マジセミドライブ

ウェビナー関連のニュースやITサービス＆ツールの最新情報を随時配信します。

TOP
記事一覧
【ツール紹介】無料オープンソース「 WAF 」(Web Application Firewall)まとめ3選

おすすめITセミナー資料

2022.09.15

【ツール紹介】無料オープンソース「 WAF 」(Web Application Firewall)まとめ3選

無料オープンソース「 WAF 」(Web Application Firewall)まとめ3選として、
以下の概要を紹介しています。

1⃣nginx向けWAF「Naxsi」
2⃣Apache+IIS+Nginx用WAFエンジン「ModSecurity」
3⃣リクエストインターセプトWAF「Shadow Daemon」

※「AWSを安心安全に利用する方法」に関するセミナー資料(32ページ)を無料で参照できます。

無料オープンソース「 WAF (Web Application Firewall) 」まとめ3選

1⃣nginx向けWAF「Naxsi」

概要

「Naxsi」(Nginx Anti Xss & Sql Injection)は、
オープンソースWebサーバ「nginx」向けの低ルールメンテナンス「WAF」です。

・nginxのサードパーティモジュールとして動作
・UNIXライクプラットフォーム用パッケージとして利用可能
・Webサイトの脆弱性に関連する既知パターンの99%を含むサブセットを読み取る

特徴

■ホワイトリスト登録
・ホワイトリストに登録するための特定ルール追加
・nginxのエラーログを分析してホワイトリストを手動追加
・Webサイト動作に関するホワイトリストルールを自動的に生成する自動学習フェーズ

■「DROP-by-default」ファイアウォール
・ターゲットWebサイトが適切に機能するために必要なACCEPTルール追加

■非シグネチャベース
・アンチウイルスのようなシグネチャベースに依存しない
・「未知の攻撃パターン」の回避は難しい

オフィシャルサイト

→github.com　→nbs-system/naxsi

2⃣Apache+IIS+Nginx用WAFエンジン「ModSecurity」

概要

「ModSecurity」は、オープンソースのクロスプラットフォームWAF エンジンです。

「Apache」「IIS」「Nginx」で動作します。

特徴

・Webアプリケーションに対するさまざまな攻撃からの保護を提供
・HTTPトラフィック監視機能
・ロギング機能
・リアルタイム分析機能
・堅牢なイベントベースのプログラミング言語
・「ModSecurity SecRules」形式で記述されたルールをロード/解釈
・コネクタを介してアプリケーションによって提供
・HTTPコンテンツに適用する機能を提供

オフィシャルサイト

→github.com　→SpiderLabs/ModSecurity

3⃣リクエストインターセプトWAF「Shadow Daemon」

概要

「Shadow Daemon」は、アプリケーションレベルでリクエストをインターセプトするWebアプリケーションファイアウォールです。

特徴

■使いやすさ
・簡単インストール
・明確かつ構造化されたWebインターフェース
・攻撃を詳細に調査可能

■リクエストインターセプト
・アプリケーションレベルで小さなコネクタを使用してリクエストをインターセプト
・「分析されたデータ」と「Webアプリケーションの入力データ」が同一であることを保証

■正確な検出
・ブラックリスト：正規表現を利用して既知の攻撃パターンを検索
・ホワイトリスト：ユーザー入力の不規則性を検索
・整合性チェック：「実行されたスクリプトの暗号化チェックサム」と「事前定義された値」を比較
・これらを組み合わせることで、Web アプリケーションに対するほぼすべての攻撃を検出
・誤検出率は非常に低い

■攻撃検出
・SQLインジェクション
・XMLインジェクション
・コードインジェクション
・コマンドインジェクション
・クロスサイトスクリプティング
・ローカル/リモートファイルの包含
・バックドアアクセス

■リクエストの危険な部分のみを除去
・「悪意のあるリクエスト」を完全にはブロックしない
・リクエストの危険な部分のみを除去し処理を続行

■安全なアーキテクチャ
・Webアプリケーションが受信するのとまったく同じ入力を受信
・攻撃難読化による検出回避はほぼ不可能
・セキュリティ基準を保証するために「Shadow Daemon」のコア部分はWebアプリから分離