Barracuda Web Application Firewall アノニマスによる攻撃に対して準備および防御するためのベストプラクティス バラクーダセントラルのセキュリティアナリストはオンライン犯罪者 政治的攻撃ハッカー および国家さえもが引き起こす最近相次ぐ DDoS( 分散型サービス拒否 ) 攻撃を絶えず監視しています 本書では 政治的ハッカーが引き起こす攻撃の概要について ツールと攻撃方法を含めて説明します また このような攻撃を防御するためのベストプラクティスをご紹介します 非常に曖昧に連携する政治的攻撃ハッカー集団のメンバー達は アノニマス (Anonymous) と自称しています アノニマスが好む攻撃ベクトルは LOIC(Low Orbit Ion Cannon) による DDoS 攻撃 および情報搾取に使用される SQL インジェクション攻撃であり 通常 アノニマスは従来のハイメンテナンスなボットネットを攻撃に使用しません アノニマスとそのターゲットの詳細については これまでも解説されているため 本書では割愛します Barracuda Web Application Firewall は このような脅威に対抗するために レイヤ 3~7 の構造に対する完全な可視性をこのような攻撃の阻止に利用できる 強力なプロキシアーキテクチャの WAF/ADC です LOIC アノニマスはターゲットサーバに対して DDoS 攻撃を行うためのツールとして LOIC を使用します 攻撃の発案者は ソーシャルネットワーキングなど様々な手段で 攻撃に参加する多数のボランティア攻撃者を募集します ボランティア攻撃者は LOIC の攻撃クライアントをダウンロードするか LOIC の JavaScript バージョン JS LOIC をコンテンツとして保有する Web ページにアクセスします JS LOIC の場合は クライアント PC に何もインストールする必要がありません LOIC のようなツールを利用することで 技術力の乏しいボランティア攻撃者を攻撃の輪に加えることを可能にしています
基本的に LOIC はターゲットサーバに大量のリクエストを絶えず送信します このようなリクエストはターゲットサーバに対する複数の HTTP パケット UDP パケット または TCP リクエストである場合があります JS LOIC JS LOIC は LOIC の JavaScript バージョンです これを使用するには ボランティア攻撃者が JS LOIC をコンテンツとして公開しているページの URL にアクセスするだけです ユーザには Twitter などのソーシャルメディアで URL が通知されます ボランティア攻撃者がその URL にアクセスすると JavaScript がブラウザで自動的に実行されます 本書の執筆時点では LOIC の JavaScript バージョンは HTTP 攻撃の実行に制限されています この攻撃ベクトルは PC ラップトップ Mac スマートフォン タブレットなど すべてのデバイスのすべての種類のブラウザで すべてのユーザが攻撃の一部になる可能性があるため 非常に危険です アノニマスによる攻撃を防御するためのベストプラクティスこのような攻撃を防御するための主な目標は Web サイトの正規のユーザを攻撃者と区別することです Barracuda Web Application Firewall は 必要な " 敵味方 " の識別を実行するために 下記のような攻撃に対する多層的な防御を実装しています ステップ 1: プロトコルの基本を検証標準的なブラウザは長い間 HTTP プロトコルを実装してきたため HTTP プロトコルの規格に確実に準拠しています 一方 攻撃中に使用されるツールの多くは HTTP プロトコルの詳細を十分に調査していないため 正しく解釈されていません Barracuda Web Application Firewall のプロトコル検証エンジンは このような差異を検出し 攻撃の開始前の阻止にさえ利用します ステップ 2: GeoIP インテリジェンスを利用アノニマスによる攻撃では 攻撃の深刻性が地域的か世界的かに関係なく 参加者は通常 2
世界中に存在します たとえば Visa/MasterCard に対する攻撃の参加者は世界中に分散していました アノニマスは国籍に関係なく 怒りの矛先をすべての国家主体と大企業に向けているため 世界中の人が攻撃に参加しています このような攻撃を軽減する簡単で有効な方法は Web アプリケーションの主要なユーザではない地域からのクライアントトラフィックをブロックすることです Barracuda Web Application Firewall には 攻撃者の IP アドレスを地理的場所にマップできる GeoIP モジュールが組み込まれています 約 30~70% の攻撃トラフィックは GeoIP を制御するだけでブロックできます ルールは すべての大陸または選択した複数の国に設定できます ( 本 GUI は入稿時には英語画面ですが 将来的に日本語 GUI で提供されます ) ステップ 3: デフォルトの LOIC 署名を使用するリクエストをブロック上記のスクリーンショットが示すとおり JS LOIC ではランダムな文字とメッセージをリクエストに追加できます これは報復メッセージの送信のみのためではありません ブラウザのローカルキャッシュがレスポンスに使用されないように 技術的な理由でも必要です そうしないと リクエストがターゲットに到達しません Barracuda Web Application Firewall の強力な拡張マッチエンジンは このような署名に対する許可 / 拒否 ACL を非常に簡単に作成できます LOIC ツールで追加されるパラメータの名前が "msg" と "id" であり 追加されるメッセージが "anonymous_msg" である場合は 下記のマッチを含む拒否 ACL を簡単に定義できます (Parameter msg ex ) (Parameter id ex ) (URI-path co anonymous_msg) すべての構文を記憶する必要はありません この拡張マッチウィザードでは WYSIWYG の UI で このようなカスタムシグネチャを定義できます 3
この設定では アプリケーションをターゲットにする可能性がある攻撃スクリプトでデフォルト設定が使用されません しかし 能力の高い攻撃者はパラメータを頻繁に変更して このような検出とブロックの基本的な機能を阻止できます このため 速度に基づく高度な制御で このルールセットを強化する必要があります 4
ステップ 4: 不正なリクエストを送信する高速な攻撃者を識別およびブロック Web サイトには 1 日に数十万人の一意のユーザがアクセスする可能性があります 通常 アノニマスによる攻撃は 数千人の攻撃者が一斉に引き起こします MegaUpload の閉鎖に抗議する攻撃の際には 約 5,000 人 ( 一意の IP アドレス ) が攻撃に参加しました この 5,000 個の IP アドレスを識別できると サイトにアクセスする他のユーザはサービスを確実に使用できます ブルートフォース防御機能では このような IP アドレスを簡単にブロックし ブラックリストに記載できます LOIC ツールでは 有効な Cookie と Referrer が存在しない大量のリクエストが送信されます 下記のブルートフォース防御ルールでは このようなリクエストがキャッチされてブロックされます また 有効な Cookie と Referrer ヘッダがなくても 特定のクライアント IP からのすべての受信リクエストが検証されます リクエスト数が 30 秒の間隔以内にしきい値 5 を超過した場合は 設定可能な間隔で その IP がブロックされます この間 攻撃者の IP からの後続のすべてのリクエストはレイヤ 4 で拒否されます URL マッチ /* 拡張マッチ (Header Cookie nex ) (Header Referer nex) シーケンス番号 1 カウント間隔 30 IP ごとの最大許容アクセス数 5 正規のクライアントは影響を受けません 新しいクライアントからの最初のリクエストは 後続のリクエストと異なり Cookie と参照元がなくても受信できるためです ステップ 5: 攻撃者をロックアウト攻撃者と認定されたクライアントからの通信を指定の間隔で確実にブロックする必要があります Barracuda Web Application Firewall のアクションポリシーは すべての攻撃タイプのロックアウトをサポートしています 5
ステップ 6: SYN フラッド攻撃を防御 LOIC ツールの 1 つのオプションは TCP SYN フラッド攻撃です 数千人の攻撃者が SYN フラッドを送信すると ターゲットサーバの TCP バッファが消耗され その結果 新しいリクエストを処理できなくなります このような攻撃を防御するには Barracuda Web Application Firewall で SYN Guard を確実にオンにします ステップ 7: UDP/ICMP フラッドを防御このステップは このようなフラッドがサーバまたはアプリケーションファイアウォールに到達する前に ネットワーク境界で実行することが最適です しかし Barracuda Web Application Firewall は このようなトラフィックをブロックするための ACL( アクセス制御リスト ) を作成できるフル機能のネットワークファイアウォールを実装しています ステップ 8: ISP およびアップストリームネットワークと連携全容量が 3 Mbps の T1 回線が 2 本ある一方 攻撃トラフィックが 100 Mbps であるなど 受信回線がパケットフラッドで完全に消耗されている場合は ネットワーク境界または ISP レベルで攻撃に対処する必要があります ISP が DDoS 対策ソリューションを準備し 適切な連絡先を用意していることを確認する必要があります 他の DDoS 軽減戦略通常 アノニマスによる攻撃は一時的です アノニマスは 十分な時間 十分な人数のボランティア攻撃者を募集できる場合 攻撃でサイトを使用不能にすることができます しかし そのほとんどがデスクトップクライアント PC やモバイルデバイスを使用するボランティア攻撃者であるため 攻撃は長時間 持続しません しかし ボットネットからの攻撃は はるかに攻撃的です このような攻撃は ゾンビマシンのインフラストラクチャと攻撃の動機がはるかに大規模であるため 数日間 持続する可能性があります Barracuda Web Application Firewall の主要なプロキシアーキテクチャは 他のソリューションと異なり 複数のアプリケーション DDoS 攻撃の軽減に役立ちます ステップ 9: " スロークライアントアタック " をブロックこれは下記の理由で検出とブロックが非常に困難な " 低速 " のアプリケーションレイヤ攻撃です プロトコルに準拠しているため 警告が表示されない ネットワーク帯域を占有せず ターゲットサーバのリソースをひそかに浸食し停止させる たとえば Slowloris と RUDY(R-U-Dead-Yet) による攻撃では HTTP の部分的な GET または POST リクエストを コネクションを維持する為に非常にゆっくりした速度でサーバに送信し続けます このため Web サーバは タイムアウトで切断できず コネクションのクローズを永久に迎えることができません このため 断片的なリクエストにリソースが割り当てられたままになり サーバは最終的にリソースの消耗で停止します Barracuda Web Application Firewall は サーバが攻撃されないように 高度なアダプティブタイムアウトアルゴリズムを駆使し このようなリクエストをプロキシアーキテクチャでバッファして監視します ステップ 10: IP レピュテーションを利用して不正なトラフィックを拒否ボットネット攻撃では C&C サーバ ( コマンド & コントロールサーバ ) がゾンビマシンにターゲットサーバの攻撃を指示します スパム バンキング系トロイの木馬 DDoS などによる 6
攻撃に特化したボットネットが存在します バラクーダセントラルは この分野で数千のセンサを使用して ボットネットを絶えず監視しています そうしてボットネットに感染した IP アドレスをブラックリストに記載する最新の IP レピュテーションデータベースになります Barracuda Web Application Firewall は ボットネットだけでなく 匿名でオープンなプロキシとサテライト ISP もブロック可能です これは 予備調査や APTs( アドバンスドパーシスタントスレット攻撃 ) の実行にハッカーがよく使用します ステップ 11: サーバリソースと計算能力を最適化コンピュータリソースは インターネットの普及とモバイルおよびクラウドコンピューティングの増加が原因で 窮地に立たされています サーバのフロントエンドに Barracuda Web Application Firewall を設置することによって 堅牢な ADC( アプリケーションデリバリーコントローラー ) に変貌します これにより サーバの負荷は大幅に削減され 攻撃中のサーバの可用性は向上します 下記のとおり 複数の最適化機能が実装されています TCP 多重化 SSL オフロード キャッシュと圧縮 インテリジェントコンテンツルーティング AAA( 認証 承認 およびアクセス制御 ) オフロード 上記を組み合わせると サーバの負荷を 50% 以上削減できます ステップ 12: 拡張性の高いサーバインフラストラクチャを構築通常 攻撃は広く認知されて強い影響を及ぼすように アクセスが集中している時間帯に実行されます Barracuda Web Application Firewall を使用すると DDoS 攻撃を大幅に軽減できます しかし 通常のアプリケーション Web データベースサーバなどの通信でさえ サーバインフラストラクチャを停止させてしまいます Barracuda Web Application Firewall のモデル 460 以上には サーバファーム間で負荷を分散するためのインテリジェントロードバランスとアプリケーションコンテンツルーティングが組み込まれています バックアップコンピュータリソースを割り当てて 予期しない負荷に対処することもできます SQL インジェクション攻撃アノニマスのハッカーは sqlmap Havij などのさまざまな自動 SQL インジェクションツールと手動の侵入テストでターゲットを予備調査します バックエンドデータベースから情報を搾取し 個人情報などの機密情報を外部に漏洩して ターゲット組織を困惑させ 危険にさらすことが主な目的です Barracuda Web Application Firewall は ポジティブセキュリティとネガティブセキュリティを組み合わせる事によって SQL インジェクション攻撃をブロックします ネガティブセキュリティ Barracuda Web Application Firewall は Web アプリケーションの入力フィールドで SQL 言語の文法と構文を検出し 高度に調整された正規表現の文法に基づいたシグネチャを利用しています 例は下記のとおりです http://www.mydomain.com/products/products.asp?productid=123 UNION SELECT user-name, password FROM USERS "union" "select" などのみを検出してブロックすると 誤検知が発生する可能性が十分あります しかし Barracuda Web Application Firewall では UNION 英数字 SELECT 英数字 FROM などの順に構成されたコンテンツを検知する下記のような文脈検出シグネチャが利用されています 7
union.*[^[:alnum:]]select.*[^[:alnum:]]from[^[:alnum:]] 上記のようなシグネチャによって 構文 難読化コードにとらわれずに SQL インジェクションを確実にブロックし その一方で 正しい SQL コマンドは通過させることで誤検知を最小限にとどめます さらに 正規化モジュールは シグネチャルールマッチに先立ち UTF-8 コンテンツエンコードや SQL コマンドなどの難読化コードを無害化処理も行います 新アプリケーションや既存のアプリケーションを更新しても 他社のように " 再学習 " 期間を必要とせず すぐに防御されます これにより 高速なパフォーマンスを維持したまま アプリケーションセキュリティの管理工数も非常に少なく押さえることが可能です ポジティブセキュリティ ポジティブセキュリティでは FORM および URL パラメータの値が事前に登録されたホワイトリストによって精査されます たとえば ある入力フォームの "Age( 年齢 )" というパラメータには 0~120 の数値しか受け付けない設定とします それ以外の他のすべては拒否されます これをすべての URL パラメータに設定していくとなると 大規模なサイトの管理工数は膨大になります Barracuda Web Application Firewall は アダプティブプロファイル機能を使用して リクエストとレスポンスのトラフィックから このようなアプリケーションプロファイルを " 学習 " して自動生成できます また このプロファイルを適用し すべての異常をブロックします しかも業界で唯一 プロファイルの学習中でさえ完全なセキュリティを提供する事が可能です 我々バラクーダネットワークスのセキュリティアナリストは アノニマスが使用するツールを絶えず評価し Barracuda Web Application Firewall で すべての攻撃を確実にブロックできるように さまざまな防御技術の研究を日々行っています お問い合わせ先 : バラクーダネットワークスジャパン株式会社 http://www.barracuda.co.jp/ E-mail: jpinfo@barracuda.com Tel: 03-5436-6235 8