Imperva APP Secトレンド/再燃するATOとWeb APIセキュリティ (トレノケ雲の会 mod5)

Imperva AppSec トレンド
再燃する ATO と Web API セキュリティ
Imperva Japan
Hidehiro Ito – Sales Engineer
September 2019

はじめに
本資料の取り扱いについて
本資料に記載されている事柄は、予告なく変更されることがありますので、予めご了承ください。
本資料は「無保証」で提供され、市場性、特定の目的に対する適合性、または第三者の権利を侵害しないことを含むいかなる明示または暗示保証は一切付与されませ
ん。
Imperva , Inc. (以下「Imperva」といいます) は、本書に含まれる技術的および編集上の誤りと欠落について、また、本資料の内容の実行および使用に起因する直接的、
付随的、二次的、その他のあらゆる損害について、Impervaは、そのような損害の可能性について事前に知らされていた場合でも、一切責任を負いません。
本書には著作権により保護されている情報が含まれています。内部での配布を除き、Imperva, Inc.の事前の書面による許可なく、本書を、いかなる形式においても複写ま
たは複製することを禁じます。
Imperva製品の限定保証については、各製品の付属文書をご参照ください。Impervaは、Imperva製品のみを保証し、他社製品は一切保証いたしません。
製品リリース後の実際の情報と異なる場合、いかなる責任もImpervaは負わないこととします。
本書に記載されているその他のすべての商品名は、該当する各社の商標または登録商標です。
Copyright © 2019 Imperva, Inc., 3400 Bridge Parkway, Suite 200 Redwood Shores, CA 94065 United States All rights reserved.
2 © 2019 Imperva, Inc. All rights reserved.

セッションアジェンダ
このセッションでは…
クラウド上のアプリケーションセキュリティ分野で近年盛り上がりをみせている、API セキュリティとアカウント乗っ取り（Account Take Over）対策について、
紹介してみます
• 自己紹介
• API セキュリティの必要性とそれに対する取り組み
• アカウント乗っ取り攻撃の脅威とそれに対する取り組み

Who I am?
伊藤秀弘（いとうひでひろ）
• Senior Sales Engineer
• これまでの歩み
• 1991年～某総合電機メーカーの（いわゆる）情シス部門で開発・運用に従事
• 2000年～運用管理 S/W のベンダを経て、セキュリティ村へ
• IDS/IPS、脆弱性スキャナ、エンドポイントセキュリティ、メールセキュリティ、S/W 暗号化などのサポート、プリセールスなどを担当
• 2014年～ Imperva Japan 入社、おもにセールスエンジニアとして WAF、DB セキュリティ、クラウド WAF などなどを担当
TBC…

Who we are?
Imperva について
• 事業アプリケーション/データセキュリティ・ソリューションプロバイダ
• Impervaのミッション “To protect your data and applications from ever-changing attacks of cyber criminals”
• 設立 2002年
• 本社米国カリフォルニア州 Redwood Shores
• CEO Christopher Hylen
• CTO Kunal Anand
• 創業者 Shlomo Kramer、Amichai Shulman
• 従業員数 1,200＋
• 日本法人
• 株式会社 Imperva Japan
• 2007年設立代表：Lorne Fetzek
• 国内1次代理店様：
‒ マクニカネットワークス株式会社
‒ ソフトバンク・テクノロジー株式会社
‒ 株式会社ネットワークバリューコンポネンツ
‒ ＮＲＩセキュアテクノロジーズ株式会社
• お客様
• 325+
• government agencies & departments
• 425+
global 2000 companies
• 7 of the top 10
• global telecommunications providers
• 3 of the top 5
• US commercial banks
• global financial services firms
• global computer hardware companies
• global biotech companies
• global diversified insurance services

オンプレハイブリッドクラウド
DATA APIs
APPs
自組織外から
のアクセス
パートナー
顧客
請負業者
悪性 bot
攻撃者
自組織内から
のアクセス
正規ユーザ
特権ユーザ
悪意のある
関係者
不注意なユーザ
侵害された
アカウント
アプリケーション
の保護
CDN
ロードバランシング
WAF
RASP
DDoS
Bot プロテクション
データセキュリティ
& コンプライアンス
可視化/見える化
ポリシー
レポーティング
モニタリング
ブロッキング
マスキング
Attack Analytics
（AIソリューション）
Data Risk Analytics
（AIソリューション）
SIEM
Imperva のセキュリティビジョン

API セキュリティの章
7© 2019 Imperva, Inc. All rights reserved.

これらはほんの始まりにすぎない
“2022年までには、APIの悪用が最も頻繁な攻撃ベク
ターとなり、企業のWebアプリケーションのデータ侵害を引き
起こす可能性がある”
API を介したセキュリティインシデント
8 Proprietary and confidential. Do not distribute.

デジタルトランスフォーメーション - BUZZWORD?
さまざまなアプリケーションが日々稼働
e.g. Enterprise Apps, Web Apps, Mobile Device, Connected car etc.
• おなじ組織内の別部門も、運用にあたって個別要件をもつ → 複雑
• データはさまざまな場所に保存、さまざまな人たち／手段でアクセス → やっぱり複雑
➢ デジタルトランスフォーメーションを進めるうえで、データに対して最小限の労力で
アクセスすることは非常に重要 → 複雑性からの解放
単一エントリーポイントからあらゆるデータにアクセスできるととってもうれしい
• オンプレミス、パブリック／プライベートクラウドなど、どこからでもアクセス可能
• さまざまな法規制に準拠
• さまざまなプログラミング言語でデータを取得できる
• さまざまなサードパーティー製品との連携
9

従来型 Web セキュリティとのちがいを知る
• アクセスクライアントの分類・識別
→ よいボット？わるいボット？ブラウザ？
• 開発部門による管理
→ セキュリティ？そんなことより早くリリース！
• Web に対する一般的な攻撃への保護
→ SQLi？XSS？RFI？
• DDoS 攻撃に対する保護
→ BPS？RPS？PPS？
• ホワイトリスト型セキュリティについて
→ めんどくさい設定？頻繁な変更？
開発部門による管理
公開されたビジネスロジック
OpenAPI Specification
再利用
Mobile
Developer B2B
IoT
Machine
さまざまなアクセスクライアント
ボットネット / DDoS攻撃

Imperva API セキュリティ – 1
API 通信におけるさまざまな攻撃に対して、さまざまな手法を用いて保護（一部これから）
• 機械学習(API endpoints calls
flow, API call rate, device
finger print, Malformed data)
• ログ監査, 検出
• ポリシー自動適用
ポジティブセキュリティ
1
ネガティブセキュリティ
2
アノマリー検出
3
• セキュリティポリシー
• パラメータタイプ, フォーマット, パス
• HTTP方式 Website Security
DDoS Protection
Load Balancing
CDN & Optimizer

Open API(Swagger)ファイルのアップロードで瞬時にポリシーアップデート → ポジティブセキュリティモデル
• 3レイヤーAPI保護モデルで多層防御
• CI/CD(ビルド, テスト, 導入)の完全自動化をサポート
• DevSecOpsの実現で、品質を落とさずにソフトウェア開発ライフサイクルを高速化
• API管理ツール(AWS等)との連携
ポジティブセキュリティ
1
ネガティブセキュリティ
2
アノマリー検出
3
<Swagger ファイル>

API 向けセキュリティイベントログの出力結果。API 定義から違反したトラフィックを “API Specification
Violation” として検出

ATO 保護の章
14© 2019 Imperva, Inc. All rights reserved.

ATO（Account Take Over）- アカウント乗っ取り攻撃の実態
• サイバー犯罪者は、ハッキングされた資格情報を通じてアカウントにアクセスします
• 悪用可能な１つ１つのクレデンシャル情報は転売可能
• サイバー犯罪者が報酬を授与
TRUE STORY
© 2019 Imperva, Inc. All rights reserved.15
2018年、ATO による被害の総額
$5.1
Billion
多くの人が複数のデバイスでパス
ワードを使いまわしている
60%
全世界における資格情報の侵害数
7
Billion

ATO（アカウント乗っ取り攻撃）とは
Credential Stuffing（資格情報の詰め込み）の例 – 入手した資格情報をつめこんでみた
TEST CREDENTIALS GAIN ACCESS STEAL ASSETSHARVEST CREDENTIALS
ボットネット Web サーバー組織の情報資産攻撃者
E-Commerce
Financial Services
Healthcare
Stolen
Credentials
Credit Cards
Currency
Healthcare Records
Joe
X X X X X
S i g n I n
帯域幅の消費
(Consume bandwidth)
資産の侵害
ブランドダメージ
STUFFING！

従来型アプローチの課題を知る
複雑なパスワードの選択を強制してみた
→ 複雑なパスワードでさえハッキングされてしまった（パスワードの使いまわし）
多要素認証を強制してみた
→ 利用者の操作性に与える影響が大きい（めんどくさい）
→ よくできたフィッシングページに誘導、ワンタイムパスワードを窃取できる
IP レピュテーションで守ってみた
→ 送信元 IP アドレスはしょっちゅう変わる
WAF を使ってみた
→ WAFによる ATO 対策は一定効果が期待できるが、さまざまな回避攻撃に対応するには限界もある
© 2019 Imperva, Inc. All rights reserved.17

Imperva Account Take Over Protection - 1
導入について利用者への影響について検知と防御について
• 特別な構成変更、不要です
• すぐはじめられます
• アプリケーションの変更は不要です
• Web captcha は最小限に
• 操作性への影響も最小限に
• 体感的な遅延はほぼありません
• 攻撃者の意図をみえる化します
• シミュレーションによって過去データ
から想定影響をみつもります
• リスクベースで攻撃を緩和します

legitimate
Suspicious
Suspicious
Suspicious
High
Probability
Allow
Medium
Probability
Low
Probability
PoP
4段階の可能性（Probability）を
提示
↓
「Simulate」機能で
想定される影響度を確認
↓
「High」/「Medium」/「Low」
それぞれにアクションを設定
→ Block / Captcha / Alert
ATO Detection Engine

アカウント名サイト名
表示期間
表示期間中のログイン数推移期間中のリスク推移
期間中に検知
した攻撃情報
期間中の検知した攻撃情報
IP Geoロケーションベース

Advanced Detection（’19 年末リリース予定）
• ソースを識別する
• ボット？ブラウザ？
• 悪性ボット？
• ATO 攻撃の試み？
• 定義済みの状態で正確に攻撃の
試みを検出
• 遅延はほぼなし
• 実トラフィック、24x365 ラボによ
るワールドワイドクラスのセキュリ
ティインテリジェンス
POP
アクセスクライアントのフィンガープリント
レピュテーション
Login Anomaly Detection Engine
専門チーム
分類・識別人による行動の解析
PoP

ありがとうございました！

Imperva APP Secトレンド/再燃するATOとWeb APIセキュリティ (トレノケ雲の会 mod5)

More Related Content

Similar to Imperva APP Secトレンド/再燃するATOとWeb APIセキュリティ (トレノケ雲の会 mod5)

More from Trainocate Japan, Ltd.

Recently uploaded

Imperva APP Secトレンド/再燃するATOとWeb APIセキュリティ (トレノケ雲の会 mod5)