JAWS DAYS 2020 Lunch Session. 2019/11 にリリースされた、new AWS WAF の概要と課題、WafCharm を紹介します。

1. new AWS WAF update
概要と AMRの選び方
でも足りないこと
JAWS DAYS 2020
- Lunch Session -

2. 取締役 CTO 渡辺 洋司
大手IT企業の研究開発のコンサルティングを手掛ける企業におい
て、クラウドシステム、リアルタイム分散処理・異常検知の研究
開発に携わる。
2016年 株式会社サイバーセキュリティクラウド CTOに就任
2017年 取締役CTOに就任
難しいと思われがちなセキュリティを簡単にすべく
日々サービス開発しております。
【略歴】
株式会社サイバーセキュリティクラウド

3. Table Of Contents
1. Web サイト公開してますか？
2. サイバー攻撃で発生する様々なリスク
3. Web Application のセキュリティ対策
4. About WAF
5. About AWS WAF
6. new AWS WAF
7. Managed Rule Groups
8. AWS Managed Rule rule group list
9. 各社 Managed Rule rule groups
10. 足りないこと
11. WafCharm

4. W e b サ イ ト 公 開 し て ま す か ？
 今や企業活動において欠くことができないWebサイト
 Web サイトは多くのソフトウェアの仕組みで実現されています
 ソフトウェアにはバグやセキュアでないプログラムが潜んでおりサイバー攻撃
の対象となってしまいます。
 サイバー攻撃の被害として様々なリスクが想定されれます。

5. サ イ バ ー 攻 撃 で 発 生 す る 様 々 な リ ス ク

6. W e b A p p l i c a t i o n の セ キ ュ リ テ ィ 対 策
Web Application をリスクから守るための様々な対策があります
1. 企画・設計段階からのリスク評価／セキュアコーディング
● CERT Secure Coding | Top 10 Secure Coding Practices
● https://wiki.sei.cmu.edu/confluence/display/seccode/Top+10+Secure+Coding+Practices
2. 継続的なアプリケーションのテスティングと防御(SAST/DAST/IAST/RASP)
● SAST : Static Application Security Testing
● DAST : Dynamic Application Security Testing
● IAST : Interactive application security testing
● RASP : Runtime Application Self-Protection
3. Web Application Firewall (WAF) による防御
本日はこちらについての資料です

7. A b o u t W A F
 WAF = Web Application Firewall
 OSI 参照モデルにおける Layer 7（アプリケーション層） のうち HTTP(S) を扱う
 SQL インジェクション、クロスサイトスクリプティング、WordPress の脆弱性などに
対する攻撃から Web Application を保護する

8. A b o u t A W S W A F
 AWS が提供する Managed サービスの WAFで、簡単にデプロイが可能
 CloudFront, Application Load Balancer, API Gateway に設定可能
 利用した分だけの課金
 AWS と セキュリティベンダーから提供されている Managed Rules である程度の対策は可能
 Managed Rule 以上の性能を求める場合は、ルールを自分で作成可能

9. n e w A W S W A F
 2019/11 に new AWS WAF リリース
 旧版は Classic として現在も利用可能
 ルール処理コストによる上限設計（Web ACL
Capacity Limit）
 Web ACL Capacity Unit (WCU) は default
1,500. Web ACL 単位で緩和申請も可能（最大
2,500）。これにより、Classic のルール数上限
10個を上回るルール設定が可能に

10. M a n a g e d R u l e G r o u p s
 Web ACL へのルール追加で簡単に利用可能
 AWS, Cyber Security Cloud, Fortinet, Geo Guard の４社
 用途に応じて選択
 利用した分だけ支払い

11. A W S M a n a g e d R u l e s r u l e g r o u p s l i s t
 AWS が提供する Managed Rule Group
 ３つのカテゴリ・11個のルールグループ（2020/03/28 現在）
 次スライド以降、ルールグループの概要説明とおすすめ度を付けました
◎：おすすめ ○：環境によって選択

12. A M R : B a s e l i n e r u l e g r o u p s
Name WCU 機能 おすすめ
Core Rule Set (CRS) 700
悪意のある User Agent, XSS, SSRF な
ど、OWASP関連ルール、一般的な Web
アプリケーションの保護
◎
Admin Protection 100
phpMyAdmin, wp-admin など、管理
者ページへのアクセスの保護 ○
Known Bad Inputs 200
既知の攻撃可能なパスへのアクセスや、
無効な METHOD、Host 値のリクエス
トからの保護
◎

13. A M R : U s e - c a s e s p e c i f i c r u l e g r o u p s
Name WCU 機能 おすすめ
SQL Database 200 SQL インジェクション攻撃からの保護 ◎
LINUX Operating System 200
Linux における Local File Inclusion 攻撃
からの保護
○
POSIX Operating System 100 UNIX Shell Command 攻撃jからの保護 ○
Windows Operating System 200 PowerShell Command 攻撃からの保護 ○
PHP Application 100
PHP include injection や 安全でない関数
実行の保護
○
WordPress Application 100 WordPress に対する攻撃からの保護 ○

14. A M R : I P r e p u t a t i o n r u l e g r o u p s
Name WCU 機能 おすすめ
Amazon IP Reputation 25
Amazon Internal Threat Intelligence
が収集した悪意のある Bot や攻撃元の
IP アドレス群
◎
Anonymous IP List 50
VPN, Proxy, Tor などの匿名となるアク
セス元からの防御 ○

15. 各 社 M a n a g e d R u l e r u l e g r o u p s

16. C y b e r S e c u r i t y C l o u d
Name WCU 機能
Cyber Security Cloud Managed Rules for
AWS WAF -HighSecurity OWASP Set-
1000
OWASP Top 10 をはじめ、各種ミドルウェアな
どの汎用性の高い防御ルールセット
Cyber Security Cloud Managed Rules for
AWS WAF -API Gateway/Serverless-
1000
上記のサーバーレスアプリケーション向けルール
セット

17. F O R T I N E T
Name WCU 機能
OWASP Top 10 - The Complete Ruleset 1000
OWASP Top10 や、既知の攻撃に対する防御の
ルールセット

18. G e o G u a r d
Name WCU 機能
GeoGuard DB - IP Fraud Detection 100
VPN, P2P ネットワークなどからのアクセスの防
御ルール

19. 足 り な い こ と
AMR, Managed Rule だけでは足りない AWS WAF の運用プロセス
 誤検知が発生した場合のルールのチューニング
 最新の脆弱性の調査およびルールの作成
 アプリケーション固有のルールの作成
 レポート・通知機能の不足

20. で AWS WAF の運用を簡単に
AWS WAF
CloudFront ALB API Gateway
Subscribe
Associate
Deploy
Marketplace
Automated
Manage & Support
• ルール自動運用
• Reputation IP の自動更新
• 検知メール送信、攻撃レポート
• 新規脆弱性への対応
• 誤検知チューニング、カスタマイズ
• 5,000円/月からご利用可能

21. Thank you.
- Lunch Session -
JAWS DAYS 2020