���������@�\�ȁuModSecurity�v�������Ɗ��p���悤�I�FOWASP AppSec USA 2013 ���|�[�g�i��ҁj�i1/2 �y�[�W�j

�@2013�N11��18������11��21����4���Ԃɂ킽��A�č��j���[���[�N��Web�A�v���P�[�V�����̃Z�L�����e�B�Ɋւ��鍑�ۓI�ȃJ���t�@�����X�ł���uOWASP AppSec USA 2013�v���J�Â���܂����B�O��̋L���ɑ����A���̃g���[�j���O��u���̖͗l���Љ�Ă����܂��B

���ڂ��ׂ�ModSecurity�̋@�\�Ƃ�

�@�M�҂炪��u����2�–ڂ̃g���[�j���O�́A�uWeb Application Defender�fs Cookbook: LIVE�v�ł��B���̃R�[�X��ModSecurity�𗘗p���Ă����ɍU����h�����ɂ‚��Ẵ��N�`���[�ł��B

�@�uModSecurity�v�̓I�[�v���\�[�X�ŊJ������Ă���Web Application Firewall�iWAF�j��1�‚ł��B2002�N�ɍŏ��̃o�[�W�����������[�X����A2011�N���A�g���X�g�E�F�C�u�iTurstwave�j�̃X�p�C�_�[���{�iSpiderLabs�j���J�����s���Ă��܂��B

�@ModSecurity�ł́A�U�������m���邽�߂̊�{�I�ȃ��[���Z�b�g����������Ă���A�uCore Rule Set�v�iCRS�j�ƌĂ΂�Ă��܂��B���݂�OWASP��CRS�������e�i���X���Ă��܂��B

�@�g���[�j���O�̓n���Y�I���`���ōs���܂����B�܂��A�u�t���T�^�I��Web�A�v���P�[�V�����ւ̍U����@��������A���̌�ModSecurity���g���A��������U�����ǂ����m���邩�ɂ‚��Ẳ��K���s���܂����B�n���Y�I���ł�OWASP���J�������Ǝ�ȃA�v���P�[�V�������C���X�g�[���������z�}�V���A�uOWASP Broken Web Applications�v�𗘗p���܂����B

�@�u�t��2012�N�ɏo�ł��ꂽ�uApplication Defender's Cookbook: Battling Hackers and Protecting Users�v�̒��҂ł�����A�g���X�g�E�F�C�u�̃��C�A���E�o�[�l�b�g���ŁA�g���[�j���O�����̖{�ɉ����Đi�߂��܂����B

�@ModSecurity�͑O�q�̒ʂ�I�[�v���\�[�X�Ƃ��ĊJ������Ă��Ă���A���[�U�[����̃t�B�[�h�o�b�N�����ڊJ���҂ɓ͂��₷�����Ƃ������āAWAF���i�̒��ł��@�\���[�����Ă��镔�ނɓ���܂��B�܂��A�����ł��邽�߁A�Z�L�����e�B�΍�ɃR�X�g���|���ɂ���������Ƃ�l�ɂƂ��Ă͓������₷���Ƃ����܂��B

�@�������A���{��̕��������Ȃ����ƁA�܂��A���@�\�ł��邪�̂ɍU�������m���郋�[�������G�Ń����e�i���X�ɂ̓X�L����v���邱�Ƃ���A���ɍ����̃��[�U�[�ɂƂ��Ă͓����̃n�[�h���������悤�Ɏv���܂��B

�@WAF�Ƃ��Ă̊�{�I�ȋ@�\�ɂ‚��ẮAIPA�́uWAF�ǖ{�v�Ȃǂ��Q�Ƃ��Ă����������ƂƂ��āA�����ł́A��r�I�V�����@�\�Ƃ���3�‚̋@�\���s�b�N�A�b�v���ďЉ�����Ǝv���܂��B

Real-time Application Profiling�𗘗p�����A�m�}�����m

�@���̋@�\�́A�T�[�o�[�ւ̃��N�G�X�g�Ɋ܂܂��p�����[�^�[�̒l���w�K���Ă����A�ʏ�p�����[�^�[�����ׂ��l�ƈقȂ�l�������ꍇ�A�A���[�g���グ��@�\�ł��B

�@�Ⴆ�΁A�ȉ��̂悤�ȃp�����[�^�[�uid�v���󂯎��Web�A�v���P�[�V�������������Ƃ��܂��B

http://localhost/index.php?id=0001

�@Real-time Application Profiling�ł́A�܂��ʏ�̃A�N�Z�X�p�^�[�����w�K����K�v������܂��B�����ł͗�Ƃ��āA�ȉ��̂悤�ȃA�N�Z�X��ʏ�̂��̂Ƃ��Ċw�K�������Ƃ��܂��B

http://localhost/index.php?id=0001
http://localhost/index.php?id=0002
http://localhost/index.php?id=0003
�c�c

�@����ɂ��AModSecurity�́uid�̐���ȕ����񒷂�4�ł��邱�Ɓv���w�K���܂��B���̏�ԂŁA���̃A�v���P�[�V�����ɑ΂���

http://localhost/index.php?id=<script>alert(1);</script>

�Ƃ����A�N�Z�X������ƁAid�ɓ��镶����̒�����26�ł��邽�߁A�ُ�Ƃ��Č��m���A�ȉ��̂悤�ȃ��O���o�͂��܂��B

ModSecurity: Warning. Match �g.*�h at TX:ARGS:id_max_length_violation. [msg "Invalid Parameter Length ? Value is Above Normal Range"] [data "Normal Maximum Length for Parameter (ARGS:id): 4 and Current Length: 26"] [tag "POLICY/PARAMETER_VIOLATION"] [uri "/index.php"]

�@msg���ɂ́uInvalid Parameter Length�v�Əo�͂���Ă���A�ʏ�̃A�N�Z�X�ɔ�ׂăp�����[�^�[�l�̕����񒷂Ɉُ킪���邱�Ƃ�������܂��B�܂��Adata���ɂُ͈�Ɋւ���ڍׂƂ��āA�i�����񒷂��j�ʏ�͍ő�ł�4�ł���ɂ�������炸�A26�ł���悤�ȃA�N�Z�X�����������Ƃ��o�͂���Ă��܂��B

�@���̃��[���ł̓p�����[�^�[�l�̒���������Ƃ��Č��m���܂������A���ɂ��u�p�����[�^�[�̖��O�̏d���v�u�p�����[�^�[�̌��v�u�p�����[�^�[�l�̃^�C�v�i���l�A�A���t�@�x�b�g�A���[���A�h���X�Ȃǁj�v�ɂ‚��Ăُ̈�����m���ăA���[�g���グ�郋�[��������܂��B

�@�ʏ�Ȃ�΁A�Ǘ��҂��蓮��WAF�ɐݒ�������A�T�[�o�[�ɑ΂���e���N�G�X�g�̊e�p�����[�^�[�̃��[����lj����Ȃ���Έُ�����m�ł��܂���B�������A����Real-time Application Profiling�@�\�ł͂����������ݒ���K�v���Ȃ��A���ɗe�ՂɃp�����[�^�[�ُ�����m�ł���悤�ɂȂ�܂��B

�ݒ���R�������m�@�\

�@���̋@�\�́AWeb�T�[�o�[���o�͂���f�[�^���`�F�b�N���āAWeb�T�[�o�[��f�[�^�x�[�X�Ȃǂ̐ݒ肪�R�������Ă��Ȃ����ǂ����𒲂ׂ邱�Ƃ��ł��܂��B

�@�Ⴆ�΁ASQL�C���W�F�N�V�����U���ɂ���ăf�[�^�x�[�X�̏�񂪏o�͂��ꂽ�ꍇ�A���O�ɂ͈ȉ��̂悤�ȃA���[�g���o�͂���܂��B

[msg "SQL Information Leakage"] [data "Matched Data: You have an error in your SQL syntax found within RESPONSE_BODY: <pre>You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''''' at line 1</pre>"] [tag "OWASP_CRS/LEAKAGE/ERRORS_SQL"] 

�@msg����data������AMySQL�ւ̃A�N�Z�X�Ŕ�������SQL�V���^�b�N�X�G���[�̔��������̂܂�Web�A�v���P�[�V�����̊O���ɘR�������Ă��邱�Ƃ�������܂��B

�O���f�[�^�Ƃ̘A�g

�@���݂�ModSecurity�ł́A�uIP�u���b�N���X�g�v�ƘA�g���A�N���C�A���g��IP�A�h���X���u���b�N���X�g�Ɋ܂܂�Ă��邩�m�F���A���̌��ʂɉ����ăA�N�Z�X�����ۂ�����A���O�ɋL�^�����肷�邱�Ƃ��”\�ɂȂ��Ă��܂��B���̑��ɂ��A�uGeoIP�f�[�^�v�iIP�A�h���X�̒n�����j�ƘA�g���āA����Z�b�V�������ɂ�����IP�A�h���X�̒n�����̕ω�����ُ�����m���邱�Ƃ��”\�ł��B

�@���̂悤�ɍ��x�ȋ@�\�𑽂�������ModSecurity�ł����A�g�����Ȃ��ɂ͂��Ȃ�̃X�L����K�v�Ƃ��܂��B�܂��́A�V���v���Ȑݒ�ŗ��p�”\��Real-time Application Profiling���玎���Ă݂Ă͂������ł��傤���B