4 セキュリティを強化するオープンソース Web アプリケーション ファイアウォール

ファイアウォールで Web アプリケーションを保護する

設定ミスや脆弱なコードにより、毎日何千もの Web サイトがハッキングされています。 Web アプリケーション ファイアウォール (WAF) は、Web サイトをオンラインの脅威から保護する最良の方法の 1 つです。

Web サイトがインターネット上で利用できる場合は、オンライン ツールを使用して Web サイトの脆弱性をスキャンし、Web サイトの安全性を把握できます。イントラネット Web サイトであっても心配する必要はありません。オープンソースの Nikto Web スキャナーを使用できます。

商用 WAF は高価な場合があるため、WAF を使用して Web サイトを保護する無料のソリューションをお探しの場合は、次のオープンソース Web アプリケーション ファイアウォールが役立ちます。

モッドセキュリティ

TrustWave の ModSecurity は 、最も人気のある Web アプリケーション ファイアウォールの 1 つで、Apache HTTP、Microsoft IIS、Nginx をサポートしています。

ModSecurity の無料ルールは、次のような保護を探している場合に役立ちます。

• クロスサイトスクリプティング
• トロイの木馬
• 情報漏洩
• SQLインジェクション
• 一般的な Web 攻撃
• 悪意のある活動

ModSecurity にはグラフィカル インターフェイスがありません。グラフィカル インターフェイスをお探しの場合は、 WAF-FLE の使用を検討してください。コンソールでイベントを保存、検索、表示できます。

ナクシ

NAXSI は Nginx アンチ XSS および SQL インジェクションです。ご想像のとおり、これは Nginx Web サーバーのみを対象としており、主にクロスサイト スクリプティングおよび SQL インジェクション攻撃から保護することを目的としています。

NAXSI は GET および PUT リクエストのみをフィルターし、デフォルト設定はデフォルトで DROP ファイアウォールとして機能するため、正しく機能するには ACCEPT ルールを追加する必要があります。

ウェブナイト

WebKnight WAF は Microsoft IIS 用です。これは、不正なリクエストをブロックすることで Web サーバーを保護する ISAPI フィルターです。 WebKnight は以下のセキュリティを確保するのに役立ちます。

• バッファオーバーフロー
• ディレクトリ横断
• 文字コード
• SQLインジェクション
• 悪いロボットをブロックする
• ホットリンク
• 強引な
• さらにもっと…

デフォルト構成では、ブロックされたリクエストはすべてログに記録され、ニーズに基づいてカスタマイズできます。 WebKnight 3.0 に は、ルールをカスタマイズし、統計などの管理タスクを実行できる管理 Web インターフェイスが追加されました。

シャドウデーモン

シャドウ デーモンは、 悪意のあるパラメータからのリクエストをフィルタリングすることにより、Web 攻撃を検出、記録、防止します。この WAF には、管理を実行して管理できる独自のインターフェイスが付属しています。 PHP、Perl、Python 言語フレームワークをサポートしています。

以下の攻撃を検知できます。

• SQLインジェクション
• XMLインジェクション
• コードインジェクション
• コマンドインジェクション
• XSS
• バックドアアクセス
• ローカル/リモートファイルの組み込み

オープンソースは無料ですが、サポートを受けられないため、専門知識とコミュニティのサポートに頼る必要があります。したがって、商用 WAF をお探しの場合は、以下を参照してください。

• Cloudflare (クラウドベース)
• Incapsula (クラウドベース)
• F5 ASM
• TrustWave ModSecurity 商業規則
• スタックパス
• SUCURI（クラウド型）

この記事が、さまざまなプラットフォーム用のオープンソース Web アプリケーション ファイアウォールについてのアイデアに役立つことを願っています。