OCI WAFの設定と動作確認

OCI WAFの設定と動作確認 DNSとWAFの設定日本オラクル株式会社テクノロジー事業戦略統括テクノロジー・クラウド・エンジニアリング本部セキュリティ＆マネジメントソリューション部 2021年2月12日

Agenda 1 WAFとは 2 設定手順 3 実際にアプリを攻撃してみる Copyright © 2020,
Oracle and/or its affiliates 2

インターネット通信の仕組み Copyright © 2020, Oracle and/or its affiliates 4 ドメイン名・IPアドレスなどの情報を関
連付けて保持 DNS サーバー www A xxx.xx.xxx.x7 mail A xxx.xx.xxx.13 shopping A xxx.xx.xxx.17 aaa A xxx.xx.xxx.23 bbb A xxx.xx.xxx.31 … … … クライアント http://www.wafdemo.tk🔍 ドメイン名：wafdemo.tk IPアドレス：xxx.xx.xxx.x7 Aレコード：www.wafdemo.com ③取得したIPアドレスのWebサーバーへ接続 xxx.xx.xxx.x7 Webサーバー ④HTTPレスポンス

Web Application Firewall (WAF)を利用したインターネット通信 Webアプリケーションの脆弱性を悪用した攻撃からWebサイトを保護するセキュリティ対策 5 Copyright © 2020, Oracle
and/or its affiliates DNS サーバークライアント http://www.wafdemo.tk🔍 ➄取得したIPアドレスのWeb サーバー(WAF)へ接続 ⑦Webサーバー(WAF)へ通信を転送 xxx.xx.xxx.x7 Webサーバー ⑧HTTPレスポンス ⑧HTTPレスポンス WAF ドメイン名：wafdemo.tk CNAMEレコード：www.wafdemo.tk → Oracle WAF生成のFQDNに変換して再問い合わせ ⑥セキュリティチェック ②CNAMEレコードでWAFアドレスに別名参照されている www CNAME xxxxxxxxx.yyy.zzz.waas.oci.oraclecloud.net mail A 150.136.124.13 shopping A 150.136.124.17 aaa A 150.136.124.23 bbb A 150.136.124.31 192.xx.xx.155 www.wafdemo.tkは xxx.xx.xxx.x7 へ転送と設定済み waas.oci.oraclecloud.netを管理するDNSサーバー(Oracleが自動管理) xxxxxxxxx.yyy.zzz. A 192.xx.xx.155 ③参照された別名を他のDNSに問い合わせ

インターネット通信の比較 ✓ WAFなし ① DNSサーバーに対してドメイン(Aレコード)のIPアドレスを問い合わせ ② DNSサーバーがWebサーバーのIPアドレスを回答 ③
取得したIPアドレスに通信 ✓ WAFあり ① DNSサーバーに対してドメイン(CNAMEレコード)のIPアドレスを問い合わせ ② DNSサーバーはWebサーバーのIPアドレスではなく、WAFのIPアドレスを回答 ③ 取得したWAFのIPアドレスに通信 ④ WAFによるセキュリティチェック ⑤ WAFが通信をWebサーバーへ転送 6 Copyright © 2020, Oracle and/or its affiliates DNS サーバークライアント Web サーバー WAF DNS サーバークライアント Web サーバー

OCI WAFの責任共有モデル Oracle •新しい脆弱性に基づく新保護ルールの作成 •WAFインフラストラクチャのパッチと更新 •分散型サービス(DDoS)攻撃のモニタリング •WAFの高可用性(HA)の提供
お客様 •WAF関連の設定・構築(DNS, イングレスルール, ネットワーク) •保護対象のWebアプリケーションへのWAFポリシーの設定 •保護ルール推奨事項の確認と受け入れ(オフ/検知/ブロック) •WAFアクセス制御とBot管理ルールの設定 7 Copyright © 2020, Oracle and/or its affiliates 異常/望まれない挙動のログのモニタリング

設定手順例について今回はWAFの動作を確認するための設定手順の一例を紹介します。実際のDNS設定等についてはネットワークやセキュリティ要件、ホスティングの関係から様々なパターンが考えられますが、本資料では便宜的に • Webサーバー(Apache)を自分で立ち上げ • DNSはフリーサービス(freenom)で独自ドメインを取得 • WAFはOCI
のエッジサービスで提供されているWAFを使用の構成でWAFの動作を確認します。なおWebサーバーの立ち上げ手順は本資料では省略いたします。また、実稼働済みの環境でWAFを設定する際は、多くの場合で自ドメインの取得は省略されます。本資料はOCI WAFの動作確認、OCI WAFの学習にお役立てください。 9 Copyright © 2020, Oracle and/or its affiliates

• ドメイン取得 • IPアドレスをAレコードとして登録(※ドメインの動作確認用) • CNAMEレコードをWAFのドメイン名として登録 (※CNAMEレコードを外部公開) DNS設定 ※Webサーバーを事前にインストール・起動 •
WAFポリシー作成 • 保護ルール作成 WAF設定操作項目一覧 Copyright © 2020, Oracle and/or its affiliates 10

設定手順 1. ドメイン取得 2. Aレコード登録 3. WAFポリシー作成 4. CNAME登録 5.
保護ルール設定 Copyright © 2020, Oracle and/or its affiliates 11

1. ドメイン取得 WAFの動作上、CNAMEレコードの設定が可能なDNSサービスが必要です 14 Copyright © 2020, Oracle and/or its
affiliates 無料ドメインサービスにアクセスし、使用したいドメインを入力 https://www.freenom.com/ja/index.html?lang=ja ※freenomでは.tk, .ml, .ga, .cf, .gqのドメインが取得可能

1. ドメイン取得取得したいドメインが利用可能なことを確認し、チェックアウトをクリック Copyright © 2020, Oracle and/or its affiliates
15

1. ドメイン取得 Copyright © 2020, Oracle and/or its affiliates 16
Continueをクリック

1. ドメイン取得メールアドレスを入力し、チェックアウト ※以下登録手順は省略 Copyright © 2020, Oracle and/or its
affiliates 17

手順1の確認以上の手順で、無料ドメインサービスを使用し独自ドメインが取得できました。次の手順では、AレコードをDNSに登録します。 AレコードはIPアドレスのことを指します。ドメインサービス(DNS)にAレコードを登録することで、ブラウザにIPアドレスを直接入力する代わりに、ドメインを入力してWebサーバーにアクセスできるようになります。各ドメインサービスでレコードの登録手順は異なりますが、本資料ではfreenomを使用したAレコードの登録方法を紹介します。 18 Copyright ©
2020, Oracle and/or its affiliates

2. Aレコード登録 WAFの動作には必要ないステップですが、DNSの正常動作を確認します ※既に稼働済みの環境ではAレコードが設定されている状態からの設定になりますので流れをご確認ください。 20 Copyright © 2020, Oracle and/or
its affiliates Freenomにアクセスし、Services → My Domainsをクリック

2. Aレコード登録取得したドメインの Manage Domainをクリック Copyright © 2020, Oracle and/or
its affiliates 21

2. Aレコード登録 Manage Freenom DNSをクリック Copyright © 2020, Oracle and/or
its affiliates 22

2. Aレコード登録 AレコードとIPアドレスを関連付けてDNSに登録 23 Copyright © 2020, Oracle and/or its
affiliates Name、Targetを入力して保存 ※反映に5分程度

2. Aレコード登録 24 Copyright © 2020, Oracle and/or its affiliates
Aレコードを登録したドメインで、アプリにアクセスできることを確認 ※アクセスするURL： <Aレコードで登録したName>. <取得したドメイン> 例) my.jennywafdemo.tk

手順2の確認以上の手順で、DNSとAレコードを関連付けて、一般的なDNSの動作を確認しました。次の手順ではAレコードの代わりにWAFで保護されたCNAMEレコードをDNSに登録します。 CNAMEレコードが登録されていると、Webサーバーへのアクセスは一度WAFへ転送され、セキュリティチェックが行われてからWebサーバーに通信するようになります。 25 Copyright © 2020, Oracle
and/or its affiliates

3. WAFポリシー作成 27 Copyright © 2020, Oracle and/or its affiliates
🈪→セキュリティ→Webアプリケーション・ファイアウォールへ移動

3. WAFポリシー作成ポリシー名、ドメイン、オリジン名、URIを入力し、「WAFポリシーの作成」をクリック ①任意のポリシー名を入力 ②ドメイン名(CNAME)を入力例) www.jennywafdemo.tk ③任意のオリジン名を入力 ④Webサーバーが起動しているインスタンスの IPアドレスを入力
Copyright © 2020, Oracle and/or its affiliates 28 ②WAFではAレコードの代わりに CNAMEレコードを外部公開します。 ④CNAMEレコードとWebサーバーのIPアドレスが関連付けて登録されます。

3. WAFポリシー作成 Copyright © 2020, Oracle and/or its affiliates 29
※すぐには反映されません。 5分程度でポリシーがアクティブになります。

3. WAFポリシー作成ポリシーがアクティブなことを確認 Copyright © 2020, Oracle and/or its affiliates
30 ポリシーがアクティブになると、 CNAMEが自動生成されます。次の手順でCNAMEをDNSに登録するため、CNAMEをメモしてください。

手順3の確認以上の手順で、保護されていない状態でWAFが起動しています。前段階として、DNSの設定を変更せずともローカルの/etc/hostsにて保護する対象のサーバーのフルドメイン名をWAF のIPアドレスに指定することで実際に接続できるかテストすることもできます。次の手順ではDNSにCNAMEレコードを登録することで、WebサーバーへのアクセスがWAFのドメインに転送されるように設定します。 31 Copyright © 2020,
Oracle and/or its affiliates

4. CNAME登録取得したドメインの Manage Domainをクリック Copyright © 2020, Oracle and/or
its affiliates 33

4. CNAME登録 34 Copyright © 2020, Oracle and/or its affiliates
DNSにCNAMEレコード名と値を追加し、変更を保存

手順4の確認以上の手順で、DNS上で保護対象のサーバーのFQDNが、CNAMEで設定したWAFに関連付けられ、登録した CNAMEレコードでWebサーバーに接続できるようになりました。現段階では保護ルールが無効なので、攻撃は防御されません。次の手順ではOCIのコンソールから保護ルールを有効化し、攻撃をブロックできるように設定します。 35 Copyright © 2020, Oracle
and/or its affiliates

its affiliates ルール設定の編集をクリック

its affiliates ブロック・アクションを「エラー・ページを表示」に変更

its affiliates 変更内容を確認して「変更の保存」をクリック ※アプリを攻撃すると、 Access to the website is blocked と表示される設定に変更

手順5の動作確認以上の手順で、Webサーバーはシェルからの攻撃コマンドをブロックし、攻撃に対して「Access to the website is blocked」と表示されるようにWAFが有効化されました。次の手順では、実際にWebサーバーをシェルで攻撃し、攻撃がブロックされていることをログで確認します。 45 Copyright
© 2020, Oracle and/or its affiliates

OCI WAFの設定と動作確認

OCI WAFの設定と動作確認

More Decks by oracle4engineer

Other Decks in Technology

Featured

Transcript