WAPPLES
インテリジェント型WAF
WAPPLESは自社開発の独自的なエンジン搭載したアジア・パシフィック地域マーケットシェアNo.1のWAFです。世界各国170,000のWebサイトを保護している信頼のWAFで、Webセキュリティ専門家に頼らなくても使える1台4役のWebサイトセキュリティソリューションです。
WAPPLESは、顧客の導入環境及びニーズを考慮し、多様なオンプレミス環境要件に合わせたハードウェア型WAF「WAPPLES」、AWS、Azure等のパブリッククラウド環境やVmware、Citrix Xen等のプライベートクラウド環境でも使用できるソフトウェア型WAF「WAPPLE SA」、DNS情報を変更することで簡単に導入できるユーザーオリエンテッドなクラウド型WAF「Cloudbric」といった多様なラインナップを提供します。
WAFとは
WAF（ワフ）はWeb Application Firewall（ウェブアプリケーションファイアウォール）の略で、Webアプリケーションの脆弱性を悪用した攻撃からウェブアプリケーションを保護するソフトウェア、またはハードウェアです。
ウェブアプリケーションファイアウォールの基本的な役割は、その名前どおりSQLインジェクション、クロスサイトスクリプティング(XSS)などのウェブ攻撃を検知し、遮断することです。WAFは、直接的なウェブ攻撃対応のほかにも、情報流出防止ソリューション、不正ログイン防止ソリューション、ウェブサイトの偽・変造防止ソリューションとして活用できます。
情報流出防止ソリューションとしてWAFを利用する場合、個人情報が掲示板に掲示されたり、個人情報が含まれたファイルなどがウェブを通じてアップロード及びダウンロードされる場合について検知し、これに対応することが可能です。
不正ログイン防止ソリューションとしてWAFを利用する場合は、推定可能なすべての場合を計算し、ウェブサイトにログインを試みる場合と同じく、非正常的なアクセスに対するアクセス制御機能を行います。主にハッカーが誇示の目的で行うウェブサイトの偽・変造攻撃が発生した場合にこれに対して検知・対応するなど、ウェブサイトの偽・変造防止ソリューションとしての役割をします。
つまりWAFは、上記の4つのウェブセキュリティ機能を提供しながら、ウェブアプリケーションという「家」を予想不可能な外部の攻撃から守り、以前発見できなかった内部の危険要素から守る「垣根」の役割を遂行する存在だと言えます。
WAFの必要性
一般的なファイアウォールとは違って、ウェブアプリケーションセキュリティに特化して開発されたウェブアプリケーションファイアウォール(WAF)は、外部攻撃を事前に遮断する役割や、ウェブサーバの悪性コードがウェブサーバにアップロードすることを防止するだけでなく、セキュアコーディング、ウェブスキャナーが担当するウェブのセキュリティの脆弱性を外部に露出されないように補完してくれる役割も遂行します。
ウェブサイト全体のセキュリティ強化
- 各ウェブアプリケーションの品質に依存しない均一的なセキュリティの確保
- 最新の攻撃パターンへの対応
脆弱性を悪用した攻撃への対応
- ウェブアプリケーションに脆弱性があった場合、その脆弱性を悪用し た攻撃への対応
- ウェブアプリケーションの開発者がいない場合でも対策を検討する時間 ができる
- オープンソースソフトウェア(OSS)の脆弱性等、独自に対応が難しい状況でも パッチ提供を待つことができる
1台4役のWAFソリューション
WAPPLESは、４つのソリューションを提供し、様々なWeb攻撃からお客様のWebシステムを安全に保護します。
WAPPLESは、WAFの本来の機能であるWeb攻撃に対応するだけではなく、情報漏洩防止、不正ログイン防止、Web改ざん防止といった、様々な手口により行われるWeb脆弱性を突いた不正行為および重要な情報を入手する行為に対しても適切なソリューションを提案致します。
- 機能その1. Webハッキング遮断ソリューション
WAPPLESは、Webアプリケーションレベルの攻撃を検知および遮断し遮断を行います。 - 機能その2.情報漏洩防止ソリューション
WAPPPLESは、検証メカニズム(Luhn algorithm : ISO/IEC7812など)を採用し正確に個人情報を特定し個人情報を入手する試みを検知遮断します。さらに外部へ出力される個人情報に対しマスキング処理を行うことで保護します。 - 機能その3.不正ログイン防止ソリューション
WAPPLESは、Brute Force Attackのような総当たり型攻撃に対し、検知し遮断します。 - 機能その4.Web改ざん防止ソリューション
WAPPLESは、WebサイトおよびDBの改ざんを目的とした攻撃に対応し、WebサイトおよびDBのセキュリティを確保します。
WAPPLESの検知エンジン
昨今、情報セキュリティ、すなわちWebセキュリティへの必要性は高まっていくなか、セキュリティエンジニアの絶対的数が少ないため、一般企業や公的機関などではなかなかWebセキュリティ対策を実施できない状況でありました。専門化の専有物としてとらえられていたセキュリティソリューションは、せっかく高額のセキュリティ機器を導入してもセキュリティに対する理解がないままではまともな運用ができず、コスト対効果をえられないでいました。
WAPPLESは、5ヶ国から特許*を取得している独自開発のセキュリティエンジンによる解析でWeb攻撃を遮断する次世代Webハッキング遮断システム(WAF：Web Application Firewall)です。従来型WAFに対しWAPPLESの優位性は、独自開発した、論理演算検知エンジン(COCEP：COntents Classification and Evaluation Processing)を搭載することによりセキュリティ専門化の専有物ととらえられていたWAFを一般ユーザレベルで運用できることです。
WAPPLESは、根本的に攻撃として成立するロジックを理解し解析しているため、
✓ 頻繁な攻撃シグネチャーのアップデートがなくても新種および亜種の攻撃に対応できる
✓ 偽陽性（false positive）および偽陰性（false negative）の発生率を抑えられる
といった、運用側としてのメリットが得られます。
このようなWAF本来の高度なセキュリティ機能はもちろん、運用側の利便性をはかるための分かりやすい管理画面と機能を提供するWAPPLESは、韓国で最も多くのお客様から支持されているWAFとして位置付けられています。
* 韓国、日本、中国、アメリカの4ヶ国の特許を取得
日本特許取得情報：ウェブアプリケーション攻撃の検知方法 登録番号-4977888
構成図(冗長構成)
環境に応じた導入形態
対応する主な脆弱性
WAPPLESは、独自の検知ルールにより様々な脆弱性に対応できます。
| NO | 攻撃名 |
|---|---|
| 1 | … バッファー・オーバーフロー（Buffer Overflow) |
| 2 | … クッキー改ざん（Cookie Poisoning) |
| 3 | … クロス・サイト・リクエスト・フォージェリ（Cross Site Request Forgery) |
| 4 | … クロス・サイト・スクリプティング（Cross Site Scripting) |
| 5 | … パス・トラバーサル（Path Traversal) |
| 6 | … AJAXインジェクション（AJAX Injection) |
| 7 | … XMLインジェクション（XML Injection) |
| 8 | … ディレクトリ・リスティング（Directory Listing) |
| 9 | … リモート操作プログラムのアップロード（WebShell Upload) |
| 10 | … HTTPサービス不能攻撃（HTTP Dos) |
| 11 | … HTTP分散サービス不能攻撃（HTTP DDos) |
| 12 | … Slowloris HTTP Dos |
| 13 | … R-U-Dead-Yet HTTP Dos |
| 14 | … エクステンション・フィルタリング（Extension Filtering) |
| 15 | … 不正なファイルのアップロード（File Uploads) |
| 16 | … 強制ブラウズ（Forceful Browsing) |
| 17 | … Hiddenフィールド改ざん（Form Field Manipulation) |
| 18 | … 不正なファイルの挿入(php)（Include Injection) |
| 19 | … 不正なHTTPメッセージ（Invalid HTTP) |
| 20 | … 不正なURI（Invalid URI) |
| 21 | … 個人情報の含まれているファイルを検知（Privacy File Upload) |
| 22 | … 個人情報の含まれているリクエストを検知（Privacy Input Filtering) |
| 23 | … 個人情報の含まれているレスポンスを検知（Privacy Output Filtering) |
| 24 | … レスポンスに含まれているサーバ側の重要情報の漏洩遮断（Response Header Filtering) |
| 25 | … 許可するメソッド指定（Request Method Filtering) |
| 26 | … SQLインジェクション（SQL Injection) |
| 27 | … OSコマンドインジェクション（OS Command Injection) |
| 28 | … 不正なアクセス（Suspicious Access) |
| 29 | … Webサイト改ざん（Website Defacement) |
1. バリュー(VALUE)
| クラス | バリュー(VALUE) | |
|---|---|---|
| モデル | WAPPLES-700 | |
| イメージ |  |
|
| 処理パフォーマンス | ||
| スループット | 700Mbps | |
| ハードウェアスペック | ||
| 寸法 (mm) (W*L*H) |
432*300*44 | |
| 重量 (KG) | 4.5 | |
| フォーム ファクタ |
1U | |
| CPU | Pentium(Kaby Lake) 3.60GHz |
|
| メモリー | 8G | |
| HDD | 1TB | |
| SSD | – | |
| 電源 冗長化 |
– | |
2. パフォーマンス(PERFORMANCE)
| クラス | パフォーマンス(PERFORMANCE) | ||
|---|---|---|---|
| モデル | WAPPLES-1400 | WAPPLES-2400 | WAPPLES-1400 T2 |
| イメージ |  |
 |
 |
| スループット | 2Gbps | 4Gbps | 8Gbps |
| ハードウェアスペック | |||
| 寸法 (mm) (W*L*H) |
438*350*88 | 438*500*88 | 438*500*88 |
| 重量 (KG) | 10.3 | 14.9 | 16.2 |
| フォーム ファクタ |
2U | 2U | 2U |
| CPU | Core™ i5 (Kaby Lake) 3.40 GHz |
Xeon® E3 (Kaby Lake) 3.80 GHz |
Xeon® E5 (Broadwell) 2.40 GHz |
| メモリー | 16 Gb | 24 Gb | 32 Gb |
| HDD | 1TB | 1TB | 1TB |
| SSD | 256 GB | 256 GB | 256 GB |
| 電源 冗長化 |
〇 | 〇 | 〇 |
3. ハイエンド(HIGH-END)
| クラス | ハイエンド(HIGH-END) | |
|---|---|---|
| モデル | WAPPLES-5400 | WAPPLES-10000 T2 |
| イメージ |  |
 |
| 処理パフォーマンス | ||
| スループット | 6Gbps | 8Gbps |
| ハードウェアスペック | ||
| 寸法 (mm) (W*L*H) |
465*534*89 | 465*534*89 |
| 重量 (KG) | 17.5 | 17.5 |
| フォーム ファクタ |
2U | 2U |
| CPU | Xeon® E5 x 2 (Broadwell) 2.10 GHz |
Xeon® E5 x 2 (Broadwell) 2.40 GHz |
| メモリー | 48GB | 64GB |
| HDD | 1TB | 1TB |
| SSD | 256GB | 256GB X 2 |
| 電源 冗長化 |
〇 | 〇 |