BLOG NO.11 OWASP CRSの概要

OWASP CRSはWAF(Web Application Firewall)のオープンソースであるModsecurityで動作するルールセットで無償で提供されています。多くのWAFベンダーやWAFを実装するセキュリティ機器ベンダーではOWASP CRSをベースにしたシグネチャの提供を行っています。

一般的なWAFはシグネチャと呼ばれる攻撃の識別情報を持っており、通信パケットとマッチングを行い攻撃かどうかを判断しています。一方OWASP CRSは通信パケットの構造をベースに攻撃パターンを判断します。この判断にはシグネチャ情報も含まれますが、構文解析などのアルゴリズムで攻撃の構造を判別して高度な攻撃検知を実現しています。また、各ルールには「Severity Level」（脅威の判定）と「paranoia-level」（プロテクション強度）の設定ができ、サイトで提供するサービスの重要度や対象とするユーザに応じてセキュリティレベルの設定を可能にしています。 

OWASP CRSには、2つの拡張子（.conf 、.data）を持つファイル群で構成されています。.confファイルはプロテクションのためのアルゴリズムが定義されており、.dataは攻撃パターンをマッチングするためのデータで、従来のWAFのシグネチャーに相当するものです。更に、.confファイルはリクエストルールとレスポンスルールがあり、リクエストルールでは攻撃別にファイルが分けられています。レスポンスルールは攻撃を防ぐためではなく、情報漏えいを防止するものです。リクエストルールには攻撃パターンに応じて複数ファイルがあり、各ファイルは攻撃に応じたルールが複数収納されています。つまり、アプリケーションの脆弱性が発見できた場合、その脆弱性への攻撃パターンファイルを特定し、その中から対策に有効なルールをインストールすることで、WAFが正しく機能することになります。

もう一つ、OWASP CRSには特徴的なルールセットがあります。ファイル名にEXCLUSIONという文字があるルールです。EXCLUSIONは「除外する」という意味で、誤検知の対策に用意されたものです。過度に反応するルールに対して、その反応を和らげる効果があるようです。実績ベースでのルールですので、セキュリティレベルが低下する心配は無いようです。ただし、このルールは、すべての誤検知を対策するものではなく、特定アプリケーション向けに対策を施したものです。特定アプリケーションにはWORDPRESS等が含まれています。

 以下にOWASP CRSのファイル構成をリストします。

 By ADC Engineers