WAF

先日から実験的にWAFを動かしてます。

まあボクが直接手を出してるワケではないので、不確かな所ではありますが、どうにもシグネチャベースIDSの呪縛から離れられないような感じがします。

となると運用のコツはだいたい想像ついて、まかせっきりで遮断なんてあぶなっかしくてしかたない。こーゆー製品を売り切りにしようとしてるメーカーと商社は、また信頼を失うことになるよ。

そういえば昨年末に新しいコンセプトのIDS(IPS)を開発したので評価して欲しいってな依頼があって、ボクは「ああ。またか」と及び腰だったんだけど、若者が興味あるらしくてゴソゴソやってたな。例によってアラートの検証で一苦労。結局False Negativeが多すぎる上に、検出する根拠が分かりづらいので、アラートの信頼性が低いわけだ。そんな状態で通信遮断なんか任せられるワケがない。

そのIDS(IPS)自体は、これまでに比べてちょっと出来が良かったんだけど、IPSの本来の目的(？)で運用することはムリかも。もっともIPSは「危険な通信を未然に遮断します！！！！！！」って売り方してるのが悪いんだけどもな。

Splunk

飽きたワケではないけど、ボクは使ってないというか、優秀なオペレータが隣のブースに座ってるので、ムリして使う理由が無い。おじさんは大人しく書類整理でもしてりゃ良いんです。

さて、あいかわらずイロイロとログを溜めこんでるんですが、今のところ予想通りの結果です。

  • Snort→Argus→dhcpd→FDB
  • Snort→Argus→named

パスを逆に辿ってnamedのログから追ってみたりして。

驚くような発見は無いけど、ログ分析の有意義さが実感できるんだな。

おめでとうというかなんというか

あっちこっちおめでとう。でもなんで今日なんだろう。特異日だったの忘れてたけど、この日にブチ当てた若者は何が目的なんだろうか。ちなみにウチは2月22日です。その前にボクの生誕日もあります。

おめでとうというかなんというか

うほっ！
ココとはいろいろあったなあ。
そして気がついたら太平洋を漂う椰子の実みたいになってて、なくなるかなーと思いつつもしぶとく残ってるし。

株式会社ネットセキュリティ総合研究所 http://www.ns-research.jp/
発行人：近藤 直樹／編集人：上野 宣