「ウェブアプリの脆弱性にどう対応してますか?」記事へのコメント

WAF

[passa (9748)]

Web Application Firewall使えばほとんど防げるのに、、

商用(アプライアンス)だったら
Teros [teros.com]とか
TrafficShield [f5.com]とか
NetContinuum [netcontinuum.com]とか
SecureSphere [imperva.com]とか

商用(ソフトウェア)だったら
InterDo [kavado.com]とか
AppShield [watchfire.com]とか
# F5に買われたのか、、

オープンソースならmod_sec [modsecurity.org]

--
ぱ

Re:WAF

[Anonymous Coward]

＞Web Application Firewall使えばほとんど防げるのに、、

どこかの社長の「最高レベルのセキュリティ」と同じ意識ですね。
というかこういう製品は、正しいWhite Listを作らないと使い物になりませんし、望んだ効果も得られません。
上の方にありますが、taint perlを使っておきながら$foo = ($foo =~ /^(.*)$/)[0] とかするような人には効果は得られません。
正しいWebアプリケーションを作れない人／会社が、正しいWhite Listを作れるという、説得力のある理由がみつかりません。

# もちろん、これらの製品を正しく設定すれば有用である事には異議はありません。

Re:WAF

[Anonymous Coward]

> 正しいWhite Listを作らないと使い物になりませんし、望んだ効果も得られません。

出来ないなら人に頼めばいい。
# 丸投げしているのでAC

Re:WAF

[Anonymous Coward]

他の方法として脆弱性を調べてくれるサービスに頼む手も。
なかなか効果ありましたよ。中規模サイトで20万位でしたが。

Re:WAF

[Anonymous Coward]

じゃあWebアプリも正しいものを作れる人に頼めばいいですね。って話になるでしょ。
正しいWebアプリを作れるかどうかを判断できないような人や会社が、正しいWhite Listが作れる人や会社を選択できるという、説得力のある理由がみつかりません。
自社内でやるか、外部に委託するかは問題じゃないんですよ。

価格.comの件にしても、外部のセキュリティ会社がポカしたっぽいですが、外部に委託すれば完全なものができるとは限りません。
問題が起きたときに、尻拭いぐらいはさせられるかもしれませんが。

問題の無いWebアプリを自社内で作れるか、外部に委託すべきか、委