1つのマネージドファイアウォールが、すべてのリクエストを見張ります。
WAFはあなたのアプリの中で動作し、およそ4ミリ秒で判定します。シグネチャに触れる必要は一切ありません。ポリシーはDefensoから配信され、毎週自動更新されます。常にフェイルオープンなので、万一こちらに到達できなくなっても、トラフィックはそのまま流れ続けます。
SQLインジェクション、XSS、SSRF、コマンドインジェクション、パストラバーサル、スキャナーボット。各ルールにはMITRE ATT&CKとOWASPのIDが付与されているため、判定がブラックボックスになることはありません。更新はすべて私たちが毎週行います。
エンドポイントは実際のトラフィックから検出され、ルートごと・IPごとにレート制限が適用されます。ログインルートには最初からブルートフォース上限が設定されているため、クレデンシャルスタッフィングやスクレイピングは入り口で止まります。
攻撃者と確認された相手には、本物のデータではなく、辻褄の合った偽物とhoneytokensが返されます。手にした戦利品は無価値で、囮に触れた瞬間、あなたには早期警告が届きます。
マネージドWAFが代わりにブロックするもの。
私たちが本番環境で毎日止めている攻撃です。カーソルを合わせると一時停止して読めます。
SQLインジェクション
ユーザー入力がそのままクエリに連結される攻撃。データベースに届く前に止めます。
クロスサイトスクリプティング（XSS）
攻撃者が仕込み、あなたのユーザー上で実行されるスクリプト。エッジでブロックします。
SSRF
本来触れてはならない内部URLを、サーバーに取得させようとする攻撃。
コマンドインジェクション
入力フィールドに紛れ込ませたシェルコマンド。マネージドルールが捕捉します。
パストラバーサル
Webルートの外にあるファイルを狙う、巧妙な ../ パス。
SQLインジェクション
ユーザー入力がそのままクエリに連結される攻撃。データベースに届く前に止めます。
クロスサイトスクリプティング（XSS）
攻撃者が仕込み、あなたのユーザー上で実行されるスクリプト。エッジでブロックします。
SSRF
本来触れてはならない内部URLを、サーバーに取得させようとする攻撃。
コマンドインジェクション
入力フィールドに紛れ込ませたシェルコマンド。マネージドルールが捕捉します。
パストラバーサル
Webルートの外にあるファイルを狙う、巧妙な ../ パス。
スキャナー & 悪質ボット
JA4と挙動でフィンガープリントされる、自動スキャナーやヘッドレスブラウザ。
クレデンシャルスタッフィング
流出パスワードを使ったログインの洪水を、アカウントごとの速度制限で止めます。
マスアサインメント
書き換えるべきでない値を上書きしようと、リクエストに紛れ込ませた余分なフィールド。
ブルートフォース
ログインやAPIへの連打を、IPごと・アカウントごとに最初から上限で抑えます。
NoSQLインジェクション
MongoDBなどを狙う、演算子インジェクションのペイロード。
スキャナー & 悪質ボット
JA4と挙動でフィンガープリントされる、自動スキャナーやヘッドレスブラウザ。
クレデンシャルスタッフィング
流出パスワードを使ったログインの洪水を、アカウントごとの速度制限で止めます。
マスアサインメント
書き換えるべきでない値を上書きしようと、リクエストに紛れ込ませた余分なフィールド。
ブルートフォース
ログインやAPIへの連打を、IPごと・アカウントごとに最初から上限で抑えます。
NoSQLインジェクション
MongoDBなどを狙う、演算子インジェクションのペイロード。
アクティブディセプションを、ファイアウォールに標準搭載。
ブロックは、探りが検知されたことを攻撃者に教え、より静かなペイロードを誘い込みます。アクティブディセプションは、同じ確定した脅威に対し、辻褄の合った無価値な世界で応じます。本物のデータの代わりに、偽の .env ファイル、囮の管理画面、honeytokensを返すのです。このhoneypotはWAFがすでに検査しているリクエストパスの中で動くため、追加でデプロイするものは一切なく、囮に触れた瞬間に、可能な限り早い警告があなたに届きます。
ディセプションが通常のトラフィックに発動することはありません。作動するのは、マネージドWAFがすでに敵対的と判定したリクエストに対してだけです。エクスプロイトのペイロード、パストラバーサルの探り、スキャナーのフィンガープリント、クレデンシャルスタッフィングのバースト。GooglebotやBingbotのような検証済みクローラーは恒久的な許可リストに登録され、囮を見せられることは決してないため、あなたのSEOと実ユーザーには一切影響しません。
.env、.git、バックアップアーカイブ、管理画面を探る動きには、ステータスコードではなく、もっともらしいファイルやページを返します。偽物は内部で整合が取れているため、攻撃者はサンドボックスの中で糸を手繰り続け、その間あなたの本物のデータは手の届かない場所に留まります。これは脇に置かれたhoneypot装置ではなく、稼働中のリクエストパスに織り込まれたディセプションです。
すべての偽の認証情報、APIキー、接続文字列は、どこでも通用しないhoneytokensです。それがインターネット上のどこかで使われた瞬間、攻撃者のフィンガープリントを添えたアラートがあなたに届きます。囮に触れるのは攻撃者だけなので、シグナルには実質的に誤検知がなく、運用できる中でもっとも早く、もっともクリーンな侵害検知になります。
付きっきりで世話をする必要のない、ファイアウォール。
多くのファイアウォールは、ルールエンジンとマニュアルを渡してくるだけです。当社のWAFは50k+のマネージドルールを備え、アプリの内側で動作し、約4ミリ秒で判定し、ポリシーを自ら最新に保つため、シグネチャの調整に費やす時間はゼロです。ノンブロッキングになるよう調整されており、本物のユーザーや正規のAPIトラフィックが誤検知を引き起こすことはありません。
リクエストが届いた瞬間、MITRE ATT&CKとOWASPでタグ付けした50,000+のルールから成るポリシーと照合されます。これは毎週更新し、いままさにアプリを狙う攻撃パターン向けの新しいルールも含みます。悪意あるものは、あなたのコードに届く前に止められ、判定は該当するルールとペイロードとともに記録されるので、ブラックボックスは何一つありません。問題なければ、数ミリ秒だけ加わって通過します。
WAFで難しいのは、攻撃を止めることではなく、あなたの顧客を止めないことです。当社のWAFは誤検知を防ぐ設計で、ルールはスコア付けとゲート処理を経て、正規のリクエストが当て推量で破棄されることは決してありません。APIレート制限は、通常の利用を絞ることなく、ルート単位・IP単位・アカウント単位で不正利用を抑えます。必要なときまで静かに構える保護が手に入ります。
ポリシーは当社側で管理されるため、あなたが古いルールセットで動かし続ける最後のサイトになることはありません。新しい攻撃パターンは中央で追加され、あなたの側での配信なしに、その日のうちにサイトへ反映されます。しかもフェイルオープン設計です。万一当社のサービスに到達できなくなっても、すべてのリクエストは通過し、あなたのアプリは稼働を続けます。攻撃者と確定した相手は、ただ遮断されるだけではありません。積極的に欺かれます。本物のデータの代わりに、筋の通った偽ファイルとhoneytokenを返すことで、侵入は無価値になり、あなたは可能なかぎり早い警告を得られます。
攻撃をブロックするか、それとも無価値にするか。
ブロックとディセプションは対立するものではありません。Defensoは1つのリクエストパスで両方を行います。ブロックで十分なところは敵対的トラフィックをブロックし、攻撃者に何時間も浪費させてフィンガープリントを差し出させたいところでは欺きます。アプリに組み込まれたアクティブディセプションが、ブロック単独や従来型の独立したhoneypot装置とどう違うかを、以下でご覧ください。
| 機能 | ブロック専用WAF | 独立型honeypot | Defensoアクティブディセプション |
|---|---|---|---|
| エクスプロイトを完全に止める | ✓ | × | ✓ |
| 攻撃者が探りの検知に気づく | あり | なし | なし |
| 辻褄の合った偽ファイルと囮パネルを返す | × | 一部 | ✓ |
| 再利用時に通報するhoneytokens | × | ✓ | ✓ |
| 後から追跡できる透かし入りの持ち出しデータ | × | × | ✓ |
| 攻撃者と確認された相手にのみ発動 | 対象外 | × | ✓ |
| 検証済みクローラーには囮を見せない | 対象外 | × | ✓ |
| アプリの中で動き、デプロイ不要 | ✓ | × | ✓ |
| Freeを含む全プランに標準搭載 | 製品による | × | ✓ |
APIの自動レート制限。
ファイアウォールの仕事は、ペイロードのブロックだけではありません。実際のトラフィックからAPIエンドポイントを検出し、ルートごと・IPごと・アカウントごとに乱用を抑えます。あなたが書くルールは一切ありません。
エンドポイントは自動で見つけます
ルートは実際のトラフィックから学習されるため、一覧を管理する必要はありません。新しいエンドポイントは自動で拾われ、保護が必要なものにはフラグが立ちます。
ルートごと・IPごと・アカウントごと
制限は効くべき場所にかかります。ログインルート、検索API、書き込みエンドポイント。1つのIPや1つのアカウントからのバーストは、正規ユーザーに触れることなく抑制されます。
ブルートフォース上限を最初から
ログインやトークンのルートには、初日からクレデンシャルスタッフィングとブルートフォースの上限が設定されています。何も設定しないうちから、パスワードスプレーやスクレイピングは入り口で止まります。
マネージドWAF と、CDNやエッジファイアウォール。
CloudflareのようなCDNは、アプリの手前にあるエッジを守ります。Defensoはアプリそのものを守り、CDNが本来担うはずのなかったセキュリティの仕事を上乗せします。多くのチームは両方を併用しています。
| CDN / エッジファイアウォール | DefensoマネージドWAF | |
|---|---|---|
| SQLi・XSS・SSRFをブロック | ✓ | ✓ |
| リクエストごとに監査できるルール + ペイロード | 場合による | ✓ |
| APIを自動検出し & レート制限 | × | ✓ |
| アクティブディセプション & honeytokens | × | ✓ |
| Webサイト & リポジトリのセキュリティスキャン | × | ✓ |
| 同じアカウント内でペンテスト & コンプライアンス | × | ✓ |
| 既存のCDNと併用可能 | — | ✓ |
いいえ。マネージドWAFには、私たちが毎週更新するMITRE・OWASPタグ付きルールのポリシーが同梱されています。そのまま使えて、必要ならPro以上で独自のカスタムルールを追加することもできます。
そうならないようにしています。GoogleやBingのような検証済みクローラーは許可リストに登録され、ルールは実際のトラフィックに合わせて調整されています。リクエストがブロックされたときは、どのルールが発動したかとペイロードを正確に確認できるため、誤検知があってもすぐに見つけて調整できます。
リクエストあたりおよそ4ミリ秒です。チェックはアプリの中で動いて素早く判定を返し、安全なGETレスポンスはエッジでキャッシュして、その分を取り戻せます。
何も壊れません。WAFは設計からしてフェイルオープンです。私たちのサービスに到達できなくても、すべてのリクエストは通過を許され、あなたのアプリは通常どおり配信を続けます。アプリはその間ずっと動き続け、止まるのは復旧までのライブなポリシー更新だけです。
いいえ、補完し合う関係です。CDNはエッジを守り、マネージドWAFはその奥にあるアプリを守り、さらにスキャン、ペンテスト、ディセプション、コンプライアンスを加えます。ほとんどのお客様は両方を併用しており、私たちはチェッカーのIPをあなたのCDNファイアウォールから外しておくので、ルールが誤ってダウンタイムアラートを引き起こすことはありません。
SDKでコードを1行追加するか、WordPressプラグインならワンクリックです。マネージドファイアウォール、レート制限、ディセプションが一緒に有効になり、保守すべき設定ファイルはありません。
アクティブディセプションは、攻撃者と確認された相手に対し、エラーではなく辻褄の合った偽の環境で応じます。もっともらしい偽ファイル、囮の管理画面、honeytokens。攻撃者が無価値なデータに時間を浪費する一方で、あなたには早期警告の侵害アラートが届きます。脇にラックして監視する従来型の独立したhoneypotと違い、Defensoのディセプションはあなたの実際のアプリの中、WAFがすでに検査しているリクエストパス上で動きます。だからこそ、稼働中のサイトを叩いている本物の攻撃者に対して発動し、追加でデプロイするものは一切ありません。Freeを含む全プランに標準搭載されています。
いいえ。ディセプションが発動するのは、リクエストがWAFから敵対的と判定された後だけです。通常の訪問者や、GooglebotやBingbotのような検証済みクローラーは恒久的な許可リストに登録され、囮を見せられることは決してないため、あなたのユーザーや検索順位に影響することはありません。honeytokensはどこでも通用しないので、正規の人が触れることはなく、だからこそアラートには実質的に誤検知がありません。