web-threat-mitigation

OWASP ZAP、Burp Suite、ModSecurity WAF（OWASP CRS使用）を用いたWebアプリの脅威の検出と緩和に関するハンズオンラボ。ケーススタディ：Spring4Shell（CVE-2022-22965）。Dockerベースのローカル環境でのセットアップ。

2. 初期スキャン をKali LinuxからOWASP ZAPを使用して実施：
   • 高リスクアラート：SQLインジェクション、Spring4Shell
   • 中リスク：CSP欠如、CSRFトークン、パラメータ改ざん
   • 情報：バージョン漏えい、潜在的なXSS、セッションの問題

3. リバースプロキシのデプロイ をDebian 12上でnginxを使用して実施。

4. WAFのセットアップ をOWASP CRSと、以下からロードしたルールで実施：
   root@kitploit:~

   /etc/nginx/coreruleset-4.9.0/crs-setup.conf
   /etc/nginx/coreruleset-4.9.0/rules/*.conf
   

   ルールはModSecurityログを確認してテストし、有効化しました。

5. WAF導入後のスキャン をOWASP ZAPで実施した結果：
   • アラートの減少（ブロックまたはマスクされたレスポンス）
   • WAF保護が有効であることの確認

6. エクスプロイトテスト をMetasploitを使用してSpring4Shellに対して実施：
   • WAFなし：RCE成功（リバースシェルペイロード）
   • WAFあり：CRS検出によりエクスプロイトがブロックされる

結論

このラボは、多層防御の重要性を示しています：

• 脆弱性のあるアプリは、保護なしで簡単に露出する可能性がある
• ZAP/Burpは脆弱性の特定と分類に役立つ
• ModSecurityとOWASP CRSは攻撃対象領域を効果的に削減する
• WAFは適切なチューニングにより、Spring4Shellのような実世界のCVEをブロックできる

著者

Bruno Paolo Huamán Vela （ペルー、リマ） サイバーセキュリティ専攻学生 – ウラル連邦大学（UrFU）