サーバーサイドリクエストフォージェリ(SSRF):定義と防御

サーバーサイドリクエストフォージェリ(SSRF)では、攻撃者は日常的なコマンドを使用して、サーバーの秘密の部分を掘り下げたり、ITを完全に乗っ取ったりします。

SSRFは、セキュリティの脆弱性から始まります。コードの一部により、ハッカーは一般的なサーバーの応答を操作したり、ねじ曲げたりすることができます。そして、ハッカーが攻撃を成功させた場合、侵入者を検出するのは非常に困難になります。あなたのサーバーは、ハッカーが許可されたユーザーであると信じます。

SSRF攻撃の仕組みは?

あなたのサーバーは、すべてのWebサイト訪問者と活発で継続的な会話をしています。ハッカーは、SSRF攻撃中にこれらの通信の一部をねじ曲げます。

典型的なSSRF攻撃では、ハッカーは次のことを行います。

• 選択。 ハッカーは、サーバーが読み取るか応答するURLまたはコードを探します。
• 開始。 ハッカーは、表面的には無害に見えるリクエストを作成します。たとえば、ITは製品タイプに対する通常の要求のように思えるかもしれません。
• 変更。 ハッカーは、この通常のリクエストを、ファイアウォールのはるか後ろにあるサーバーの奥深くにあるリソースに対するリクエストに変更します。ハッカーは、このプロセスを使用して、サーバーへの管理者アクセス権を取得する可能性もあります。

SSRF 攻撃は、URL 文字列から発信される可能性があります。侵入者は、サーバーがデータを検索する場所や、サーバーがクエリを処理する方法を変更する可能性があります。しかし、SSRF攻撃は、サーバーがデータを返す方法を識別するスキーマから発生することもあります。

一部の侵入者はSSRFサーバー攻撃を起動します。 彼らはあなたの/管理者 URL に直接アクセスしませんが、コーディングと URL 操作で少し派手なフットワークをした後、外部から管理者セクションにアクセスできます。 一方、サーバーは、リクエストが内部の認証済みユーザーから送信されたと認識しています。このような状況では、ファイアウォールと侵入者アラームは、サーバーが作業が有効であると信じているため、無価値です。

侵入者は、プライベートIPアドレスを持っている場合でも、バックエンドシステムに対してSSRF攻撃を開始することもできます。 繰り返しになりますが、この問題が発生していることに気付かないかもしれません。

SSRFの攻撃でどのようにあなたを傷つけることができますか?

ハッカーは通常、SSRFの脆弱性を利用して、ファイアウォールで保護されていると思われるシステムを標的にします。彼らが中に入ると、影響は大きくなる可能性があります。

ハッカー はSSRF攻撃を使用して、次のことを行うことができます 。

• 逸らす。 ハッカーは第三者を特定し、サーバーから攻撃を開始します。 被害者は、あなたが損害の責任を負っていると信じています。
• 建てる。 ハッカーは、内部ネットワーク上の任意のホストに接続する可能性があります。
• ループ。 ハッカーは、アプリケーション (アプリケーション) サーバーで実行されているサービスに接続し直す可能性があります。 これが発生すると、ファイアウォールの制限が回避されます。

攻撃者は最近、壊滅的な攻撃でこの手法を使用しています。例えば、2019年には、 ハッカーがキャピトル・ワンのセキュリティ保護を破 り、1億600万人以上からデータを盗み出しました。このエピソードでSSRFの手法が使用されたことは広く認められています。

SSRF攻撃防止計画

SSRF攻撃が成功すると、侵入者は通常、ファイアウォールの背後にいます。日常的に使用する検出デバイスに頼るだけでは、侵害を特定することはできません。

検出ツールについて、ISPおよびセキュリティプロバイダにご相談ください。一部の会社概要では、この種の攻撃のためだけに作られたスクリーニングツールがあります。 それらを使用すると、問題が解決しないことを確認できます。

また、次のような常識的な予防措置を講じることもできます。

• ホワイトリストに登録します。 アプリケーション(アプリケーション)がアクセスできる DNS 名とIPアドレスを特定します。
• ブロッキング。 日常的な作業に必要のないスキーマは許可しないでください。
• 引き締め。 セキュリティに対してゼロトラストアプローチを使用し、常に再検証を要求します。

Okta は、ゼロトラストアプローチの力を信じています。実際、当社はゼロトラストセキュリティのリーダーとして認められています。このアプローチの仕組みと IT の実装方法について詳しく説明します。

参考文献

サーバー側のリクエストフォージェリ。OWASPです。

Capital One Breach:セキュリティチームが今できること。(2019年8月)。ダークリーディング。

サーバーサイドリクエストフォージェリ(SSRF):エクスプロイト手法。（2020年10月、Infosec. 

SSRF 101: サーバーサイドのリクエストフォージェリが Web アプリをすり抜ける方法。（2020年2月、Dark Reading）