Log4jで話題になったWAFの回避/難読化とは何か

はじめに 2021年12月に発見されたLog4jのCVE-2021-44228は、稀に見るレベル、まさに超弩級の脆弱性となっています。今回、私はTwitterを主な足がかりとして情報収集を行いましたが、(英語・日本語どちらにおいても)かなりWAFそのものが話題になっていることに驚きました。ある人は「WAFが早速対応してくれたから安心だ！」と叫び、別の人は「WAFを回避できる難読化の方法が見つかった。WAFは役に立たない！」と主張する。さらにはGitHubに「WAFを回避できるペイロード(攻撃文字列)一覧」がアップロードされ、それについて「Scutumではこのパターンも止まりますか？」と問い合わせが来るなど、かなりWAFでの防御とその回避方法について注目が集まりました。 実はWAFにおいては、「回避(EvasionあるいはBypass)」との戦いは永遠のテーマです。これは今回Log4jの件で

[umaemong]

Log4jはソースが公開されてるから、同一なアルゴリズムのパーサーを作れるってことか。

[flont]

WAFで緩和してるうちにさっさと更新する以外の選択肢はない

[yuangao]

今までWAFあまり役に立ってると感じることがなかったけど、log4jの件ではありがたみがわかった。初動の調査や対応の時間を稼いでくれる。

[t-tanaka]

これ，公表していいのかな？ WAFが単なるパーサーではなくロジック実行機能を実装しているとわかれば，計算量が爆発するロジック・ボムを送りこまれて，WAFにDoS攻撃されるぞ。

[rrringress]

これ読んで面白いと思える人は IPS のシグネチャ読むとまたおもしろいかもねぇ

[skomma]

すごい丁寧に詳しく書かれている

[t_f_m]

"この週末は最終戦までもつれ込んだドライバーズ・ワールドチャンピオンシップの決定戦であったため、「何としても早く仕事を仕上げ、F1観戦に影響を出さない」という強い意志"

[n314]

色んな言語のパーサ実装をそれぞれそのまま使えれば楽そうだけど、それだとめっちゃ遅くなったりするか。処理速度もかなり重要だよね。

[dnsystem]

なるほど

[Falky]

WAFは有償のほうが良い、無料とか安価なやつは攻撃者が手元でいくらでも解析できちゃうから、と。言われてみればそりゃそうである

[akahigeg]

面白い。WAF入れたら万全ってわけでもないことが分かる

[havanap]

金床さん

[kkobayashi]

すごいな。とは言えゼロデイはどうしようもないよなあ

[lorenz_sys]

WAFはお客さんとの契約の都合があれば導入するって感じ。WAFがあれば放っておいても大丈夫って人もいるようだが違うと思う。攻撃が顕在化した場合「WAFが悪いんです」って言ってもお客さんは納得しないからね。

[awkad]

アプリケーションよりの人たちにはなぜかネットワークよりのものはバグらないとでもいうような前提置いちゃう人がいるのだが、WAFやLB、スイッチなどがバグったら本当に悲惨なんだよねえ

[masa8aurum]

WAF "Scutum" の中の人が書いた記事。読んで、WAFについてイメージしやすくなった

[matsui]

“実はWAFにおいては、「回避(EvasionあるいはBypass)」との戦いは永遠のテーマです。これは今回Log4jの件で強く意識されたように「WAFが役に立つか、あるいは無駄なセキュリティ投資になるか」の境目を決定する要素”

[gachapining]

“Log4jと同じアルゴリズムで文字列を解析し、Log4jがLookupする際にキーにする文字列をまったく同じようにScutumのコード内で取得できるようにします” うおー、なるほどなぁ‥、でもパフォーマンス問題は起きないんだろう

[bopperjp]

フィルターに頼り切るのはムリだってことか

[gothedistance]

勉強になった。面白い。

[itotto]

おもしろい

[estragon]

記事中に引用されてる正規表現は進化してた　https://twitter.com/tfw_egglessness/status/1471249431945166852

[ys0000]

今回は特定の脆弱性の文字列を見る方法で対策をしてるが、別の方法で回避するかもな訳じゃない。WAFも完全じゃないから過信せずに脆弱性があるなら速攻対応しろよってことで。

[fa11enprince]

同じパーサーを作って防御か。なるほど

[yamami78651]

一進一退の攻防が繰り広げられてることがよくわかった

[yamadamn]

1)シグネチャ, 2)パーサによる解析, 3)ベイジアンネットワーク があるけど、今回2)で頑張ったと "Log4jと同じアルゴリズムで文字列を解析し、Log4jがLookupする際にキーにする文字列をまったく同じようにScutumのコード内で取得"

[ya--mada]

やっぱりイイヨね金床さん。<q>とある大手クラウドサービスにオプションとして用意されているWAFでは、</q>

[strawberryhunter]

難読化と言っても各フォーマットの仕様通りなので、一発目のリリースで対応できなかったWAFのメーカーは今後信用できないだろう。追記:WAFではできないとのこと→inboundのことしか書いていないけど、outboundのブロックは..

[napsucks]

WAFにパーサ積むのが正解っぽいが重くなりそうだし実装いかんではWAF自体がパーサの脆弱性突かれてDoS受けたりしそう

[maninthemiddle]

具体的で面白い