ARMS Application Security は、ランタイムアプリケーション自己保護 (RASP) 技術に基づくセキュリティ製品です。アプリケーションの実行中に、アプリケーションコードを変更することなく、アプリケーション自体への攻撃を検知してブロックすることができます。
前提条件と制限
Application Security は、Java アプリケーションのみをサポートします。
Application Security を使用する前に、アプリケーションを ARMS Application Monitoring に接続する必要があります。
アプリケーション監視の Java エージェントは、バージョン 2.7.1.3 以降である必要があります。接続されているアプリケーションのエージェントのバージョンを確認するには、ARMS コンソールにログインし、アプリケーションモニタリング > エージェントリスト ページに移動します。
機能
セキュリティ脆弱性攻撃に対する防御
Application Security は、SQL インジェクション、悪意のあるファイルの読み書き、悪意のあるファイルのアップロード、コマンド実行、任意のファイル読み取り、悪意のあるアウトバウンド接続、スレッドインジェクション、悪意のある DNS クエリ、インメモリ Web シェルインジェクションなど、アプリケーションのセキュリティを脅かす攻撃手法から防御します。Application Security は静的なルールライブラリに依存しないため、ゼロデイ脆弱性などの未知の脆弱性を悪用する攻撃からも防御します。
サードパーティコンポーネントのセキュリティリスク評価
Application Security は、セキュリティ脆弱性を含むサードパーティアプリケーションコンポーネントを自動的に評価します。各コンポーネントについて、評価ではコンポーネントの CVE 脆弱性、コンポーネントの詳細パス、脆弱性のリスクレベルとスコア、および関連するインスタンス情報が関連付けられます。これにより、開発チームとセキュリティチームは、サードパーティコンポーネントがもたらすリスクを把握し、リスクの詳細を特定し、優先度に従ってリスクを修正できます。
防御モード
Application Security の防御モードは、検知した攻撃を Application Security がどのように処理するかを決定します。モニターモードでは、Application Security は検知した攻撃を記録しますが、ブロックはしません。これにより、アプリケーションのセキュリティステータスを追跡し、対応する脆弱性をタイムリーに修正できます。モニターとブロックモードでは、Application Security は検知した攻撃をブロックします。
アプリケーションを接続した後、デフォルトの防御モードは モニター です。アプリケーションが安定して実行された後、モニターとブロック に切り替えてください。Application Security が報告するすべての攻撃は、実際のセキュリティ脅威として扱ってください。Application Security は、トラフィックシグネチャを照合するのではなく、実行時にアプリケーション内部の攻撃行動を識別するため、その誤検知率は従来のシグネチャベースの検知よりも低くなります。
仕組み
Application Security は、Alibaba Cloud Security の RASP 技術を基盤として構築されています。アプリケーションを実行するインスタンスに Application Security エージェントをインストールします。エージェントはアプリケーションの内部で実行され、主要な関数にフックして、アプリケーションが他のシステムとどのようにやり取りするかをリアルタイムで監視します。アプリケーションが疑わしい動作を示した場合、Application Security は現在のコンテキストを使用して攻撃を識別し、ブロックします。次の図は、RASP がアプリケーションを内部から保護する仕組みを示しています。
これは、感染症対策に例えることができます。ファイアウォールや Web Application Firewall (WAF) のような従来のペリメーターソリューションは、防護服やマスクのように機能します。これらは、伝染経路をブロックまたはフィルタリングすることで感染リスクを低減します。RASP は、よりワクチンに近い働きをします。体内に抗体を作り出し、ウイルスが侵入した際にそれを排除します。
RASP と WAF の併用
Application Security と WAF は、異なるポジションでアプリケーションを保護し、互いに代替するものではありません。WAF はペリメーターで、トラフィックがアプリケーションに到達する前に攻撃をフィルタリングします。一方、Application Security は実行中のアプリケーション内部で攻撃を検知し、ブロックします。それぞれが異なるビジネスおよびセキュリティ保護シナリオに適しています。ビジネス環境と要件に基づき、ARMS Application Security を Alibaba Cloud Web Application Firewall と併用してください。この組み合わせにより、ペリメーターとアプリケーション内部の両方で防御を構築し、アプリケーションの侵入、データ漏洩、サービスの利用不可などのリスクを最小限に抑えることができます。
次のステップ
ARMS コンソールでワンクリックでアプリケーションを Application Security に接続し、ターゲットアプリケーションのインスタンスを再起動します。アプリケーションコードを変更する必要はありません。手順については、「Application Security へのアプリケーションの接続」をご参照ください。
よくある質問
Application Security はアプリケーションの実行に影響しますか。
実行中のアプリケーションへの影響はごくわずかです。テストでは、追加の CPU オーバーヘッドは 1% 未満、メモリオーバーヘッドは 30 MB 未満、アプリケーションのレイテンシー (RT) は 1 ms 未満です。これらの数値は、テスト環境で測定された参考値として扱ってください。Application Security は、実行中のアプリケーションへの干渉を最小限に抑えるために、モニターモード とソフトサーキットブレーカーエスケープメカニズムも提供します。
Application Security に関するその他のよくある質問については、「Application Security に関する FAQ」をご参照ください。