Web Application Security フォーラム 第5回 コンファレンス(21日記)

WASフォーラムのやまがたさんのレポートです。

確かにPOSTの攻撃ログは全く残らないなぁ。。。

現状の Webサーバが残すログ（GET のみ）だと、POST での攻撃が残らないという問題点からパネルディスカッションがスタートしました。

大規模サイトすげぇ。1秒が数万行。

改ざん検知や時刻証明のためのデジタル・タイムスタンプの話や、大規模サイトでは 1秒間のログが数万行にもなってしまい全てを残しておくことやそれを解析することが困難であるとの話や、ログには個人情報が含まれるため該当パラメータをマスクしてログに残している事例の話や、ログを全て残すのではなくサンプリングで残す話の良し悪しなどが、パネラー＆会場の参加者からありました。

勉強になります。POSTの保存というのは本当に必要みたいだなぁ。WAFとかいれて保存が一番良いのかな。

今回の話を聞いていて私が思ったのは、やはり色々なレイヤーでのログを残して置くことが必要だなぁということですね。 それぞれのレイヤーで残せる内容も違いますし、何が起きたのかで調べたい場所も違いますものね。 POST のデータを残しておくことは今後本当に必要＆スタンダードになっていくと思いますが、例え、GET/POST の内容が残っていたとしても、そのリクエストの結果どうなったのかということは、WAF や Webサーバのログではステータスコードと転送バイトくらいしか残らないので、例えば、決済のようなアプリの処理が成功したのか失敗したのか、どのユーザIDでログインした人間が行ったのかなどは、Webアプリが独自に残すログに頼るしかありませんものね。

---