当サーバーにて実装しているWAF（Web Application Firewall）をこれまでのmod_security2からJP-Secure社のSiteGuard Liteに変更しました。
普通に使えば導入時に25万円、更に年間12万円程度の製品ですが、「さくらのVPS」ではこれが無償で使えちゃいます。
導入後に少し動作検証しましたが、WordpressのようなCMSやCGI、Perlなどで通常操作が「攻撃」とみなされて「403エラー」となる可能性があります。
この場合は、下記を参照してご自身の「.htaccess」により特定のシグネチャまたは全てのシグネチャを検査の対象外として下さい。セキュリティリスクは高まりますが検査による動作不良は回避できます。
Apacheの<Files>や<Directory>ディレクティブ内での利用や自サイト全体での指定が可能です。
信頼の純国産WAF「SiteGuardシリーズ」 | WebセキュリティのEGセキュアソリューションズ
EGセキュアソリューションズは、国内利用サイト数No.1のソフトウェア型WAF「SiteGuardシリーズ」を開発・販売するウェブサイトセキュリティの専門企業です。高度なサイバー攻撃からお客様のウェブサイトを保護します。
www.eg-secure.co.jp
今回の導入にあたり、検査・管理のためにjavaプロセスが常駐することになります。
このため、更にサーバーのメモリを食ってしまう事で動作はmod_security2の頃よりも遅くなってしまう可能性があります。
各サイトのセキュリティ向上のためとは言え、あまりにも動作がモッサリする場合や、403エラーが頻発する場合は実装を見直す事も検討しますので皆さんのご意見を頂ければと思います。
コメント