 |
 |
近年、ネットワーク組み込み機器の脆弱性報告や攻撃が急増しています。組み込み機器は、インターネットが成熟期に入った段階で急速にネット化が進んだ経緯もあり、古典的なセキュリティ脆弱性を持つ機器が数多く存在しています。開発ベンダーのセキュリティ対策は十分ではなく、多くのインシデントを経て安全性が向上したWindowsやUNIXの経験が生かされていないケースが多いのが現状です。 しかし、実際には製品のセキュリティ脆弱性対策は非常に困難です。未知セキュリティ脆弱性発見には、一般的に、非常に高度な知識と熟練した技術が必要であるため、人材の確保は困難であり、かつ、現在においてもセキュリティ脆弱性発見手法に関するノウハウの体系化は途上段階です。 このためフォティーンフォティ技術研究所では、国内トップの実績を持つ未知セキュリティ脆弱性の発見を通して得られたノウハウを、製品開発の現場で簡単に検査を実施できるツールとして実装しました。「FFR Raven」は、非常に簡単な操作で、トップクラスのセキュリティ研究者が持つ脆弱性発見能力を利用する事ができ、製品のセキュリティ品質の向上を実現する事ができます。
FFR Ravenは、未知のリモートセキュリティ脆弱性発見に特化したツールです。セキュリティ脆弱性を誘発する可能性がある異常なパケットの組み合わせを自動生成(Fuzzing)して送信する事で、対象の異常をモニタリングする「ロバストネス・テスト」を実施します。 これにより、バッファオーバーフロー、整数オーバーフロー、フォーマットストリング、off-by-one、読み込み境界未チェック、異常リソース消費、サービス妨害など、多数の致命的な脆弱性を発見する事が可能です。
このため、Fuzzingにおいては、「網羅性」ではなく「絞り込み技術」が重要です。Fuzzerの性能とは、「現実的な時間で脆弱性をいかに発見できるか」が大きなポイントとなります。 FFR Ravenは、「脆弱性発見のノウハウ」=「Fuzzingにおける絞り込み技術」を集約し、非常に効率的に未知のセキュリティ脆弱性を発見します。
FFR Ravenでは、ブロードバンドルーター、ネットワーク機器、情報家電、モバイル機器などの組み込み機器に既に大量の未知セキュリティ脆弱性を発見しています。 FFR Ravenでは、以下の検査項目に対応しています。 TCP/IP Option Fuzzing、IP Option Fuzzing (TCP)、IP Option Fuzzing (UDP)、IP Option Fuzzing (ICMP ECHO REQUEST)、ICMP Option Fuzzing (ICMP UNREACH HOST)、TCP Header Fuzzing、UDP Header Fuzzing、IPv6 Fuzzing、ICMPv6 Fuzzing、DHCP(IPv6) Fuzzing、SYN Flood DoS、Land Attack DoS、Ether Unuke DoS、Ether Fuzzing、ARP DoS、ARP Fuzzing、ICMP Ping of Death、ICMP Fuzzing、HTTP (POST/GET/etc) Fuzzing、DHCP Option Fuzzing、FTP Use/Pass Fuzzing、FTP Command Fuzzing、Telnet Account Fuzzing、Telnet Terminal Fuzzing、UPnP Fuzzing、SNMP Community Fuzzing、SNMP Encoding Fuzzing、TFTP Name Fuzzing、TFTP Type Fuzzing、SIP Fuzzing ※ 上記の約250万パターンの組み合わせを、約2.5時間で検査する事ができます。 ※ GUI上でIPv6のインタフェースを選択する事でIPv6の検査を実施する事ができます。
FFR Ravenは、Webブラウザ等のネットワーククライアントのセキュリティ脆弱性を検査することができます。FFR Ravenの「Client Fuzzing機能」を利用することで、FFR RavenがWebサーバとして動作し、スマートフォンや各種情報家電などからアクセスする事でWebブラウザのレンダリングエンジンを検査することができます。
FFR Ravenは、一般的なWindowsマシン(Windows XP/Vistaの各エディション対応)に簡単にインストールする事ができます。インタフェースは国産ならではの完全日本語であり、IPアドレスを入力して検査項目を選択するだけで簡単に検査を実施する事ができます。
FFR Ravenは、完全に国内のFFR R&D内で研究開発が完結しています。100を超える日本最多のセキュリティ脆弱性発見や、国内外においてセキュリティ脆弱性発見手法・脅威分析手法に関する多数の研究発表の実績を持つセキュリティ・エキスパートが、きめの細かいサポートをご提供致します。さらに、オプションにてより詳細なセキュリティ脅威分析や対策コンサルティングサービス等をご提供致します。
ソフトバンクモバイル様 導入事例  FFR Raven に関するお問い合わせ、評価版のご要望はこちら |
※価格については別途お問い合わせ下さい
