SafeLine

SafeLine は、自分の Web アプリの前に置いて使う WAF（Web アプリケーションファイアウォール）です。利用者からのリクエストはいったん SafeLine を通り、攻撃と判定されたものはアプリに届く前に止められます。

この記事は、自分で Web アプリを運用している人や、守る側の仕組みを手を動かして知りたい人に向けています。読み終えると、次のことができるようになります。

• 検証用の Linux VM に SafeLine を入れて、管理画面にログインする
• 練習用アプリ OWASP Juice Shop を SafeLine の後ろに置く
• 管理画面のログで、遮断された記録を確かめる

##WAF の役割

WAF は、アプリに届く HTTP リクエストを手前で調べて、危ないものを落とす層です。アプリそのものの脆弱性は直しません。WAF が見逃したリクエストはそのままアプリに届くので、入力の検証や更新といったアプリ側の対策は WAF を入れても必要です。SafeLine の公式ドキュメントも、自前の測定で攻撃サンプルの検知率を 71.65%（バランスモード）と 76.17%（厳格モード）と載せています。全部を止める道具とは考えず、アプリへ届く攻撃を減らすための追加の層として使ってください。

##SafeLine でできること

公式ドキュメントによると、SafeLine は nginx をもとに作られた HTTP/HTTPS のリバースプロキシです。主な機能は次のとおりです。

• Web 攻撃の遮断：SQL インジェクション、XSS、コードインジェクション、OS コマンドインジェクション、XXE、SSRF、パストラバーサルなど
• レート制限：決めた上限を超えたアクセスを絞り、総当たりやアクセスの急増を抑える
• ボット対策：CAPTCHA などの確認を挟み、人は通してクローラーやボットを止める
• 認証画面：有効にすると、パスワードを入れた訪問者だけがサイトを見られる
• 動的保護：アクセスのたびに HTML と JavaScript を暗号化して返す

検知の仕組みについて、公式サイトは、HTTP トラフィックを深く解析して意味を読み取るセマンティック解析エンジンを使うと説明しています。料金表では、セマンティック解析による検知とルールによる防御が無償版にも含まれています。

##ライセンスとエディション

GitHub のリポジトリ表示と LICENSE ファイルは、どちらも GPL-3.0 です。開発元は GitHub の Chaitin Tech（chaitin）で、英語版の公式サイトと有償版の販売は CyberServal の名前で運営されています。両者の関係は未確認です。配布される Docker イメージのすべての部品のソースがこのリポジトリにあるかも未確認です。

エディションは 3 つあります。

ARM のサーバーで動かすには Pro のライセンスが要ります。無償版は x86_64 で使ってください。

##安全な試し方：Juice Shop を後ろに置く

試すのは、自分だけが使う検証用の VM にしてください。VM はホストオンリーなど、インターネットから届かないネットワークにつなぎます。作り方は安全な検証環境の作り方を参照してください。

1. VM の条件を確かめます。公式の最小構成は、Linux、x86_64 または arm64、1 コア / 1 GB メモリ / 5 GB ディスク、CPU の ssse3 命令、Docker 20.10.14 以上、Docker Compose 2.0.0 以上です。

2. 同じ VM で OWASP Juice Shop を Docker で起動します。

3. 公式のインストールスクリプトで SafeLine を入れます。root 権限が要ります。流す前にスクリプトを保存して中身を読んでください（下の「注意点」を参照）。

   bash -c "$(curl -fsSLk https://waf.chaitin.com/release/latest/manager.sh)" -- --en

4. 管理者のパスワードを発行します。表示されたパスワードは控えておきます。

   docker exec safeline-mgt resetadmin

5. ブラウザで https://<VM の IP>:9443/ を開き、ユーザー名 admin と手順 4 のパスワードでログインします。

6. 「Applications」画面の「Add Application」で、待ち受けるドメイン（VM の IP でもよい）とポート（例：80）を入れ、Upstream に Juice Shop のアドレス（例：http://<VM の IP>:3000）を入れます。

7. SafeLine 経由で Juice Shop を開き、普通に画面が出ることを確かめます。

##ログで遮断を確かめる

公式の「アプリケーションの追加」ページには、遮断を確かめるためのテスト用 URL の例があります。自分の Juice Shop に対してだけ試してください。

• 遮断されると、Juice Shop の画面の代わりに SafeLine のブロック画面が返ります。
• 管理画面の攻撃の一覧に記録が増えます。「detail」を開くと、そのリクエストの詳しい内容を見られます。
• 公式 FAQ によると、「遮断数」と攻撃ログの件数は一致しないことがあります。レート制限やボット確認、認証画面で止めたアクセスは攻撃イベントとして記録されないためです。

普通の操作がブロック画面になったら誤検知です。どの操作で起きたかをログで確かめてから設定を見直します。

##主な使い方

管理画面は 9443 番を使い、ほかに 65508 番（ヘルスチェック）と 65443 番（カスタムページ）も使います。

##注意点

##次に読む

• cd ../juice-shopOWASP Juice ShopSafeLine の後ろに置く練習用アプリ
• cd ../zapZAPWeb アプリの脆弱性を探す診断ツール
• cat ~/guides/lab-setup.md安全な検証環境の作り方