Nextcloud ServerのためのAikido Zen

Nextcloud は、ファイル、カレンダー、連絡先などを自社インフラ上に保存する、PHP製のセルフホスト型ファイルホスティング・コラボレーションプラットフォームです。

そのため、社内文書、顧客データのエクスポート、個人ファイル、バックアップなど非常に機密性の高いデータを保持していることが多くあります。

攻撃者がNextcloudスタックの脆弱性を悪用できてしまうと、そのデータを外部に持ち出したり、ネットワーク内に足がかりを築いたりすることが可能になります。Aikido Zenは、アプリケーションコード内でランタイム時に一般的なWeb攻撃をブロックすることで、このリスクを低減します。

Aikido Zenとは何か、なぜ重要なのか

Aikido Zenはアプリ内ファイアウォールです。ランタイムに組み込まれ、ファイルアクセス、アウトバウンドHTTP呼び出し、データベースクエリといった主要な機能を計装します。ユーザー入力が危険な形でこれらのセンシティブなシンクに到達すると、Zenは例外をスローし、処理が実行される前に操作を停止します。

Nextcloudの管理者にとって、これは以下の理由で重要です。

Nextcloudは、権限、共有、コメントを管理するためにデータベース（MySQLまたはPostgreSQL）とファイルシステムアクセスに依存しています。
カスタムプラグイン、サードパーティ製アプリ、周辺サービスにおける単一のインジェクションやパストラバーサルのバグが、一度に大量のデータを漏洩させる可能性があります。
Nextcloudはインターネットに公開されていることが多く、ボットや既知の脅威アクターの頻繁な標的となります。

Zenは、ユーザーがプラットフォームにアクセスする方法を変えることなく、Nextcloudが動作するサーバー上に追加の安全網を提供します。

ZenによるNextcloudの保護

不正なトラフィックの緩和

Zenにはトラフィック制御機能が含まれており、ブルートフォース的な試行を遅延・ブロックし、スキャンボットによるノイズがアプリケーションロジックに到達する前に排除するのに役立ちます。

安全でないデータベース操作のブロック

Zenはランタイム時にデータベースクエリを検査し、SQLインジェクションや有害なクエリ操作のように見えるパターンを停止できます。これにより、データモデルとやり取りするカスタムコードやサードパーティ製モジュールに起因する問題を封じ込めるのに役立ちます。

不正なファイルシステムアクセスの防止

多くのアプリケーションは、設定、添付ファイル、一時ファイルをディスクに保存します。Zenはセンシティブなファイル操作を監視し、パストラバーサルや、許可されたディレクトリ外への予期しないファイルの読み書きをブロックします。

安全でないアウトバウンドリクエストとSSRFからの保護

多くのアプリケーションはWebhookやAPIを介して外部サービスと連携します。Zenはアウトバウンドの HTTP 呼び出しを検査し、信頼できない入力から生成された安全でないリクエストをブロックできます。これにより、SSRF攻撃の試みを防ぎ、内部ネットワークのターゲットへのアクセスを制限します。

アウトバウンドドメインの監視と制御

Zenは、サーバーが接続するすべてのドメインを表示します。ドメインをブロックまたは許可することで、データの送信先を制御できます。これは、カスタムモジュールからの予期しない呼び出しの検出、データ流出の防止、チームが承認した連携先だけに厳格な境界を保つのに役立ちます。

ローカルのみでの検査

Zenはリクエストデータを Aikido に送信することなく、サーバー上でローカルにセキュリティ判断を行います。これは、重要な業務データとプライバシーを優先するデプロイメントに適しています。

次のステップ

まもなくベータ版が利用可能になります。詳細については Aikido サポートまでお問い合わせください。