サンプルアプリケーションでランタイムセキュリティを体験

以前にallまたはassessオプションを指定してアプリケーションを実行していない場合は、 ./start.sh assess コマンドを使用して実行してください。

assessオプションによって、Contrast Assessが有効な状態でアプリケーションが起動します。

http://localhost:8080/でアプリケーションを参照します。

実行中のアプリケーション内をクリックし、ユーザ名をadminでパスワードをadminでログインしてみてください。

アプリケーションを操作している間、Contrastエージェントはアプリケーションのコードとライブラリデータを解析します。

Contrast Webインターフェイスにログインします。

Applicationsタブに移動し、オンボードしたアプリケーションをクリックします。

最新のデータを取得するには、ページの更新が必要な場合があります。

Vulnerabilitiesタブに移動して、Contrast Assessによって検出された脆弱性を確認します。

脆弱性データには、メソッドだけでなく、パラメータやシンク情報も取得されるため、これが実際に悪用可能な脆弱性であることが分かります。

脆弱性の名前をクリックすると、何が起こったのかの概要が表示されます。

How to Fixタブには、問題を解決するための推奨手順に関する情報が表示されます。

Librariesタブに移動し、ライブラリを選択すると、ライブラリのデータが表示されます。

エージェントは、実行時にライブラリ情報も自動的に収集するため、どのライブラリが実際に使用されているかを確認することができます。

この情報により、ライブラリの更新に優先順位を付けることが非常に容易になり、使用されていないライブラリの更新に時間を費やす必要がなくなります。

引き続き、新たにデプロイしたコードのテストを実行します。

https://github.com/Contrast-Security-OSS/demo-terracotta-bankで、Seleniumを使用したテスト付きのエージェントをダウンロードします。

Firefoxブラウザをインストールします。

./gradlew cleanTest testを使用してアプリケーションを実行します。

より多くのデータを取得して、より多くのルートを解析するために、手動または提供された自動テストを使用してアプリケーションをテストし続けてください。

CLIでstopコマンドを使用して、アプリケーションとエージェントを停止します：./stop.sh

アプリケーションは、startコマンドで再起動できます：./start.sh <environment> [port]

続けて、RASPを有効にして、既知の脆弱性を攻撃してみます。

以前にallまたはprotectオプションを指定してアプリケーションを実行していない場合は、./start.sh protectコマンドを使用して実行してください。

このprotectオプションによって、Contrast Protectが有効な状態でアプリケーションが起動します。

http://localhost:8082/でアプリケーションを参照します。

攻撃をブロックする方法を示すために、 SQLインジェクションを使用してTerracotta Bankを攻撃する方法について説明します。

ユーザのログインで以下の文字列を入れて攻撃します：admin' --

これを実行すると、SQLクエリの残りの部分は無視されるため、adminユーザとしてログインできます。

この操作は、本番環境における攻撃のようなものです。

Contrast Webインターフェイスにログインします。

最新のデータを取得するには、更新が必要な場合があります。

Attacksタブに移動し、Monitorを選択します。

Contrastで表示される攻撃データには、Source IP、Status、Application、Server、Rule、Start、End、およびEventsがあります。

SQLインジェクション攻撃を選択すると、攻撃者のIPや攻撃値などの詳細が表示されます。

攻撃をブロックするように、Protectルールを設定します。SQLインジェクションのルールを選択し、 Change Modeを選択し、全ての環境でBlockを選択してください。

(設定を忘れずに保存してください。)

Protectルールを設定することで、攻撃方法はブロックであることがエージェントに指定されます。

ルールが機能していることを確認するには、Terracotta Bankに戻り、攻撃を再試行します。

ログインできなくなっているはずです。

Contrastに戻り、新しい攻撃がブロックされたことを確認します。

引き続き、他の攻撃をお試しください。

./stop.shコマンドで、サンプルアプリケーションとエージェントを停止します。

アプリケーションは、startコマンドで再起動できます：./start.sh <environment> [port]