WAF 「SOLVDEFENCE OnSite（ソルブディフェンス・オンサイト）」

構成・運用に関する質問

Q1. 別途、管理用のサーバ等は必要ですか？

A1. 必要ありません。
防御したいサーバ上にソフトウェアをインストールしていただくことで管理コンソールもセットアップされます。
なお、複数台のサーバにSOLVDEFENCEを導入し、かつWebコンソールにて一元管理を実施する場合は、うち一台をプライマリノードとして指定いただくことで、一つのWebコンソール上に複数台の監視ログを表示することができます。

Q2. 設定変更はサーバに直接接続されたコンソールから行うのですか？

A2. 基本的にはサーバコンソール上で設定していただきますが、Webコンソールを使用することでクライアント上のブラウザから、監視/管理することもできます。
ただし、一部設定についてはWebコンソールから実施できないものがあります。

Q3. 攻撃を受けた場合のアラームはどういった形で出されるのですか？

A3. メールによる通知と、WebコンソールのStatusMonitorで参照できます。
WebAlerter・LogScan・PatchManagementに関しては、一日一回のレポートメールが、SystemRecoverとPermissionCollectorについては、リアルタイムでメールを送信します。
Webコンソールの場合は、監視ログの送信間隔を任意に設定いただけます。既定では1分毎に更新されます。
StatusMonitorは、Ajax機構を使用しておりますので、ブラウザ上で自動的に情報が書きかわります。（IE6,7、FF2,3による動作確認済み）

Q4. 将来的にSNMPに対応する予定はありますか？
検知内容は製品のログ（テキスト形式）にリアルタイムに書き込まれますか？
また、Windowsのイベントビュアーに表示することは可能でしょうか？
（メールが使えない可能性が高いため、ログの監視による検知も考えております。）

A4. SNMPへの対応、イベントビューアへの表示ともに技術的な課題は特にございません。
SOLVDEFENCE3.0.2より、イベントログへの出力方式を変更しましたが、出力内容を限定しており、今後お客様のご要望に応じて、出力内容の強化を図ってまいります。
なお、SOLVDEFENCEの5つの機能全て、テキスト形式のログをリアルタイムで出力しておりますので、それらのログを監視ツールに個別に設定して監視することも可能です。

Q5. アラートメール送信設定で、SMTP認証を必須で要求されている環境ではどのように設定すれば良いでしょうか？

A5. SOLVDEFENCEのメール送信機能は、SMTP認証対応です。
標準認証、暗号化認証（CRAM-MD5）「Pop Before SMTP」「APOP」「IMAP」が使用できます。

Q6. 日々の運用の中で行う操作・作業等の具体的な内容について教えてください。

A6. 1年に1回のライセンス更新作業。
不定期のアップデート作業。
それ以外の日常運用においては、レポートメール（もしくはWebコンソール）の確認を実施いただきます。
それぞれの機能ごとに、レポートメールチェック後の対処について以下に記述します。

1. WebAlerter（サマリメール）：
   前回のレポート以降に検知/防御した不正アクセスをレポートします。定期的にメールが届いているか、チェックしてください。
   Webアプリケーションに対する正規のリクエストが除外されていないか確認してください。誤検知に関してはWebAlerterのチューニングを行ってください。
   チューニング方法が不明の場合は、ログファイルを採取してSOLVDEFENCEサポートに問い合わせてください。
2. SystemRecover（改ざんを検知したらメールが届きます：）
   オペレータの方が、その時間帯にコンテンツの入替等の作業を行っていなかったか確認してください。SystemRecoverコンテンツセーフの監視停止をせずに作業を行った可能性があります。
3. PermissionCollector（権限設定に変更があった場合にメールが届きます）：
   オペレータの方が、その時間帯に権限設定変更等の作業を行っていなかったか確認してください。PermissionCollectorの監視停止をせずに作業を行った可能性があります。

Q7. 正規のアクセスを除外してしまうなど、問題が発生した場合のチューニングはどの程度の工数が必要ですか？また、そのチューニング作業は誰が行うのですか？

A7. チューニングは、正当なアクセスを不正なものと誤認してしまうFalsePositiveを対象としています。SOLVDEFENCE導入後、一連のWebアプリケーションを実行してテストをしていただき、もしFalsePositiveが発生すれば、チューニングを行うことになります。
一連の作業は以下のようになります。実際の設定変更は数分で完了しますが、開発チームによる原因調査にお時間をいただく場合があります。

1. 正規のアクセスが除外されることを確認。
2. ログ（walert.logとwalert_detail.log）を採取して、SOLVDEFENCEサポートにメールで送信。
3. サポートチームで原因調査後、該当のヒューリスティックIDのパラメータ変更方法をご連絡。
4. お客様管理者がコンソールから設定を変更し動作確認。作業完了。

ページの先頭へ戻る