製品情報 組込み機器向け脆弱性検査

レイブン FFR Raven ネットワーク組み込み機器のセキュリティ検査

製品情報
特徴
システム要件
導入事例
カタログ
FAQ
販売店情報
お問い合わせ

製品概要

製品コンセプト

Fuzzing(異常パケット自動生成)によるロバストネス・テストで未知脆弱性を発見。
ネットワーク組み込み機器の脆弱性、セキュリティ・テスト・ツール。

近年、ネットワーク組み込み機器の脆弱性報告や攻撃が急増しています。組み込み機器は、インターネットが成熟期に入った段階で急速にネット化が進んだ経緯もあり、古典的なセキュリティ脆弱性を持つ機器が数多く存在しています。開発ベンダーのセキュリティ対策は十分でないことが多いので、多くのインシデントを経て安全性が向上したWindowsやUNIXの経験が生かされていないケースが多いのが現状です。

しかし、実際には製品のセキュリティ脆弱性対策は非常に困難です。未知セキュリティ脆弱性発見には、一般的に、非常に高度な知識と熟練した技術が必要であるため、人材の確保は困難であり、かつ、現在においてもセキュリティ脆弱性発見手法に関するノウハウの体系化は途上段階です。

このためFFRIでは、国内トップの実績を持つ未知セキュリティ脆弱性の発見を通して得られたノウハウを、製品開発の現場で簡単に検査を実施できるツールとして実装しました。「FFR Raven」は、非常に簡単な操作で、トップクラスのセキュリティ研究者が持つ脆弱性発見能力を利用する事ができ、製品のセキュリティ品質の向上を実現する事ができます。

※海外ではMicrosoft社やCisco Systems社が製品開発ライフサイクルにFuzzingでの検査を取り入れ、大きな成果をあげています。Fuzzingの特徴や効果については、IPA(独立行政法人情報処理推進機構)が公開している「ファジング活用の手引き」をご参照ください。

FFR Ravenの機能

FFRIの「脆弱性発見のノウハウ」=「Fuzzingにおける絞り込み技術」を集約し、
素早く効率的に未知のセキュリティ脆弱性を発見。

FFR Ravenは、未知のリモートセキュリティ脆弱性発見に特化したツールです。セキュリティ脆弱性を誘発する可能性がある異常なパケットの組み合わせを自動生成(Fuzzing)して送信することで、対象の異常をモニタリングする「ロバストネス・テスト」を実施します。

これにより、バッファオーバーフロー、整数オーバーフロー、フォーマットストリング、off-by-one、読み込み境界未チェック、異常リソース消費、サービス妨害など、多数の致命的な脆弱性を発見する事が可能です。
【図解】FFR Raven の検査方法
FFR Ravenでは、検査対象機器に様々な種類の異常なデータを送信し続けます。次に定期的に機器が生きているか、正常なデータを送信し、確認します。応答が無くなった場合、機器が脆弱性を持っていると判断します。
Fuzzingでは、全てのパターンを網羅的にテストする事で、理論的には全ての脆弱性を抽出する事ができます。しかし、現実的には全てのパターンを網羅する事は時間的・コスト的に不可能です。4バイトのパケットにおいても、2^32=4,294,967,296パターン存在しますので、1秒間に1000パターンのFuzzingを実施したとしても約50日の検査時間を要します。数100バイトのパケットであればその組み合わせは膨大なものとなり、現実的な時間で検査を終了する事は不可能です。

このため、Fuzzingにおいては、「網羅性」ではなく「絞り込み技術」が重要です。Fuzzerの性能とは、「現実的な時間で脆弱性をいかに発見できるか」が大きなポイントとなります。

FFR Ravenは、「脆弱性発見のノウハウ」=「Fuzzingにおける絞り込み技術」を集約し、非常に効率的に未知のセキュリティ脆弱性を発見します。

開発やテストフェーズなどのできるだけ早い段階で、製品のバグや脆弱性を修正することにより、大幅にコストを圧縮することができます。また、製品出荷後にバグや脆弱性が発見され、製品回収や周知にかかる莫大なコストが発生するリスクを極小化することができます。

またFFRIは、経済産業省の「平成22年度企業・個人の情報セキュリティ対策促進事業(新世代情報セキュリティ研究開発事業)」に係る委託先に採択されており、FFR Ravenはその研究開発で得られた知見が注ぎ込まれた製品です。
【NEXT】国産ソフトウェアならではのクオリティ「FFR Raven」の特徴とポイントをご紹介
よくお問い合わせをいただくご質問【FAQ】
製品に関する技術的なお問い合わせ【お問い合わせフォーム】