未知のセキュリティ脆弱性を発見－ネットワーク組込み機器脆弱性検出ツール - Raven for Fuzzing

組み込み機器で製品の出荷後に脆弱性や不具合が発見された場合、製品回収などの莫大なコストがかかるケースが少なくありません。初期出荷時点で高い品質を求められる組み込み機器では、既知の脆弱性のみならず、未知の脆弱性に対しても留意が必要となります。 しかし、実際には製品のセキュリティ脆弱性対策は非常に困難です。未知の脆弱性発見には、一般的に、非常に高度な知識と熟練した技術が必要であるため、人材の確保は困難である上、現在においてもセキュリティ脆弱性発見手法に関するノウハウの体系化は途上段階です。 Raven for Fuzzingは、セキュリティ研究・サービスベンダーの検出ノウハウのツール化に成功。検査実績のフィードバックを反映するアップデートを随時行い、最新の動向に対応します。非常に簡単な操作でトップクラスのセキュリティ研究者が持つ最新の脆弱性発見ロジックを利用する事ができ、製品のセキュリティ品質の向上を実現できます。

製品テストで一般的に行われている脆弱性スキャンは、既知の脆弱性に対する対策が取られているかを確認する手法です。Ravenで採用している「Fuzzing Test」は、対象機器に対して不具合が起こり得る異常なパケットを自動生成・送信することにより、未知の脆弱性を検出する手法です。 Raven for Fuzzingは、未知のリモートセキュリティ脆弱性発見に特化したツールです。セキュリティ脆弱性による不具合を誘発しやすい異常なパケットの組み合わせを自動生成（Fuzzing）して送信する事で、対象の異常をモニタリングする「ロバストネステスト」を実施します。 これにより、バッファオーバーフロー、整数オーバーフロー、フォーマットストリング、off-by-oneエラー、読み込み境界未チェック、リソースの異常消費、サービス妨害など、多数の致命的な脆弱性を発見する事が可能です。

Raven for Fuzzingでは、ブロードバンドルーター、ネットワーク機器、情報家電、モバイル機器などの組み込み機器に既に大量の未知セキュリティ脆弱性を発見しています。数百万の検査パターンを数時間で実施可能です。

Raven for Fuzzingは、Webブラウザ等のネットワーククライアントのセキュリティ脆弱性を検査することが可能です。「Client Fuzzing機能」を利用することで、Raven for FuzzingがWebサーバとして動作し、スマートフォンや各種情報家電などからアクセスする事でWebブラウザのレンダリングエンジンを検査することができます。

Raven for Fuzzingは、一般的なWindowsマシン（Windows XP/Vista/7の各エディション(32bit版)対応）に簡単にインストールする事ができます。インタフェースは国産ならではの完全日本語であり、IPアドレスを入力して検査項目を選択するだけで簡単に検査を実施する事ができます。 また、マニュアルには送信パケットの詳細や検査アルゴリズムまで記述され、開発の現場で有用な情報を多数掲載しています。編集可能なMicrosoft Word形式の報告書テンプレートも添付されているため、短時間で検査レポートを作成する事も可能です。