SHIELD Web 核心技術
1. Remote Browser Isolation (RBI)
概要
SHIELD WebのRBIは対外ウェブサービス保護に特化したサーバーサイドレンダリング技術です。従来の「検出と遮断」方式から脱却し、攻撃者とウェブサーバーの間を構造的に隔離して攻撃面自体を排除します。実際のウェブサーバーの代わりにSHIELD Webがすべての接続を処理し、脆弱性と攻撃を根本的に遮断します。
動作原理
伝統的なウェブサービス
1. ユーザーがウェブサイトのURLを入力
2. ブラウザが直接ウェブサーバーに接続
3. ウェブサーバーがHTML、JS、CSSを応答
4. ユーザーブラウザでレンダリングおよび実行
└─ リスク: 脆弱性がそのまま露出し、攻撃可能
API構造の露出、パラメータの操作が可能
サーバーIP、OS、ミドルウェア情報の露出
SHIELD Web方式
1. ユーザーがウェブサイトのURLを入力 (example.com)
2. DNS設定でSHIELD Webに接続
3. SHIELD Webが独立した仮想コンテナで実際のウェブサーバーに接続
4. SHIELD Web隔離環境でレンダリング
5. 安全なピクセルストリームのみをユーザーに送信
└─ 安全: 脆弱性の露出を防止、攻撃不可能
API構造の非公開、パラメータ操作不可
サーバーインフラ情報の完全隠蔽
隔離される要素
ウェブコンテンツ
- HTML パースおよびレンダリング
- CSSスタイルの適用
- JavaScriptの実行
- 画像、フォントの読み込み
ネットワーク
- すべてのHTTP/HTTPSリクエスト
- API 呼び出し
- WebSocket 接続
- AJAX 通信
セキュリティ脅威の遮断
- パラメータ操作
- セッションハイジャックの試み
- OS コマンドの挿入
- SSRF(サーバーサイドリクエストフォージェリ)
2. 攻撃面隠蔽 (Invisible Infrastructure)
概要
SHIELD Webはウェブサーバーの存在自体を外部から隠す『Invisible Infrastructure』構造を提供します。攻撃者が攻撃対象を特定できなければ、攻撃自体が不可能になります。
隠蔽されるインフラ情報
- サーバー IP アドレス: 実際のウェブサーバーIPが外部に露出しない
- OSおよびバージョン情報: オペレーティングシステムの種類·バージョンを識別できません
- ミドルウェア環境: ウェブサーバー(Apache, Nginx など)、WAS(Tomcat など) 情報非公開
- ソースコードおよびディレクトリ構造: ファイルシステムパスの推論不可
- エラーメッセージ: 内部システム情報が含まれたエラーがユーザーに伝達されない
活用効果
- APT(高度化した持続的脅威)などの高度なターゲティング攻撃の偵察段階自体を無力化
- 防産・国防などの高リスク機関のインフラ保護に特に有効
- ゼロデイ脆弱性公開時にもサーバー識別自体が 不可能であり、被害最小化
3. DNSベースの適用方式
概要
SHIELD WebはDNS変更だけで簡単に適用できる構造で設計されています。既存のウェブサービスの修正は全く必要ありません。
適用手順
-
1ステップ: DNSの変更
-
2段階: SSL証明書の提供
-
3段階: ファイアウォール設定
- 外部からウェブサーバーに直接接続不可
- SHIELD Webを通じた接続のみ許可
- 迂回接続の元凍結
4. サーバーサイドレンダリング
クロミウムエンジン
技術スタック
- Google Chromium ベースのレンダリ ングエンジン
- 最新のウェブ標準を完全にサポート
- JavaScript V8 エンジン
- WebGL、Canvas サポート
サポート範囲
- HTML5, CSS3
- ECMAScript 2015+ (ES6+)
- 最新のJavaScript API
- ウェブアニメーション、Transition
WebJet™ プロトコル
SOFTCAMP 独自開発技術
特徴
- 標準HTTPS（443ポート）のみ使用
- ファイアウォール追加設定不要
- 中継サーバーなしで直接ストリーミング
セキュリティ
- 画面データ（ピクセルストリーム）だけを送信
- ソースコード未公開
- API 構造 非公開
- オリジナルコンテンツにアクセスできません
性能
- 低遅延
- 高品質な画面転送
- 効率的な帯域幅の使用
5. ウェブ脆弱性保護
国家情報院ウェブ脆弱性21項目対応
SHIELD Webは公共機関の定期的なセキ ュリティ診断時に**補完制御(Compensating Control)**手段として活用されることがあります。サーバー自体の脆弱性が存在しても、RBI隔離構造が攻撃経路を根本的に遮断します。
| 番号 | 国家情報院 診断項目 | SHIELD Web 対応方式 | 診断結果（例） |
|---|---|---|---|
| 1 | SQL Injection | RBI階層での入力値検証および異常プロトコルのブロック | 良好 |
| 2 | Cross Site Scripting (XSS) | スクリプトは隔離されたコンテナ内でのみ実行され、ユーザーPCへの影響はゼロです。 | 良好 |
| 3 | 位置公開 (Directory Listing) | サーバーディレクトリ構造がピクセル化されて露出源を遮断 | 良好 |
| 4 | 脆弱なメソッド (WebDAV) | RBIポリシーにより、PUT、DELETEなどの不要なHTTPメソッドを拒否 | 良好 |
| 5 | エラーメッセージの表示 | サーバ内部エラーがユーザー画面にテキストで伝達されない | 良好 |
| 6 | バックアップファイル/ログの露出 | 実際のファイルシステムパスが推測不可能に隔離されている | 良好 |
| 7 | ファイルアップロードの脆弱性 | CDR技術と連動して悪性ファイルの流入を遮断した後アップロード | 良好 |
| 8 | ファイルダウンロードの脆弱性 | 実際のサーバーパスの隠蔽とパス・トラバーサルの防止 | 良好 |
| 9 | 管理者ページの表示 | 認証されたユーザー以外の管理ページアクセス経路を完全に遮断 | 良好 |
| 10 | 脆弱な情報の露出 | ソースコードのコメント、メタデータなどがピクセルストリーミングで隠されています | 良好 |
| 11 | パラメータ改ざん | ユーザーのURL直接操作がサーバーに影響を与えないように隔離 | 良好 |
| 12 | 不十分な認証 | RBI段階での二次認証(MFA)連携による強力なアクセス制御 | 良好 |
| 13 | 不十分なセッション 管理 | セッションハイジャックが不可能な一回性/隔離型セッション構造の適用 | 良好 |
| 14 | 不十分な認可 (ACL) | ユーザー別アクセス可能リソースをRBIポリシーで精密制御 | 良好 |
| 15 | クッキーの改ざん/脆弱性 | ユーザーのローカルデバイスに実際のサービスクッキーを保存しません | 良好 |
| 16 | HTTP ヘッダー 改ざん | RBIサーバーでリクエスト/レスポンスヘッダーを再構成して送信 | 良好 |
| 17 | 信頼しない外部入力 | すべての入力をコンテナで一次処理するゼロトラストモデル | 良好 |
| 18 | 弱い暗号化アルゴリズム | 古いバージョンのサーバーでもRBIが最新のTLS通信を代わりに実行（SSLオフロード） | 良好 |
| 19 | リダイレクション脆弱性 | 未承認の外部ドメインへの強制リダイレクトの政策的ブロック | 良好 |
| 20 | サーバーサイドリクエストフォージェリ (SSRF) | ウェブサーバーの内部ネットワーク照会試行を隔離レイヤーで検出/ブロック | 良好 |
| 21 | OS コマンドの挿入 | ウェブサーバーOSと直接通信しないため、コマンドインジェクションは不可能です | 良好 |
6. Web APIの保護
API 非公開
一般ウェブサービス
ブラウザ開発者ツール (F12) を開く
→ Network タブで API 呼び出しを確認
→ URL、パラメータ構造を把握
→ Postman、curl などで直接 API 呼び出しが可能
例:
GET /api/users/123
POST /api/payment
DELETE /api/order/456
SHIELD Web
ブラウザ開発者ツール (F12) を開く
→ SHIELD Web ストリーミングプロトコルのみ表示
→ 実際の API URL、パラメータの確認不可
→ 直接 API 呼び出し不可
ユーザーは画面のみを見て操作
実際の API は SHIELD Web のみ呼び出し
API アクセス制御
ファイアウォール連携
実際のウェブサーバーのファイアウォール設定:
- 許可: SHIELD Web IPのみ
- ブロック: その他すべての外部接続
効果:
- APIエンドポイントの外部露出防止
- 不正アクセスの完全ブロック
- DDoS攻撃の一次防御
- 直接API呼び出し不可