強制ブラウジング

強制ブラウジングとは

強制ブラウジングとは、Webサイトが一般公開を意図していないディレクトリ、ファイル、その他のリソースへのアクセスを攻撃者が試みるサイバー攻撃の一種です。攻撃者は、公開ページやリンクをたどる代わりに、ブラウザのアドレスバーにURLを直接入力し、サーバー上の隠しファイルやディレクトリを探ります。非公開パスを特定する一般的な方法には、次のものがあります。

• ディレクトリリスティング
  Webサーバーのディレクトリインデックス機能が有効になっている場合、ディレクトリのURLを指定すると、そのディレクトリ内のファイル一覧が表示されることがあります。該当するディレクトリに機密ファイルが存在すると、攻撃者はそのファイル名を容易に特定できます。
• HTMLファイルのコメント
  HTMLコード内に埋め込まれたコメントによって、非公開リソースへのパスが意図せず明らかになる可能性があります。
• URLの推測
  攻撃者は、ディレクトリ一覧やHTMLコメントの情報を調べることで、サイトの命名規則を推測できる場合があります。さらに、そのパターンを利用して、他のディレクトリにある非公開ファイルの名前を推測できます。

防止策：

強制ブラウジング攻撃を防ぐには：

• ディレクトリ一覧表示機能を無効にします（Apacheでは、http.confから「Indexes」オプションを削除します）。
• 公開HTMLファイルから不要なコメントを削除します。
• Webアプリケーションに許可するアクセス範囲を制限します。

さらに、Web Application Firewall（WAF）を導入することで、このような攻撃を効果的に緩和できます。F5は、F5 BIG-IP,を提供しています。堅牢なWAF機能を統合し、強制ブラウジングなどのサイバー脅威から保護します。