OWASP ServerlessGoatを利用してセキュリティソフトの確認をする準備をしてみた

Toda Tomohiro

2022.02.15

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、コンサル部＠大阪オフィスのTodaです。

aqua社が提供しているAqua Enterprise版を試す機会がありNanoEnforcerとLambdaサーバレスの動作を確認するためOWASP Serverless Goatを使ってみようと思い導入方法をまとめています。

OWASP Serverless Goat とは？

OWASP Serverless Goatはイスラエルの PureSec社が作成したアプリケーションでThe Ten Most Critical Risks for Serverless Applications v1.0に基づきセキュリティの教育、指導向けにわざと脆弱性を埋め込まれている状態で公開されているWeb アプリケーションになります。
PureSec社は2019年5月に企業買収されてそれ以降GitHubのアップデートが止まっていますが、現状でも利用可能とのことで確認用途に利用しています。

■ GitHub OWASP/Serverless-Goat
https://github.com/OWASP/Serverless-Goat

■ ServerlessRepo serverless-goat
https://serverlessrepo.aws.amazon.com/applications/ap-southeast-1/075675446607/serverless-goat

注意事項

脆弱性を利用したテストはAWSが掲載している「侵入テスト」のポリシーを確認いただき、決まりを遵守するようにお願いします。

■ ペネトレーションテスト（侵入テスト）- AWS セキュリティ｜AWS
https://aws.amazon.com/jp/security/penetration-testing/

OWASP Serverless Goatは脆弱性が埋め込まれたアプリケーションになるためサービスが動作している実環境にはデプロイしないでください。
検証環境でセキュリティの勉強用途にご利用ください。
アプリケーションはIP制限を設定してご利用ください。

アプリケーションの導入

AWSへのログイン

検証用のAWS環境にログインをおこないます。

リポジトリから取得

AWS Serverless Application Repositoryにアクセスをしてserverless-goatのデプロイをおこないます。

■ ServerlessRepo serverless-goat
https://serverlessrepo.aws.amazon.com/applications/ap-southeast-1/075675446607/serverless-goat

画面表示右側の[Deploy]をクリックする事でSAMを利用したデプロイ画面が表示されます。

リポジトリから取得1

SAMの画面では内容は変更せず、画面下の[Deploy]をクリックします。

リポジトリから取得2

CloudFormationによる作成確認

デプロイを実行するとCloudFormationに「serverlessrepo-serverless-goat」という名称でスタックが作成されます。
ステータスがCREATE_COMPLETEになるのを待って[出力]欄に表示される[WebsiteURL]をクリックして画面が表示される事を確認します。

CloudFormationによる作成確認1

正常にデプロイができている場合、OWASP ServerlessGoatのページが表示されます。
※ロゴは開発元サイトが閉鎖されているため表示されません。
CloudFormationによる作成確認2

API Gatewayでアクセス制限

Serverless-GoatのAPIにアクセス制限を追加します。
[API Gateway]に移動をして作成されている[serverlessrepo-serverless-goat]を選択します。
[リソースポリシー]に移動をしてIPアクセスの制限を追記します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "execute-api:Invoke",
            "Resource": "arn:aws:execute-api:ap-northeast-1:(AWSアカウント番号):(API GatewayのID)/Prod/*",
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": "XXX.XXX.XXX.XXX/32 ※許可するIPアドレス"  
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "execute-api:Invoke",
            "Resource": "arn:aws:execute-api:ap-northeast-1:(AWSアカウント番号):(API GatewayのID)/Prod/*"
        }
    ]
}

API Gatewayでアクセス制限1