出典: SANS Internet Storm Center – https://isc.sans.edu/diary/rss/32436
原題: X-Request-Purpose: Identifying "research" and bug bounty related scans?, (Thu, Oct 30th)
バグバウンティ識別用の新HTTPヘッダー「X-Request-Purpose」の解析
近年、バグバウンティプログラムの普及に伴い、調査者が自身の活動を明示するための新しいHTTPヘッダーが登場しています。特に「X-Request-Purpose」などのヘッダーは、バグバウンティ関連のスキャンや調査リクエストを識別する目的で使用されています。本記事では、この新たなヘッダーの概要とその意義、技術的背景について解説します。
主要なポイント
- 新しいHTTPヘッダーの登場：「X-Request-Purpose: Research」や「X-Hackerone-Research」、「X-Bugcrowd-Ninja」、「X-Bug-Hunter」など、バグバウンティ活動を示すための複数のヘッダーが確認されています。
- バグバウンティプログラムとの関連：これらのヘッダーは、調査者がバグバウンティの一環としてリクエストを送信していることを示すために使われ、企業によっては使用を推奨または要求している場合があります。
- ヘッダーの信頼性とリスク：誰でもこれらのヘッダーを送信可能であり、真偽の保証はありません。ハニーポットでの観測例もあり、必ずしも正当な調査者の証明とはならない点に注意が必要です。
- 防御側の対応：これらのヘッダーの有無に関わらず、リクエストは通常のものとして扱うべきであり、特別な許可やブロックの判断材料とすべきではありません。
- 推奨されるセキュリティ対策：「/.well-known/security.txt」ファイルの設置が推奨されており、調査者が連絡先やポリシーを容易に確認できる環境作りが重要です。
技術的な詳細や背景情報
HTTPヘッダーは、クライアントとサーバー間の通信において追加情報を伝えるための仕組みです。今回注目されている「X-Request-Purpose」などのカスタムヘッダーは、標準仕様には含まれていませんが、特定の目的に応じて自由に定義・利用可能です。
バグバウンティプログラムとは、企業が自社システムの脆弱性を外部のセキュリティ研究者に報告してもらう仕組みで、報奨金（バウンティ）を支払うこともあります。こうした活動では、調査者が正当な目的でスキャンやテストを行っていることを明示することが望まれます。
しかし、これらのヘッダーは簡単に偽装可能であるため、防御側はヘッダーの有無だけで信頼性を判断せず、リクエストの内容や行動パターンなど多角的に評価する必要があります。
影響や重要性
この新しいヘッダーの導入は、バグバウンティ活動の透明性向上や企業と調査者間のコミュニケーション円滑化に寄与します。企業はこれにより、誤検知や不必要なブロックを減らし、正当な調査を効率的に受け入れやすくなります。
一方で、ヘッダーの偽装リスクや誤用の可能性も存在するため、防御側は過信せずに総合的なセキュリティ対策を継続することが重要です。また、/.well-known/security.txtのような標準化された情報公開手段の活用も、調査者と企業双方にとって有益です。
まとめ
「X-Request-Purpose」などのバグバウンティ識別用HTTPヘッダーは、調査活動の透明性向上に役立つ新たな試みです。しかし、これらのヘッダーは容易に偽装可能であるため、防御側はヘッダーの有無に依存せず、通常のリクエストと同様に扱うべきです。加えて、/.well-known/security.txtの設置など、より確実なコミュニケーション手段の整備も推奨されます。今後もバグバウンティ活動とセキュリティ運用のバランスを保つための取り組みが求められるでしょう。
