出典: SANS Internet Storm Center – https://isc.sans.edu/diary/rss/32436
原題: X-Request-Purpose: Identifying "research" and bug bounty related scans?, (Thu, Oct 30th)
バグバウンティ調査を示す新しいHTTPヘッダー「X-Request-Purpose」の解析
近年、バグバウンティプログラムに参加するセキュリティリサーチャーを識別するための新しいHTTPリクエストヘッダー「X-Request-Purpose」などが注目されています。これらのヘッダーは、リクエストがバグバウンティ調査の一環であることを示す役割を持ち、企業とリサーチャー間のコミュニケーションを円滑にする狙いがあります。
主要なポイント
- 新しいHTTPヘッダーの登場：「X-Request-Purpose: Research」や「X-Hackerone-Research」、「X-Bugcrowd-Ninja」、「X-Bug-Hunter」など、バグバウンティ調査を示す複数のカスタムヘッダーが確認されています。
- バグバウンティプログラムでの利用：一部の企業では、バグバウンティ参加者にこれらのヘッダーの使用を推奨または要求しており、リクエストが調査目的であることを明示しています。
- ヘッダーの信頼性とリスク：これらのヘッダーは任意に送信可能であり、正当なリサーチャーの証明にはならないため、ヘッダーの有無だけでアクセス制御を行うのは適切ではありません。
- 運用上の推奨：これらのヘッダーを含むリクエストは特別扱いせず、通常のセキュリティポリシーに基づいて処理すべきであり、ブロックや許可の判断はリクエストの内容に依存すべきです。
- セキュリティ情報の公開推奨：まだ導入していないウェブサイトには、/.well-known/security.txt ファイルの設置が推奨されており、セキュリティ連絡先情報の明示に役立ちます。
技術的な詳細や背景情報
HTTPヘッダーは、クライアントからサーバーへ送信される追加情報であり、リクエストの性質や目的を伝えるために利用されます。今回注目された「X-Request-Purpose」などのカスタムヘッダーは、標準仕様には含まれていませんが、バグバウンティプログラムの参加者が自らの調査活動を明示するために導入されています。
例えば、「X-Request-Purpose: Research」はリクエストがセキュリティ調査目的であることを示し、「X-Hackerone-Research: plusultra」や「X-Bugcrowd-Ninja: plusultra」は調査者の識別子を含むことがあります。これにより、企業側は問題発生時に該当リサーチャーへ連絡しやすくなります。
しかし、これらのヘッダーはHTTPリクエストの一部に過ぎず、誰でも自由に設定可能なため、ヘッダーの存在だけで信頼性を判断することはできません。したがって、セキュリティ対策としては、ヘッダーを参考情報の一つとして扱い、リクエストの内容や挙動に基づいて総合的に判断する必要があります。
影響や重要性
このようなヘッダーの導入は、バグバウンティプログラムの透明性と効率性を高める効果があります。企業は調査活動を識別しやすくなり、誤検知や誤対応を減らすことが可能です。また、リサーチャー側も自身の調査活動が正当なものであることを示しやすくなります。
一方で、ヘッダーの偽装リスクを考慮し、過信は禁物です。攻撃者がこれらのヘッダーを悪用して調査者を装う可能性もあるため、ヘッダー情報だけに依存しない多層的なセキュリティ対策が求められます。
さらに、/.well-known/security.txt ファイルの設置は、セキュリティ問題の報告先を明示する国際標準（RFC 9116）であり、バグバウンティプログラムを運営しない組織でもセキュリティ対応の透明性向上に寄与します。
まとめ
新たに登場した「X-Request-Purpose」などのHTTPヘッダーは、バグバウンティ調査を示す有用な手段として注目されています。これらのヘッダーは調査活動の識別や連絡を円滑にする一方で、偽装のリスクもあるため、単独での信頼はできません。企業はこれらのヘッダーを参考情報として活用しつつ、リクエストの内容に基づいた適切なセキュリティ対策を継続することが重要です。また、/.well-known/security.txt の設置もセキュリティ対応の一助となるため、未導入の組織は検討を推奨します。
