出典: SANS Internet Storm Center – https://isc.sans.edu/diary/rss/32436
原題: X-Request-Purpose: Identifying "research" and bug bounty related scans?, (Thu, Oct 30th)
バグバウンティ関連の新HTTPヘッダー「X-Request-Purpose」の解析
近年、バグバウンティプログラムの普及に伴い、研究者やホワイトハッカーが企業の脆弱性を発見しやすくするための取り組みが進んでいます。今回紹介するのは、バグバウンティ関連の活動を示す新しいHTTPリクエストヘッダー「X-Request-Purpose」などの存在とその意味についての分析です。
主要なポイント
- 新しいHTTPヘッダーの登場：「X-Request-Purpose: Research」や「X-Hackerone-Research」、「X-Bugcrowd-Ninja」、「X-Bug-Hunter」などのヘッダーが確認されており、これらはバグバウンティ活動を示す目的で使われている。
- 企業によるヘッダーの推奨：一部の企業（例：Web.com）はバグバウンティ参加者にこれらのヘッダーの使用を推奨し、リクエストを識別しやすくしている。
- ヘッダーの信頼性とリスク：これらのヘッダーは誰でも送信可能であり、必ずしも正当な研究者からのものとは限らないため、過信は禁物。
- 防御側の対応：ヘッダーの有無にかかわらず、通常のリクエストと同様に扱い、内容に基づいてアクセス制御を行うことが推奨される。
- セキュリティ情報公開の推奨：まだ導入していないサイト運営者には、/.well-known/security.txtファイルの設置を推奨している。
技術的な詳細や背景情報
HTTPヘッダーは、クライアント（ブラウザやツール）からサーバへ送信される追加情報で、リクエストの性質や目的を伝える役割を持ちます。今回の「X-Request-Purpose」などのカスタムヘッダーは、標準仕様には含まれていませんが、バグバウンティ活動を識別するために企業と研究者間で非公式に使われています。
例えば、「X-Request-Purpose: Research」はそのリクエストが調査目的であることを示し、「X-Hackerone-Research: plusultra」はHackerOneプラットフォームの研究者名を示す可能性があります。これにより、企業側は問題が発生した際に迅速に研究者に連絡を取ることができます。
ただし、これらのヘッダーはHTTPリクエストの一部に過ぎず、改ざんや偽装が容易なため、セキュリティ対策としてはこれらのヘッダーだけに依存することは危険です。リクエストの内容や振る舞いを総合的に判断する必要があります。
影響や重要性
バグバウンティプログラムは企業のセキュリティ向上に大きく寄与していますが、研究者と企業の間でのコミュニケーションや識別が課題となっていました。今回のようなヘッダーの導入は、研究者の活動を明示的に示すことで、誤検知や誤解を減らし、より円滑な協力関係を築く一助となります。
一方で、これらのヘッダーを悪用して不正アクセスを試みる攻撃者も現れる可能性があるため、企業はヘッダーの存在に過度に依存せず、総合的なセキュリティ対策を維持する必要があります。
まとめ
新しいHTTPヘッダー「X-Request-Purpose」などは、バグバウンティ活動を識別するための有用な手段として注目されています。これにより、企業はバグハンターからのリクエストを特定しやすくなり、迅速な対応が可能になります。しかし、ヘッダーの偽装リスクを踏まえ、防御側は内容に基づくアクセス制御を行い、ヘッダーの有無にかかわらず適切にリクエストを処理すべきです。
また、ウェブサイト運営者は/.well-known/security.txtファイルを設置し、セキュリティに関する連絡先情報を公開することで、バグバウンティ参加者とのコミュニケーションを円滑にすることが推奨されます。
