セキュリティ内部監査報告書 (パストラバーサル防御試験)

1. 監査概要

対象システム (OS)	LINUX (RHEL 9互換)
検証Webサーバー	Apache (httpd)
導入セキュリティ機構	CrowdSec + ModSecurity (WAF) + Fail2ban (Jail:apache-404, apache-auth, apache-noscript, php2shell, recidive)
試験実施日時	2026年11月2日 16:25:13 GMT
監査判定	合格 (PASS)

2. 試験内容と目的

Webアプリケーションにおける代表的な脆弱性である「パストラバーサル（ディレクトリトラバーサル）」擬似攻撃リクエストを送信し、導入されている防御機構（CrowdSec / ModSecurity / Fail2ban）が正しく機能するかを評価する。

実行テストコマンド（エビデンス）：

curl -I https://yin.or.jp/ ここは公開致しません

3. 試験結果（検出エビデンス）

上記テストコマンド実行時にサーバーから返却されたレスポンスヘッダー（生ログ）：

HTTP/1.1 403 Forbidden
Date: Mon, 02 Nov 2026 16:25:13 GMT
Server: Apache
X-Frame-Options: SAMEORIGIN
Content-Security-Policy: frame-ancestors 'self';
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000
Last-Modified: Mon, 23 May 2022 09:09:23 GMT
ETag: "16d3-5dfaa323016c0"
Accept-Ranges: bytes
Content-Length: 5843
Content-Type: text/html

4. 監査判定の詳細分析

返却ステータス	想定される状態	監査評価
200 OK	攻撃が成功し、内部ファイル（/etc/passwd）が漏洩。	不合格 (FAIL)
404 Not Found	セキュリティ層をすり抜けアプリまで到達。ファイル有無の探索を許す。	不合格 (FAIL)
403 Forbidden	WAF/CrowdSec/Fail2banが攻撃を検知し、アプリ手前で完全に遮断。	合格 (PASS)

5. レスポンスヘッダーの技術的評価

HTTP/1.1 403 Forbidden: 不正なパラメータ（../等）を検知し、最速でアクセス拒否に成功しています。
Last-Modified (Mon, 23 May 2022): サーバー内の重要ファイルの日付ではなく、LINUX OS のApache標準エラーテンプレート（ビルド時の固定キャッシュリソース）の日付が返却されています。これにより、タイムスタンプ経由の情報漏洩も一切発生していないことが確認されました。
各種セキュリティヘッダーの有効化: X-Frame-Options、Content-Security-Policy、X-Content-Type-Options、Strict-Transport-Security (HSTS) が適切に出力されており、多層防御が成立している極めて安全な状態です。

6. 結論

本試験において、CrowdSec + ModSecurity + Fail2ban による多層防御機構は正常に動作しており、悪意あるリクエストに対して理想的な遮断処置（403 Forbidden）を実行した。プラットフォームおよびアプリケーションの安全性が確保されているものと認める。