外部からWebアプリのバージョン情報を識別するツール「BlindElephant」公開

 米Qualysは7月28日(米国時間)、Webアプリケーションやプラグインのバージョン情報を識別するツール「BlindElephant」(ベータ版)を公開した。

 BlindElephantはPythonベースのWebアプリケーション向け「指紋検出」エンジンを備えたツール。各Webアプリケーションで利用される静的ファイルをスキャンし、そのハッシュを利用してバージョン情報を識別するというアプローチが特徴となる。Qualysによると、このアプローチは帯域の利用が少なく、サーバーや利用者に支障を与える可能性が少ないとしている。

 高速かつ高精度なのが特徴で、人の手による作業が最小限で利用できるという。標準的なWebアプリケーションは攻撃の対象になりやすいため、システム管理者やセキュリティ担当者はサーバー上で動いているWebアプリケーションを識別・管理しておく必要があり、BlindElephantはそのようなケースで有用だとしている、

 対象アプリケーションは、コンテンツ管理システム(CMS)の「Drupal」「Joomla!」をはじめ、「Mediawiki」「Wordpress」「Moodle」「Movable Type」「phpBB」「phpMyAdmin」「SPIP」など。プラグインはDrupal向け16種、Wordpress向け6種類に対応する。ライセンスはLGPL。

米Qualys
http://www.qualys.com/

QualysのBlindElephantページ
https://community.qualys.com/community/blindelephant