セルフホスト版 Odoo 向け Aikido Zen

Odoo は、CRM、eコマース、会計、在庫、製造、プロジェクト管理、倉庫業務、会計などの機能をカバーする、フル機能のモジュール型ビジネス管理スイート（ERP/CRM）です。

Odoo はオンプレミスまたはクラウドにデプロイできます。Aikido Zen は Odoo クラウドをサポートしていません。

Odoo は財務、在庫、発注書、顧客データ、請求書、生産データなどの重要なビジネスデータを扱うことが多いため、Odoo の侵害やエクスプロイトは深刻な結果をもたらす可能性があります。

そのため、Odoo は機密性の高いビジネスデータを社内で管理する必要がある組織や、インフラストラクチャを完全に制御したい組織にとって特に重要です。

Odoo にとって Aikido Zen が重要な理由

Odoo のインストールを正しく保護していても、Odoo 自体、サードパーティモジュール、またはカスタム統合のバグによって、データ漏洩や不正なデータアクセスが発生するリスクは残ります。

Aikido Zen は、サーバー側のランタイムセキュリティレイヤーとして機能します。アプリケーション環境に組み込まれることで、Zen は悪意のあるデータベースクエリ、安全でないファイルアクセス、アプリケーションからの外部 HTTP リクエストなどの疑わしいアクションを、実行される前に阻止します。これにより、Odoo のような複雑なモジュール型システムにおいても、脆弱性の悪用を軽減できます。

この追加レイヤーが Odoo にとって特に価値がある理由は次のとおりです。

Odoo はモジュール型アーキテクチャを採用しており、コアモジュールと多数のコミュニティモジュールやカスタムモジュールが共存しています。これにより攻撃対象領域が拡大します。
在庫、会計、注文、製造などのビジネスクリティカルな業務は、データベースとのやり取り、ファイルストレージ、または外部呼び出しに依存していることが多くあります。これらのいずれかが侵害されると、機密データの漏洩やビジネスロジックの破損につながる可能性があります。
多くのデプロイでは、データを完全に所有するためにオンプレミスでのホスティングが選択されています。そのような環境では、Zen によるランタイム保護を追加することで、データを外部に移動することなくセキュリティを強化できます。

Zen が Odoo を保護する仕組み

不正なトラフィックの緩和

Zen には、ブルートフォース型の試行を遅延またはブロックし、スキャンボットによるノイズがアプリケーションロジックに到達する前に除去するためのトラフィック制御機能が含まれています。

安全でないデータベース操作のブロック

Zen は実行時にデータベースクエリを検査し、SQL インジェクションや有害なクエリ操作に見えるパターンを阻止できます。これにより、データモデルとやり取りするカスタムコードやサードパーティモジュールに起因する問題を封じ込めることができます。

不正なファイルシステムアクセスの防止

多くのアプリケーションは、設定ファイル、添付ファイル、一時ファイルをディスクに保存しています。Zen は機密性の高いファイル操作を監視し、パストラバーサルや、許可されたディレクトリ外での予期しないファイルの読み書きをブロックします。

安全でないアウトバウンドリクエストと SSRF からの保護

多くのアプリケーションは、Webhook や API を介して外部サービスと連携しています。Zen はアウトバウンドの HTTP 呼び出しをチェックし、信頼できない入力から生成された安全でないリクエストをブロックできます。これにより SSRF の試みを防ぎ、内部ネットワーク上のターゲットへのアクセスを制限します。

アウトバウンドドメインの監視と制御

Zen は、サーバーが接続するすべてのドメインを表示します。ドメインをブロックまたは許可することで、データの送信先を制御できます。これは、カスタムモジュールからの予期しない呼び出しの検出、データ流出の防止、そしてチームが承認した連携に対して厳格な境界を維持するのに役立ちます。

ローカルのみでの検査

Zen は、リクエストデータを Aikido に送信することなく、サーバー上でローカルにセキュリティ判断を行います。これは、重要なビジネスデータとプライバシーが優先されるデプロイ環境に適しています。

次のステップ

ベータ版を近日提供予定です。詳細については Aikido サポートにお問い合わせください。