Cardinal Health、F5で不可欠な医療支援を保護

Cardinal Healthは、医療・検査用製品を製造し、それらの製品と幅広い医薬品を世界各地に供給しています。同社のモットーである「essential to care（医療に不可欠）」は、多くの地域社会の健やかな暮らしを支える同社の役割を表しています。同様に、さまざまなF5テクノロジーが、同社のデジタルアプリの健全な運用に欠かせない存在となっています。

ビジネス上の課題

世界中の医療機関が、手袋や医薬品からデータソリューションに至るまで、Cardinal Healthの製品とサービスを利用しています。オハイオ州コロンバス近郊に本社を置く同社は、世界で約48,000人の従業員を擁する上場企業です。年間売上高は2,000億米ドルを超え、この指標では米国企業の上位15社に入ります。

Cardinal Healthは、その事業規模と高い知名度から、サイバー攻撃の標的になることが少なくありません。同社は、オンプレミスのデータセンターと複数のクラウドの両方にアプリケーションを展開しています。長年にわたり、これらのアプリケーションは、F5 BIG-IP Local Traffic Manager (LTM)、F5 BIG-IP DNS、F5 BIG-IP Access Policy Manger (APM)、F5 BIG-IP Advanced Firewall Manager (AFM)など、複数のF5ソリューションによって提供されてきました。

「当社には既存のF5インフラストラクチャがあり、仮想IPのかなりの割合でSSLオフロードを行っていたため、その時点で検査を追加できました」と、Cardinal HealthのシニアシステムエンジニアであるRoger Bauer氏は述べています。同社は、インフラストラクチャにWebアプリケーションファイアウォール（WAF）を追加して、この検査を実施することにしました。Webトラフィックの可視性を高めることで、ITチームは進行中の脅威をより的確に把握し、攻撃をブロックしてアプリケーションのセキュリティを強化できるようになります。そこで、さまざまなWAFベンダーと選択肢の調査を開始しました。

ソリューション

Cardinal HealthはすでにF5とその製品を熟知していたため、検討対象のソリューションの中でF5 BIG-IP Advanced WAFが最有力候補となりました。信頼できるパートナーのソリューションを比較的短期間で導入し、統合できる点も魅力でした。Bauer氏は次のように述べています。「迅速に導入を進め、その価値を示すことができました」

最新のF5ソリューションは導入後に大きな成果を上げたため、Cardinal Healthは他のF5テクノロジーの導入も進めています。今後数か月のうちに、同社のITチームはF5 Distributed Cloud Web App FirewallやF5 Distributed Cloud DDoS Protectionをはじめとする、さまざまなF5 Distributed Cloud Servicesを導入する予定です。Distributed Cloud ServicesはすでにCardinal Healthの複数のWebサイトを保護しており、今後さらに多くの資産が保護対象に加わる予定です。

「保護を強化する必要がある一連のアプリを特定しました」とBauer氏は述べています。「これらのアプリはそれぞれ異なるファイアウォールやWAFの背後にあり、必要な対応が行き届いていませんでした」。現在、同社のハイブリッドおよびマルチクラウド運用に適した今後の導入計画を策定しています。

成果

脅威の可視性を確保しながらセキュリティを強化

BIG-IP Advanced WAFにより、Cardinal HealthへのインバウンドWebトラフィックの可観測性が大幅に向上しました。Bauer氏は次のように述べています。「F5のテクノロジーによって、ビジネスやアプリケーションの状況を幅広く可視化できるようになりました。さらにWAFテクノロジーへ移行したことで、検査レベルが飛躍的に高まりました」

同氏によると、その結果は目を見張るものでした。「舞台裏や暗号化された通信の内部で何が起きているのか、以前より詳しく把握できるようになりました。インターネットに潜む悪意について、多くのことを学びました」。たとえば、Cardinal HealthのIPアドレスを新たに公開すると、わずか2～3分で悪意のあるパケットを受信し始めることが分かりました。

現在では、次のように語っています。「ほぼ包括的な検査ポリシーを整備できています。検査は、アプリケーションやセキュリティリスクへの理解を深めるうえで非常に役立っています。F5 WAFの導入に至ったのは、検査するだけでなく、検査結果に基づいて対処できるようにするためでした」

悪意のあるトラフィックを40%削減

BIG-IP Advanced WAFは、Cardinal Healthによる大量の悪意あるトラフィックのブロックに貢献しました。Bauer氏は次のように述べています。「WAFを導入し、必要なOWASP Top 10の脅威や、検出したその他すべての脅威のブロックを開始したことで、トラフィックをおそらく20～30%削減できました。それでも、対応にはまだかなり追われていました」。Cardinal Healthは、さらなる攻撃トラフィックに対処するため、F5 IP Intelligence Servicesも導入しました。

「最初に導入すべきだったのは、こちらでした」とBauer氏は語ります。「その後、レピュテーションフィルターで悪意のある送信元を排除しただけで、トラフィックを40%削減できました」

F5 DevCentralの専門知識を活用

さまざまなF5テクノロジーを利用するBauer氏は、ソリューションやアイデアを得られる場として、F5 DevCentralの技術コミュニティを高く評価しています。また、余暇には全米で高く評価されるボランティアとして活動しており、他のF5ユーザーへの貢献が認められ、F5 DevCentral MVP Awardも受賞しています。

「DevCentralに貢献すればするほど、得られるものも増えるということに、すぐに気づきました」とBauer氏は語ります。「いつも学びがありますし、自分では思いつかなかったような方法に出会うこともあります。コミュニティが自分の不得意な部分を補ってくれるのがありがたいですね。サポートチケットを起票することだけに頼らず、質問を投稿して翌日にログインすれば、2つか3つの解決策を確認できます」

むしろ、解決策を提供する側に回ることのほうが多いバウアー氏ですが、「人に教え、コミュニティに還元することで、自分自身も豊かになり、成長できます」と語ります。

技術的負債の削減に必要なインサイトを獲得

Bauer氏が培ってきたF5テクノロジーに関する深い専門知識は、同社の技術的負債の削減に役立っています。Cardinal Healthほど長く事業を続けていれば、どの企業にも技術的負債は生じますが、F5テクノロジーはその削減に役立っているとBauer氏は述べています。

「技術的負債を組織から解消するのは非常に困難です。特に、担当者の入れ替わりがあった組織ではなおさらです」とBauer氏は語ります。「10年前に作られたアプリケーションもあり、それを開発して導入した担当者はもういません。バックアップ要員として訓練を受けた担当者も同様です」

幸い、可視性を確保することで、そのギャップを埋められる場合があります。たとえばBauer氏は、レガシーアプリへの受信トラフィックが、稼働時間監視ツールまたは証明書検査からのものだけかどうかを確認できます。「その場合は所有者の特定を試みます。特定できず、その状態が90日間続いていれば、アプリを無効にできます」

Bauer氏が「クラウドでは不可欠」とする技術的負債解消のもう1つの例は、ノードの構築と、名前およびIPアドレスによる割り当てから完全修飾ドメイン名（FQDN）への移行です。同氏は次のように述べています。「クラウドで直面した問題は、サーバーを停止して再起動すると、新しいIPアドレスが割り当てられることです。そのため、ノード定義にIPアドレスをハードコードすると、プールに別のノードを追加しなければなりません。FQDNに移行すれば、この問題を解決できます」

また、アプリが放棄され、サーバーがDNSから削除された場合も、そのことが明確になり、無効になったプールを切り離せます。Bauer氏は次のように述べています。「これにより、長年オンプレミスで起きていた問題を防げます。誰かがVIPを放棄した後、別の誰かがそのIPアドレスを再割り当てすると、本来そうなるべきではないのに、そのVIPが別のアプリケーション用として稼働してしまうことがありました。今では、停止時には一意の名前が付いており、再稼働時には新しい名前になるため、心配する必要がありません」

このような技術的負債の解消には、BIG-IPソフトウェアのF5 Application Visibility and Reporting (AVR)モジュールが大きな役割を果たしているといいます。Bauer氏は次のように述べています。「F5 AVRモジュールは本当に素晴らしく、大いに活用しています。このモジュールから情報を抽出し、整理すべき対象を特定する方法を身につけたことで、環境の安定性を高め、リスクを軽減できるようになりました」

これにより、同社のデジタル資産全体の健全性が向上します。Cardinal Healthが人々の健康を支えるという使命を追求する中で、F5とのパートナーシップが同社自身の強化にも役立っていると言えるでしょう。

お客様事例をすべて見る ›