Trinity Cyber、F5の支援でサイバー攻撃者を阻止

Trinity Cyberの特許取得済みサイバーセキュリティソリューションは、誤検知をほぼゼロに抑えながら、セキュリティリスクを検出し、悪意のあるコード、ランサムウェア、ファイルエクスプロイトなどの脅威をインラインで除去することで、お客さまを保護します。F5 BIG-IP SSL Orchestratorは、コンテンツ全体の検査と脅威緩和を実現するうえで重要な役割を果たします。

ビジネス上の課題

「悪者を阻止する」——Trinity Cyberは、自社の使命をこのように表現しています。同社は2017年、米国国家安全保障局（NSA）の脅威オペレーションセンターで副所長を務めたSteve Ryanと、2人の米国大統領の国土安全保障担当補佐官を務めたThomas P. Bossertを中心とする、NSAの元専門家によって設立されました。米国内で分散型プライベートクラウドを運用し、約52人の従業員を擁して、高度なサイバーセキュリティを顧客に提供しています。顧客には、重要インフラの運用事業者、国防総省の一部門のほか、金融、エネルギー、文民政府などの分野で、損失リスクの高い組織が含まれます。

Trinity Cyberのチームは自らをシンプルに「善玉」と呼んでいますが、誤検知率をほぼゼロに抑え、多くの企業よりもプロアクティブにお客さまを保護する同社の革新的なテクノロジーとサービスには、単純なところなどありません。Gartnerと『Dark Reading』が最近、同社を注目企業に選んだのも不思議ではありません。

「多くの企業は、従来型の侵害指標（IOC）のブロックに大きく依存しています」と、エンジニアリング担当ディレクターのStefan Baranoff氏は述べています。「これには2つの問題があります。第1に、IOCは攻撃の発生後に、通常はトラフィックのコピーであるSPANポートを監視して導き出されます。第2に、IOCには、シグネチャを作成するよりも速く攻撃者が変更できるという特性があります。私たちは、悪意のある攻撃者が何をするかではなく、それをどのように行うか、つまり攻撃者の正体を露呈させるデータ内の手法、振る舞い、パターンに注目しています。そして、その手法を直接狙い、攻撃が成功する前にインラインで阻止します」

Trinity Cyberは、攻撃者の手法を明らかにできるほど詳細で、かつその手法に対処できるほど高速なコンテンツ検査を起点としています。しかし、不審なコンテンツをブロックするだけではありません。Baranoff氏は次のように述べています。「実際にセッション内のコンテンツを置換、削除、変更できます。これは業界の他社にはない機能であり、より持続的な保護につながります」

たとえば、一見無害なダウンロード画像の末尾に、悪意のあるコンテンツが付加されている場合があります。Baranoff氏は次のように述べています。「見た目は、誰かがWebページにアクセスしただけです。その暗号化データは、インターネット上のほかの画像と同じように、ランダムな無意味なデータにしか見えません。他社のソリューションでは、その画像や配信元ドメインをブロックするため、インターネットの大部分が利用できなくなってしまいます。私たちは画像の末尾からそのデータを削除し、画像をそのまま送信します。」

復号と完全な検査が鍵となりますが、単一のソリューションで受信トラフィックと送信トラフィックの両方に対応するのは容易ではありません。

F5が選ばれる理由

2021年、Trinity Cyberは、SSL/STARTTLS復号が十分に導入されていないお客さまの双方向トラフィックに必要な復号を行うため、F5 BIG-IP SSL Orchestratorを採用しました。まず特定のお客さま向けに1台の仮想マシンから導入を開始し、これを契機に、復号に対する同社のアプローチを転換していきました。

F5ソリューションはコスト効率に優れ、仮想マシンをサポートしていたことも役立ちました。Baranoff氏は次のように述べています。「仮想インスタンスのサポートは非常に重要です。この柔軟性により、お客さまの需要に応じてリソースを拡張できます」

導入はわずか数日で完了しました。その後、Trinity CyberによるBIG-IP SSL Orchestratorの活用は、より多くのお客さまや仮想マシン、さらに複雑なユースケースへと広がっています。

そのようなユースケースの1つがLog4j脆弱性への対応です。これは数百万台のデバイスを危険にさらした深刻な欠陥であり、現在も脅威アクターによって広く悪用されています。2021年後半、CISAは緊急指令を発令し、すべての連邦政府の文民省庁および機関に対し、システムを評価して直ちにパッチを適用するか、緩和策を講じるよう義務付けました。脆弱性の公表から数時間以内に、多くの組織がシステムの監視とパッチ適用に追われる一方で、Trinity Cyberのお客さまは当時も現在も、Log4j脆弱性を悪用するあらゆる試みから保護されています。

数ある複雑なユースケースの1つに、複数のお客さまのネットワークを対象とした認証情報の収集を阻止するTrinity Cyberの取り組みがあります。攻撃者は、偽装したハイパーリンク、メールフィッシングの手法、架空のドメインの作成を通じて、有効なOffice 365の認証情報を収集しようとしました。Trinity Cyberのテクノロジー独自の防御機能は、攻撃者が用いる共通の手法を認識し、お客さまのネットワークトラフィックから攻撃者の戦術を完全に自動化された方法で排除することで、顧客基盤全体にわたる認証情報の収集を阻止しました。

暗号化トラフィックを詳細に可視化

Baranoff氏によると、同社が保護するトラフィックの約95%は暗号化されています。そこでTrinity Cyberは、暗号化トラフィックを可視化できないお客さまを保護する能力を備えたテクノロジーパートナーを探していました。

同氏は次のように述べています。「F5は、当社の運用に大幅な妥協を強いることのない、数少ない選択肢の1つです」

CEOのSteve Ryan氏は次のように述べています。「BIG-IP SSL Orchestratorは、当社のサービス提供に不可欠です。暗号化トラフィックを可視化することで、Trinity Cyberは脅威を特定し、排除できます」

Baranoff氏はさらに、暗号化の開始方法にかかわらず、さまざまなプロトコルに対応し、「STARTTLS」コマンドを受けると即座にトラフィックを復号できる点も高く評価しています。「これを実現できるソリューションは、ほかに見たことがありません」と同氏は述べています。「F5を採用した大きな成果でした」

iRulesで制御し、パフォーマンスを最適化

BIG-IP SSL Orchestratorをカスタマイズできることも、他との違いを生む特長の1つでした。

Baranoff氏は次のように述べています。「自社のシステムであれば、変更が必要になったときにコードを変更できます。他社のシステムでは、通常そうはいきません。F5 iRulesを使用すれば、コードを変更してカスタマイズし、求める動作を実現できます。その結果、お客さまとそのユースケースをより適切にサポートできます。」

実際、BIG-IP SSL Orchestratorのメリットを要約するよう求められた際、同氏は柔軟性を筆頭に挙げました。「柔軟性、安定性、パフォーマンス、豊富な機能を備えた可視化と制御。F5は他を大きく上回っています」

時間とコストを削減

その結果、Baranoff氏は「F5によって、さまざまな面で時間とコストを削減できています」と述べています。

現在、彼のチームはF5 Professional Servicesと連携し、宣言型の自動デプロイとライフサイクル保守に取り組んでいます。

「非常に順調です」と彼は語り、F5チームについて「対応が驚くほど迅速で、製品を最大限に活用できるよう親身になって支援してくれています」と評価しています。

また、世界的な課題として迫りつつあるHTTP3の復号方法について、F5が近いうちに解決策を示してくれることも期待しています。「それが実現すれば、素晴らしい成果です」

一方で、同氏は次のように述べています。「製品は進化し続けており、今後どのように発展していくのか楽しみです。」

その未来にも悪意ある攻撃者が存在する可能性は高く、Trinity CyberはF5の支援を受けながら、攻撃者との戦いに取り組んでいきます。