さて、皆さん。そろそろ「例の話」をしましょう。何のことかは分かりますよね。友人同士ではひそひそ話していたものの、これまでは実際に尋ねる勇気がなかった、あの話です。もちろん、自分以外のみんなは知っていると思い込んでいて、自分が本当は知らないと認めたら、格好悪いと思われそうだったからです。
ところが、実際には誰も知りません。少なくとも、知っていたとしても、そのことを口にしようとはしません。クラウドを利用する際の適切な予防策について、今こそきちんと話すべきです。つまり、クラウド上のアプリを感染や攻撃から保護する方法についてです。
そうです。今日はついに、クラウドにおけるアプリケーションセキュリティについてお話しします。
暗号化ではありません。IDおよびアクセス管理でも、ネットワークセキュリティでもありません。
アプリケーションセキュリティ
今日の広大なインターネットには、「クラウドセキュリティ」に関する文書、調査、助言、一般的な議論があふれていますが、「アプリセキュリティ」という言葉に触れているものはごくわずか*です。暗号化の利用状況、クラウド上のデータを保護すべきなのは誰か（そして実際には誰が保護していないのか）、さらには、あらゆる場所のアプリへのアクセスを制御するために、誰がどのようなアイデンティティおよびアクセス管理を利用しているのかについては、調査や統計が見つかります。しかし、アプリケーションセキュリティについてはどうでしょうか。何もありません。まったくのゼロです。
最新のVerizonデータ漏洩／侵害調査報告書（DBIR）によると、金融サービスにおけるセキュリティインシデントの原因として、Webアプリは、いかにも悪質そうな響きのクライムウェアに次いで2番目に多く、実に驚くべき（そして憂慮すべき）ことです。また、今世紀に発生した大規模な侵害上位25件を少し分析したところ、実に半数近く（44%）がWebアプリケーションを介して実行されていたことも驚きです。さらに、セキュリティ態勢の低下とアプリケーションのクラウド移行には相関関係があるように見受けられる点も懸念されます。
実際のところ、暗号化は万能薬ではありません。
その深刻さを強調するため、もう一度繰り返します。暗号化は万能薬ではありません。
ネットワークセキュリティも、アイデンティティおよびアクセス管理も、万能ではありません。
これらはいずれも有効ですが、それぞれ単独では、より広範な保護対策の一部にすぎません。この保護対策にはアプリケーションセキュリティも組み込むべきですが、実際には含まれていないことが少なくありません。
Network securityでは、HTTP DDoS攻撃を阻止できません。IDおよびアクセス管理では、HeartbleedやApache KillerのようなWebプラットフォームの脆弱性を悪用する攻撃を阻止できません。
暗号化ではSQLiを阻止できません。 悪意のあるコードを暗号化しても、 そのようなコードを検出するために設計されたネットワーク内の無数のサービスから隠してしまうだけです。
アプリケーションは、その目的上、一般に公開されるリソースです。公開するからには、利用者に使ってもらうことを期待します。いや、利用を促し、関心を引き、使ってほしいと願っているのです。使ってもらう。インストールしてもらう。何度もアクセスしてもらう。今や、あらゆるものがアプリケーションを中心に動いています。顧客向け、従業員向け、社内システムの運用など、ビジネスのあらゆる側面でアプリケーションが不可欠です。今日では、ほぼすべての業務をアプリケーションに依存しています。それにもかかわらず、セキュリティについて語るとき、アプリケーションの存在を忘れがちです。
今こそ、データセキュリティやネットワークセキュリティ、通信の暗号化だけでなく、アプリケーションセキュリティにも、もっと目を向けるべきです。データが最も脆弱になるのは、アプリケーションで処理されているときです。この時点ではデータが平文であり、アプリケーションの完全な制御下に置かれているためです。アプリケーションはデータを表示、変更できるほか、巧みに引き出そうとする相手に渡すこともできます。その相手は人に限らず、ボットやスパイダー、マルウェアの増加に伴い、人以外であるケースも増えています。
つまり、悪用や攻撃からアプリケーションを保護することに、これまで以上に注意を払う必要があります。対象は、プラットフォーム（Webサーバーやアプリケーションサーバー）からプロトコル（TCPやHTTP）、実際のコードそのものまで多岐にわたります。アプリケーションスタック全体を悪用する多種多様な攻撃手法に対し、スキャン、無害化、検出、防御を行う必要があります。
F-Secure Labsによると、Webアプリケーション攻撃の発生率は2012年の20%未満から2013年には40%へと倍増しました。また、Neustarが2014年に実施した調査では、DDoS攻撃の標的の55%がスモークスクリーニング（実際のアプリケーション層攻撃を隠すために大規模なDDoS攻撃を利用する手法）を受け、そのうち約50%でマルウェアやウイルスがインストールされ、26%で顧客データが失われたことが明らかになりました。
アプリケーション攻撃は現実に存在する重大な脅威です。特に、アプリケーションをクラウドに移行すると、利用できる保護手段が少なくなる可能性があります。
クラウドで利用できるセキュリティ重視のネイティブサービスは、いずれもアクセスと暗号化を対象としています。「アプリケーション層」のセキュリティを提供するものはなく、アプリケーション自体を悪用してデータを無効化、破損、または窃取する攻撃に耐えられると確信するために必要な保護範囲も提供していません。そのため、データセンターと同様に、クラウドでもアプリケーションとそのアプリケーションが扱うデータを保護するために設計された別のソリューションやサービスが必要です。具体的には、クラウド対応の WAF（Webアプリケーションファイアウォール）、WAF as a Service、または少なくとも、クラウドにデプロイするすべてのアプリケーションに対して、OWASP が推奨するベストプラクティスを徹底して適用することが必要です。
クラウドセキュリティは、プロバイダーと顧客が「クラウド」のセキュリティ確保に関するさまざまな側面を分担する、共同責任と捉えることができます。しかし、アプリケーションセキュリティについては、そのアプリケーションをクラウドに導入した側が110%の責任を負います。AWSのグローバルセキュリティプログラム責任者であるBill Murray氏への次のインタビュー（The Register経由）をご覧ください（強調は筆者によるものです）。
「AWSにおけるセキュリティは、AWSとお客さまが共同で担う責任です」と、Murray氏は最近のインタビューで述べています。同氏は、Amazonのデータセンターの物理的セキュリティを含むAWSのセキュリティを統括するとともに、法執行機関からの令状や召喚状にも対応しています。
「お客さまは、AWS上で稼働させるゲストOSから、その上で実行するアプリケーションに至るまで、すべてを保護する責任があります」と、同氏はEl Regに語りました。「一方、ホストOSとVMから、データセンターの床のコンクリートに至るまで、すべて当社が責任を負います」
「『夜も眠れないほど心配なことは何ですか』とよく聞かれます。AWSのセキュリティに関して私たちが夜も眠れないほど心配しているのは、お客さまがアプリケーションを適切に設定せず、セキュリティを確保できていないことです」とMurray氏は述べました。
それはお客さま自身の責任です。つまり、いずれ直面することになると思われる攻撃からアプリケーションを保護するために、どのようなサービスやソリューションを導入するかを慎重に検討する必要があります。
アプリケーションセキュリティは、高額なボディーガードのように、一部の重要なアプリケーションだけに提供されるものではありません。むしろ身辺警護に近く、外部に公開されるすべてのアプリケーションに必要です。これは、アプリケーションがデータセンターにあるかクラウドにあるかを問いません。
* 「ごくわずか」と書きましたが、正直なところ、1つも見つけられませんでした。私の検索力不足かもしれませんが、おそらくは誰もこの件について語りたがらないからでしょう。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。