Google Cloudでアプリケーションに隣接するWAF防御を設計

Ilya Krutovシニアプロダクトマーケティングマネージャー | F5 NGINX

Brian Ehlertプロダクト管理担当ディレクター

最新のクラウドネイティブアーキテクチャでは、エンタープライズアプリケーションの分散化、モジュール化、動的な運用が進んでいます。ワークロードをGoogle Cloudへ移行する際、エッジセキュリティのみに依存したり、すべてのアプリケーショントラフィックを遠隔地のセキュリティゲートウェイ経由で迂回させる従来の集中型セキュリティ設計を採用したりすると、レイテンシーのボトルネック、運用の複雑化、可視性の欠如が生じます。

こうした課題に対処するため、クラウドアーキテクトやSecOpsチームは、アプリケーションに隣接したセキュリティモデルを組み込む多層防御戦略を採用しています。エッジ保護と、F5 Application Delivery Service for Google Cloud（旧F5 NGINXaaS for Google Cloud）などを通じてアプリケーションデリバリーレイヤーに直接組み込まれた高度なWebアプリケーションファイアウォール（WAF）検査を組み合わせることで、より広範なF5 Application Delivery and Security Platform (ADSP)のコンポーネントとして、組織はワークロード境界で、きめ細かくコンテキストを考慮した防御を適用できます。

WAF配置を再考する：クラウドにおける多層防御の力

CDNやグローバルDDoSスクラビングセンターなどのエッジセキュリティサービスは、クラウド環境から遠く離れた場所でボリューム型攻撃、ボットネット、広範な悪意のあるトラフィックを阻止し、クラウドセキュリティ戦略における重要な第一の防御層として機能します。しかし、APIを中心とする複雑な分散アプリケーションアーキテクチャでは、エッジの単一のセキュリティ層だけで十分なことはほとんどありません。

多層防御モデルは、エッジセキュリティだけでは解消できない重要なギャップに対処します。

1. 相互補完的な脅威緩和：グローバルエッジサービスが大規模なDDoS攻撃や高速攻撃を緩和する一方で、アプリケーションに隣接するWAFは、アプリケーションロジックに直接合わせて調整された、ワークロード固有の詳細なレイヤー7検査を提供します。
2. 豊富なコンテキストの保持：トラフィックがバックエンドサービスに到達すると、アプリケーションに隣接するWAFは、ローカライズされたルーティングメタデータ、プロトコル固有の情報、正確なURI構造を活用し、誤検知を生じさせることなく的確なセキュリティ判断を行います。
3. 内部境界の適用：マルチテナント型クラウド環境やハイブリッド構成では、エッジセキュリティは、クラウドネットワーク内で発生するトラフィックや内部エンドポイント間を通過するトラフィックを検査できません。アプリケーションに隣接するセキュリティにより、各バックエンドターゲットの周囲にゼロトラストのマイクロ境界を確立します。
4. レイテンシーとヘアピンルーティングの最小化：Google Cloudのローカルなアプリケーションデリバリーレイヤーにアプリケーション固有の検査機能を直接配置することで、トラフィックが一元管理されたセキュリティゲートウェイを経由して折り返す余分なホップを回避し、レイテンシーの影響を受けやすいサービスのパフォーマンスを最適化します。

アプリケーション近接型の多層防御に向けたアーキテクチャパターン

WAF機能をF5 Application Delivery ServiceのSaaSプロキシレイヤーにネイティブに統合することで、分散クラウド環境向けに設計された強力なアーキテクチャパターンを実現できます。

アプリケーションのイングレスにインライン検査を統合することで、Google Cloud内のアプリケーションゲートウェイでレイヤー7トラフィックを直接分析できます。この仕組みにより、OWASP Top 10の脆弱性、ビジネスロジックの悪用、プロトコル異常などの重大な脅威を、上流のAPIバックエンドやコンテナ化されたワークロードに到達する前に即座に除外できます。

制御を分離することで、SecOpsチームとセキュリティエンジニアリングチームはグローバルなベースラインセキュリティポリシーを定義し、DevOpsチームとプラットフォームエンジニアリングチームは個別のルーティングとアプリケーションロジックを管理できます。これにより、セキュリティはアプリケーションデリバリーパイプラインに組み込まれた継続的な制御となり、一貫性が確保されます。

アプリケーションの近くに配置することで、ワークロードに合わせて調整したセキュリティポリシーを実装でき、保護対象に応じてWAFルールをきめ細かくカスタマイズできます。エンタープライズワークロード、コンテナ化されたAPIエンドポイント、AI推論、その他のサービスのいずれであっても、このきめ細かなアプローチにより、隣接するサービスを中断させるリスクを抑えながら、堅牢な保護を実現します。

ADCaaSとWAFの統合：運用面と経済面の相乗効果

F5 ADSPの一部として、Application Delivery Controller as a Service（ADCaaS）と高度なWAF検査を単一の統合制御ポイントに集約することで、多層防御アーキテクチャにおいて、運用面と財務面で大きなメリットが得られます。

• 運用の複雑さを軽減： アプリケーションルーティング、負荷分散、WAF検査を統合サービスに集約することで、ポイントソリューションの乱立を解消します。運用チームは、標準化された宣言型構成を使用して単一の管理インターフェースを運用できるため、管理負荷と人的ミスを軽減できます。
• 自動化とCI/CDの効率化：ネイティブ統合により、TerraformなどのInfrastructure as Code（IaC）ツールを使用して、アプリケーションデリバリとWAFルールセットをまとめてプロビジョニングできます。帯域外でポリシーを同期することなく、アプリケーションのリリースと同時にセキュリティ更新をシームレスにデプロイできます。
• 経済的メリットとTCOの削減： クラウド内でアプリケーションデリバリとセキュリティ制御を統合することで、ライセンスのオーバーヘッドを大幅に削減し、不要なクラウドエグレスやゾーン間データ転送のコストを回避できます。これにより、Google Cloudの利用と予算管理を簡素化しながら、総所有コスト（TCO）を削減できます。

本質的な多層防御態勢の構築

クラウドの脅威ベクトルが高度化する中、効果的な防御には、堅牢なエッジ保護と、ワークロードに近接したきめ細かなセキュリティを組み合わせる多層型のアプローチが必要です。Google Cloud上のアプリケーションワークロードの近くにADCaaSとWAFの機能を統合することで、企業のプラットフォームおよびアーキテクチャチームは、包括的な多層防御に支えられた、高速でレジリエントなアプリケーションデリバリを実現できます。

導入を始める準備はできましたか？Google Cloud Marketplaceでご確認ください。WAF機能は現在、F5 Application Delivery Service for Google Cloudのアドオンとしてプレビュー提供されています。プレビュー機能には、OWASP Top 10の脅威に対してすぐに保護を適用できるデフォルトポリシーを選択する機能が含まれます。

著者について

Ilya Krutovシニアプロダクトマーケティングマネージャー | F5 NGINX

Ilya Krutovのその他のブログ記事

Brian Ehlertプロダクト管理担当ディレクター

Brian Ehlertのその他のブログ記事