すべてが完全に均衡した世界では、可用性とセキュリティは同等に重視されるでしょう。アプリケーションのユーザーにとって、データにアクセスできることと同じくらい、そのデータのセキュリティも重要なはずです。
誰もが痛感しているように、現実の世界は完全に均衡が取れているわけではありません。ユーザーがアプリを削除してブランドから離れる可能性は、データ侵害が原因の場合と同じくらい、あるいはそれ以上に、可用性やパフォーマンスの問題が原因の場合にも高まります。
もちろん、データ侵害が起きれば、ユーザーは今でも大きな声を上げます。しかし一般に、企業が失うのは熱心なユーザーではなく、金銭です。
この二面性は、セキュリティ担当者がF5 Labsの「2018 Application Protection Report」で回答した優先事項にも表れています。CISOにとって最大の懸念事項は、その役職名から想像されるようなセキュリティではありません。以前実施したCISOに焦点を当てた調査「進化するCISOの役割とビジネスにおける重要性」では、CISOの過半数が最大の懸念事項として可用性を挙げ、アプリケーションのダウンタイムを防ぐことが組織の最重要課題であると回答しています。
この傾向は、近日公開予定のネットワーク自動化の現状に関するレポートにも表れています。個人およびチームの成果を測定するために使用している指標を尋ねたところ、セキュリティ担当者の59%が「ネットワーク稼働時間」を挙げ、最多となりました。「アプリケーション稼働時間」も、セキュリティ担当者のほぼ半数（49%）が挙げ、僅差で2位となりました。
可用性という言葉には、パフォーマンスも含まれます。速度は可用性の構成要素と見なされており、実害をもたらす攻撃を検知する際には、セキュリティが犠牲にされがちです。悪意のあるコードやデータの検知に不可欠なデータ検査は、コストが高く遅延も生じさせるため、逆効果と見なされることが少なくありません。
可用性を重視する姿勢は、攻撃者にとって好都合です。標的が可用性を優先していることを認識している攻撃者について、F5 Labsのレポートでは次のように指摘しています。「攻撃者は、管理者の注意がそれている間に同時進行で行うデータ窃取や不正行為を隠すため、陽動としてDDoS攻撃を仕掛けるタイミングも調整しています」。この「スモークスクリーン」と呼ばれる手法は、決して新しいものではありません。 2017年に指摘したように、攻撃者の真の意図を隠すための大規模なDDoS攻撃を受ける組織が増えています。
そして、その代償を払っているのは消費者です。
注意をそらすための可用性
攻撃者は、可用性への注力を陽動に利用するケースを増やしています。これは憂慮すべき事態です。攻撃者は戦術を高度化し、あらゆる手段を駆使して、ネットワーク、インフラストラクチャ、アプリケーションを突破し、その先にある宝の山、すなわちデータに到達する経路を探しているからです。しかも攻撃者が利用するのは、目的達成を阻むユーザーやシステムだけではありません。現在では、データそのものも利用しています。
F5 Labsの「Application Protection Report 2018」では、研究者がさまざまな情報源から得た侵害および攻撃データを分析しました。結果は意外なものではありませんでしたが、懸念すべき内容です。
2018年第1四半期に分析された侵害記録の70%では、根本原因がWebインジェクション攻撃でした。ここまでお読みいただいた方にとっては、意外な結果ではないでしょう。過去10年間の侵害記録全体の23%で、最初の攻撃ベクトルとしてSQLインジェクションが示されています。あまりに広く蔓延しているため、2017年版OWASP Top 10では第1位に挙げられました。
実際、PHPベースのWebアプリに対する攻撃のほぼ半数（46%）がインジェクション攻撃でした。セキュリティ担当者は、PHPが広く普及していることに留意する必要があります。 Builtwith.comは、インターネットを構成するアプリの構築に使用されているテクノロジーを追跡しており、アクセス数上位100万のWebサイトの43%がPHPで構築されていると報告しています。米国では、このようなサイトが約1,800万件ホストされており、アクセス数上位1万サイトのほぼ半数（47%）がPHPを使用しています。
これは、攻撃者が標的を選べる、そして実際に選んでいる広大な領域です。レポートによると、攻撃が行われた21,000以上の一意のネットワークのうち、58%がPHPベースのサイトを標的としていました。
データは拡大する（そして利益を生む）標的
使用されている言語に原因があると考える前に、F5 Labsの研究者がデシリアライゼーション攻撃にも注意するよう警告している点が重要です。この種の攻撃は特定の言語に依存せず、データそのものを標的とします。レポートから引用します。
「シリアル化は、アプリがデータを転送用の形式（通常はバイナリ形式）に変換する際に行われます。一般的には、サーバーからWebブラウザ、Webブラウザからサーバー、またはAPIを介してマシン間で転送する場合です。」
データストリームにコマンドを埋め込んだり、パラメーターを改ざんしたりすることで、攻撃がフィルタリングされないままアプリケーションに到達することがよくあります。Apache Strutsの事例のように、データのフィルタリングやサニタイズを行わないアプリケーションまたはアプリケーションコンポーネントは、脆弱性を突かれるおそれがあります。デシリアライゼーション攻撃は重大な脅威と見なされ、OWASPは昨年、これをトップ10リストに追加しました。まさにこの種の脆弱性によって、米国では1億4,800万人、英国では1,520万人が影響を受けたことを踏まえると、デシリアライゼーション攻撃は実際の悪用例が比較的少ないために十分な注目を集めていませんが、より重視する必要があります。
この2つの脅威に共通しているのは、データも信頼できないという点です。意図的に改ざんされている場合でも、正規のリクエストに便乗している場合でも、攻撃がデータストリーム内に潜むケースが増えています。
ただし、アプリとそのデータだけに目を奪われてはいけません。スタックの他の部分も同様に脆弱であり、攻撃の標的となる可能性があります。すでに廃止されたSSLやTLS 1.0など、脆弱な暗号化方式が依然として使用されていることは悩ましい問題です。これらの方式はセキュリティ上の弱点が多く、不正アクセスを狙う攻撃に悪用されやすいため、廃止されました。
レポートでは次のように指摘しています。「新たに命名されたTLSプロトコルの脆弱性は、年に約2件公表されています。しかし、Heartbleedを除けば、命名されたTLSプロトコルの脆弱性の大半は学術的なもので、実際の侵害に利用されることはほとんどありません。最大規模の事例の1つは、2014年にCommunity Health Systems（CHS）で発生しました。攻撃者がHeartbleedの脆弱性を利用したことで、CHSは約500万件の社会保障番号を流出させました。」
脅威は小さくても、リスクは大きい。誰もそのまれな事例にはなりたくありませんが、いずれ誰かが被害に遭います。
セキュリティと可用性を同等に重視
現実には、誰も信頼しないだけでは不十分な時代を迎えつつあります。スタックをさらに深く掘り下げ、アプリケーションとデータを保護するために導入された防御策を無効化し、回避するよう設計された攻撃を見つけ出す必要があります。アプリケーション保護は、ネットワークからインフラストラクチャ、サービスに至るアプリケーションスタック全体の状態を継続的に評価する、一連の取り組みとして捉えなければなりません。つまり、データを提供する速度と同じように、データの安全性も重視する必要があります。
セキュリティのルールゼロ、「ユーザー入力を決して信頼しない」を忘れてはなりません。また、ユーザー入力にはデータも含まれることを認識する必要があります。つまり、受信データの検査をセキュリティ対策に組み込むとともに、パフォーマンスと可用性への潜在的な影響を相殺する方法を見つける必要があります。
つまり、可用性が単なる陽動にすぎない場合もあり、それに惑わされてはならないと認識する必要があります。セキュリティは、可用性やパフォーマンスと同等に重視されるべきであり、そうする必要があります。CISOが優先すべきなのは、可用性ではなくセキュリティです。
CISOがセキュリティを擁護しないのであれば、ほかに誰がするのでしょうか。
さらに詳しい知見と分析については、F5 Labsの2018 Application Protection Reportをご覧ください。アプリケーションスタック全体に存在する攻撃と防御策に関する有用なガイダンスも掲載されています。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。