デジタルトランスフォーメーションは、もはや単なるバズワードではなく、ほとんどの組織にとって現実のものとなっています。2023年版「State of Application Strategy Report」によると、10組織のうち9組織がデジタルトランスフォーメーションプログラムに積極的に取り組んでいます。1 当初は顧客向け機能に重点が置かれていましたが、モダナイゼーションは徐々にバックオフィス業務にも広がり、多数の新たな業務用アプリケーションや顧客向けアプリケーションの開発と導入につながっています。同レポートでは以前、相当数（41%）の組織が200～1,000個のアプリケーションを管理していることも示されています。2
クラウドネイティブアプリケーションデリバリの現実を認識する
この複雑化により、特にリソース配分、スキル、可用性に関する課題が生じています。慢性的なスキルギャップは拡大し続けており、実に98%のIT組織が、現在のビジネス目標を達成するために必要な知見が不足していると認めています：3
こうしたインサイトでは、以下の点に焦点を当てます。
- アプリのパフォーマンス低下の根本原因（39%）
- 攻撃の可能性（38%）
- アプリの問題やインシデントの根本原因（37%）
- 過去のパフォーマンスとの比較（35%）
- ビジネスに関連するインサイト（32%）
実際のところ、クラウドネイティブアプリのセキュリティは、その構成要素と実行基盤となるインフラストラクチャのセキュリティに左右されます。
増大するアプリケーションセキュリティへの脅威を理解する
2022年版Verizon Data Breach Investigations Report（DBIR）では、アプリケーションの量と複雑さが増すにつれて、関連するセキュリティリスクも高まっていることが指摘されています。セキュリティ侵害の影響を受ける主な資産はサーバーであり、特にWebアプリケーションサーバーは、侵害された全資産の56%を占めています。4
インターネットに公開されているこれらのWebアプリケーションサーバーは、攻撃者が組織の防御を回避する際の格好の侵入口となります。Verizon DBIRによると、2022年だけで4,751件のインシデントが発生し、そのうち1,273件でデータ漏えいが確認されました。漏えいしたデータには、個人データ（69%）、認証情報（67%）、その他の種類のデータ（29%）、医療記録（15%）が含まれていました。5
攻撃対象領域は今後も拡大
アプリケーションの攻撃対象領域は、システム、システム内またはシステム上の要素、あるいはその環境境界上に存在する、固有のポイント（「攻撃ベクトル」）すべてで構成されます。権限のないユーザーは、これらのポイントを経路としてシステムの悪用を試み、データの挿入、データやシステムの変更または操作、システムからのデータ抽出を行う可能性があります。アプリケーションの攻撃対象領域が露出する経路は複数あります。以下はその一例です。
インフラストラクチャの不正利用：クラウドインフラストラクチャは、設定ミスにより、データ流出、コンテナへの不正ログイン、認証情報の窃取に対して脆弱になる可能性があります。
ソフトウェアの脆弱性の悪用：アプリケーションに、未適用のソフトウェアパッチ、バグ、設定ミスなどの脆弱性がある場合、攻撃者による攻撃を受ける可能性があります。
サードパーティコンポーネントの侵害： 適切なセキュリティ評価を行わずにサードパーティのライブラリやサービスを使用すると、アプリケーションに脆弱性が生じる可能性があります。
アプリケーションプログラミングインターフェース（API）の不正操作：アプリケーションはAPIを介して通信することが多いため、レート制限、適切な認証、暗号化の欠如など、APIにセキュリティ上の不備があると、アプリケーションが攻撃にさらされる可能性があります。
組織がアプリポートフォリオのモダナイゼーションを進め、新たなデジタル経済におけるイノベーションに取り組むなか、APIの数は2031年までに10億に達すると予測されています。6 アプリケーション全体の増加と同様に、API領域の拡大によって、アプリケーションセキュリティを適切に管理するうえでの課題はさらに深刻化します。
アプリケーションとAPIのセキュリティで優位に立つ
Amazon Web Services（AWS）を介してアプリケーションをデプロイする際には、各種の専用セキュリティツールやネイティブセキュリティツールが、攻撃の防御、データの保護、お客さまの顧客データとトランザクションの安全確保に役立ちます。そのため、約90%の組織が、セキュリティ対策を加速するためにプラットフォームアプローチを採用しています。7
ただし、十分な効果を発揮するには、前述の広範な攻撃対象領域を適切にカバーできるよう、プラットフォームが複数の統合された保護レイヤーにも対応している必要があります。F5とAWSの包括的な機能群は、クラウドネイティブアプリケーションとそのAPIに内在する脆弱性を狙う、以下の攻撃から保護します。
Amazon CloudFront上のAWS Web Application Firewall（WAF）：CDNに簡単に追加できるネイティブのアプリケーション保護レイヤーを提供します。
F5 Advanced Web Application Firewall (WAF): アプリ自体を更新することなく、アプリを狙う最も一般的な攻撃から保護します。
NGINX App Protect WAF: F5の実績ある高度なWAFテクノロジーと、NGINXの俊敏性およびパフォーマンスを組み合わせ、アプリとAPIを保護することで、ダウンタイムや侵害を防止します。
F5 Distributed Cloud WAAPおよびF5 Distributed Cloud Bot Defense： F5 Distributed Cloud Servicesは、複数のクラウドプラットフォームにわたり、アプリケーション、API、ボットに対する一貫したセキュリティとパフォーマンスを大規模に提供する、クラウドネイティブのSaaSソリューションです。
F5 Security Threat Intelligence： 世界トップクラスの研究者チームが、フォーラムやサードパーティのリソースを調査し、攻撃の分析、マルウェアのリバースエンジニアリング、脆弱性の解析を通じて、効果的な検知・緩和方法を特定します。
F5とAWSのネイティブに統合されたセキュリティレイヤーを使用して、クラウドベースのアプリケーションを高度な脅威から保護する方法について詳しくは、f5.com/awsをご覧ください。
出典：
1,7 2023年アプリケーション戦略の現状レポート, F5, 2023年3月
2,3 2022年版アプリケーション戦略の現状レポート, F5, 2022年4月
4,5 2022年データ侵害調査報告書、Verizon、2022年6月
6 Office of the CTOレポート：拡大し続けるAPIスプロール、F5、2021年11月
著者について
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。