Webアプリケーションファイアウォールでセキュリティとパフォーマンスを両立

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

• セキュリティは重要ですが、パフォーマンスも同様に重要です。
• 半数を超える組織（57%）が、クラウドおよびオンプレミスのアプリを保護するためにWebアプリケーションファイアウォールを使用しています（State of Application Delivery 2018）
• 送信レスポンスのスキャンは、進行中の侵害を検知し、阻止できる最後の機会の1つです。
• 「過ぎたるは及ばざるがごとし」ということもあります。セキュリティとパフォーマンスの両方を最適化できるよう、両者のバランスを慎重に検討してください。

デジタルビジネスが成功し続けるうえで、パフォーマンスがいかに重要かは誰もが知っています。ダイヤルアップ接続や何時間もかかるダウンロードに慣れ親しんだ世代は、パフォーマンスに多少寛容な傾向がありますが、デジタルネイティブ世代はそうではありません。即時の応答と高速なダウンロードを当然のものとして期待しています。

私たちが待つことに耐えられないのは、数字からも明らかです。80%以上の人が、パフォーマンスの低さを理由にアプリケーションを削除したことがあります。さらに、10人中3人は、アプリを驚くほど高速に利用できるなら、料金を支払ってもよいと考えています。

しかし、どのテクノロジー世代であっても、私たちユーザーの要求は厳しいものです。アプリの高速化を優先するあまり、セキュリティをおろそかにしてはなりません。その結果、データ侵害が発生すれば、ユーザーはアプリを削除するだけでは済まさないでしょう。

そこで、パフォーマンスへの要求とセキュリティの必要性を両立させる役割は、ITプロフェッショナル、特にセキュリティ担当者に委ねられます。アプリには高速性とセキュリティの両方が不可欠です。

半数を超える組織がアプリの安全性を高めるために採用している方法の1つは、Webアプリケーションファイアウォール（WAF）をはじめとするアプリケーションサービスを使用して、アプリケーションを攻撃から保護することです。これには2つの方法があります。

まず、受信リクエストをスキャンして悪意のあるアクティビティを検出します。次に、送信レスポンスを検査します。これらのセキュリティ対策を常に適用している組織が、アプリケーション攻撃に耐えられるという確信を最も強く持つ組織に含まれるのも不思議ではありません。

WAFを使用すると、リクエストとレスポンスの隅々まで検査できます。また、必要に応じてコンテンツを解析、分解、変換、変更できます。

しかし、できるからといって、そうすべきとは限りません。

セキュリティ対策にはコストがかかります。攻撃や侵害の痕跡を検出するために必要な精度でアプリケーショントラフィックを検査するには、CPUサイクルとメモリが必要です。

そのため、セキュリティとパフォーマンスのバランスが重要です。スキャンやスクラビングに1マイクロ秒余分にかかるたびに、ユーザーがレスポンスを待つ時間も1マイクロ秒長くなります。

しかも、その遅延は積み重なります。

結局のところ、パケットがネットワークを往復するには数マイクロ秒かかります。これは物理的に避けられません。接続の確立にもさらに数マイクロ秒、処理にもまた数マイクロ秒……もうお分かりでしょう。何をするにも時間がかかり、その時間が長くなるほど、ユーザーの苛立ちは募っていきます。

従来、この相反する要件に直面すると、性能が許容できる水準に達するまでセキュリティを無効にするという、本末転倒な対応を取るケースもありました。しかし、それは適切な解決策ではありません。セキュリティの必要性と性能への要求を両立できるバランスがあります。

リクエストに対しては、プロトコルレベルの解析と検証を実行できます。ペイロードを検査し、攻撃の兆候がないか確認します。シグネチャベースのスキャンを最初に行い、次にテキストベースの比較を行います。可能な場合はシグネチャベースのスキャンを使用すると、解析して比較する必要がないため、セキュリティ処理のパフォーマンスが向上します。単純な照合だけで済むため、非常に高速です。

レスポンスについては、解析して内容を細部まで精査したくなるかもしれませんが、その必要はありません。ここでは、JSONが正しくフォーマットされていること、またはXMLが適切なスキーマに準拠していることについて、開発者をある程度信頼する必要があります。実際、プロトコルやフォーマットにエラーがあれば、ユーザーが気付くことになります。これは開発者が対処すべき問題であり、通常はセキュリティリスクではありません。

セキュリティリスクとなるのは、クレジットカード番号や口座番号、社会保障番号、メールアドレスなどの機密データが含まれていることです。こうした明確なパターンを持つ番号やデータは、すばやくスキャンし、データ内でマスキングできます。ここで行うのは、シグネチャーベースのスキャンと同様のパターンマッチングであり、セキュリティサービスは可能な限り高速に処理することが非常に得意になっています。

可能であれば、コンテンツ長も確認することをお勧めします。広く知られた複数のエクスプロイトは、返されたコンテンツの量だけで特定できました。特定のリクエストが返すデータ量が約1Kに限られるとわかっている場合、4Kのレスポンスがあれば、何らかのアラートを発するべきでしょう。これは、データレコードを解析して数えるよりもはるかに短時間で行える簡単なチェックです。

経験則として、リクエストについては常にセキュリティルールゼロに従い、ユーザー入力が含まれる場合は可能な限りすべてをチェックすることが重要です。送信時には、進行中の侵害を示す兆候を探し、機密データを難読化します。ただし、データ形式やスキーマへの準拠を気にして時間を費やす必要はありません。レスポンスが正しくフォーマットされているかどうかは、開発者に任せてください。それは開発者の担当領域です。

セキュリティとパフォーマンスは、どちらか一方を犠牲にしない限り、両立できます。これは双方向に当てはまります。パフォーマンスのためにセキュリティを諦めるべきではありませんが、（不要かもしれない）セキュリティのためにパフォーマンスを犠牲にするべきでもありません。

セキュリティを戦略的に活用して、脆弱性の悪用を防止し、侵害を検知することで、ユーザーの満足度を維持しながら、データとアプリケーションを保護するために必要なパフォーマンスとのバランスを実現できます。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事