AWS WAF向けの新しいマネージドルールでAWS上のAPIセキュリティを強化

F5エコシステム | 2019年3月26日

世界中のアプリケーション数が急増していることは周知の事実です。どの企業を見ても、利用されているワークロードは、外部向けのマーケティングやeコマースのワークロードから、社内向けの生産性向上アプリやHRMアプリまで多岐にわたります。多くの場合、こうした膨大な数のアプリは複雑に絡み合い、相互に依存しています。アプリ間でAPIリクエストが頻繁にやり取りされることで、複雑な通信網が形成されます。これらのAPIにより、従業員、顧客、パートナーは高度なアプリケーションのメリットを享受できますが、その一方で脅威の境界が広がり、サイバー攻撃に悪用され得る新たな攻撃対象領域も生じます。実際、Amazon、Facebook、さらにはBlack Hatセキュリティカンファレンスで最近発生した侵害では、いずれも脆弱なAPIが標的となり、大規模なデータ損失につながりました。

F5は、あらゆる場所にあるすべてのアプリのセキュリティ確保を目指しています。

すべてのアプリが同じ重要度ではなく、機密性の低いワークロードよりもミッションクリティカルなアプリケーションが優先されることを踏まえると、ポートフォリオ全体にわたるすべてのアプリケーションインターフェースのセキュリティを確保することは、極めて困難で多額のコストを伴う場合があります。そのため、多くの企業は機密性の低いアプリを保護するためにクラウドネイティブのセキュリティソリューションを利用する一方、より重要なワークロードのセキュリティ確保にはF5 Advanced WAFを活用しています。しかし、多くの組織が苦い経験を通じて認識したように、どのアプリケーションインターフェースもネットワークやデータへの侵入口になり得ます。つまり、「十分なレベル」のセキュリティでは、実際には不十分なのです。

ご存じのとおり、昨年F5はAWSと提携し、AWSネイティブのWAFに追加できる3つのマネージドルールセットを提供しました。これにより、セキュリティ機能が拡張され、ボット、OWASP、CVE（共通脆弱性識別子）への対策が可能になりました。この連携をさらに発展させ、XML外部エンティティ（XXE）攻撃やサーバーサイドリクエストフォージェリ（SSRF）など、既存および新たな脅威からAPIを保護することに特化した新たなルールセットをリリースします。

AWS API GatewayがAWS WAFのサポートを最近追加したことで、セキュリティに関する専門知識や高度なWAFソリューションを導入しなくても、F5’s Managed Rules for API Protectionを追加するだけで、APIのセキュリティ態勢を迅速かつ容易に強化できるようになりました。このルールは、API Gateway内のAPIに対応するだけでなく、一般的なその他のさまざまなWeb APIフレームワークも保護します。

すべてのルールはF5のセキュリティエキスパートが作成、管理し、定期的に更新するため、新たに出現する脆弱性から保護するためにバージョンを手動で更新する必要はありません。ルールは数回のクリックで特定のアプリケーションに適用でき、契約やその他の義務を伴わない従量課金制でライセンスを利用できます。

F5のManaged Rules for AWS WAFの詳細については、AWS Marketplaceでご確認ください：

または、これらのルールでカバーされるすべての機能に加え、さらに多くの機能を提供するF5 Advanced WAFをご覧ください。