データセンターを保護するうえで、あらゆる接続がサイバー攻撃の侵入口となる可能性があります。ハッカーによる防御の突破を、何が阻んでいるのでしょうか。インターネットを介して誰もがネットワークを攻撃できるため、サイバーセキュリティリスクがあふれる環境では、被害も深刻になりかねません。外部からの脅威に常に一歩先んじるための攻防に、終わりはありません。
現在、データセンターを運用する多くの企業が、依然としてサイバーセキュリティ防御に課題を抱えています。特に、多種多様なインバウンド脅威への継続的な対応に苦慮しています。企業やサービスプロバイダーは、進化し続けるインバウンド脅威への対応に追われています。さらに、サービスプロバイダーや通信事業者は、ネットワークの企業向け領域に加えて、通信インフラも保護する必要があります。
インバウンド脅威からの保護
インバウンド脅威とは一般に、システムや組織の外部からもたらされる潜在的な危険やリスクを指します。これには、マルウェア、フィッシング攻撃、分散型サービス拒否（DDoS）攻撃など、さまざまな種類のサイバー脅威が含まれます。サイバーセキュリティの分野では、通常、ファイアウォール、侵入防止システム（IPS）のほか、受信トラフィックやアクティビティを監視・制御するためのセキュリティ対策を組み合わせて、インバウンド脅威に対処します。F5はこうした脅威の複雑さを熟知しており、20年以上にわたり、サービスプロバイダー向けセキュリティソリューションの主要プロバイダーとして実績を重ねてきました。
“サービスプロバイダーと同様の方法でBIG-IP AFMの機能を活用することで、企業のお客さまは、絶えず変化するデジタル環境において、セキュリティ体制を強化し、リスクを軽減して、事業継続性を確保できます。”
このような脅威から保護するため、ほとんどの企業は、明示的に許可されていないものをデフォルトですべてブロックするステートフルファイアウォールを利用しています。（ステートフルファイアウォールは、パケット単位だけでなく、接続単位で判断します。）一方、F5は創業当初からインバウンドの脅威を認識し、開発の早い段階からSSL暗号化とHTTP保護に注力してきました。2000年代初頭にはAPIセキュリティ（APIセキュリティは高度なHTTPセキュリティです）への取り組みを開始し、その後まもなくWeb Application Firewall（WAF）製品を導入し、続いてF5 BIG-IP Advanced Firewall Manager（AFM）を提供しました。
F5 BIG-IP TMOSモジュールであるBIG-IP AFMは、アプリケーションとインフラストラクチャを保護するよう設計された、高性能なネットワークセキュリティソリューションです。ネットワークトラフィックを管理、制御するための高度な機能を提供し、さまざまなサイバー脅威からの保護に役立ちます。BIG-IP AFMには、トラフィックフィルタリング、侵入防御、アプリケーション制御、ネットワークおよびプロトコルに対する分散型サービス拒否（DDoS）攻撃からの保護、アドレス変換、ログ記録とレポート作成、他のセキュリティツールとの統合などの機能が含まれています。
BIG-IP AFMは、高度なトラフィック制御、脅威検知、セグメンテーション、脅威緩和の各機能を提供し、ネットワーク環境のセキュリティと管理性を向上させます。また、多くのサービスプロバイダーに広く採用されている主要製品であり、各種の消費者向けおよび企業向けサービスを支えるコアネットワークインフラストラクチャを保護します。
悪意のあるトラフィックを除外
企業は多くの場合、外部のDNSリソースに接続します。このリソースは、Webサイトのドメイン名を、サーバーがWebサイトやインターネット接続デバイスの識別に使用できる数値のIPアドレスに変換します。しかし、このDNSトラフィックにより、送信元ネットワークが無数のDNS攻撃にさらされる可能性があります。
しかし、BIG-IP AFMを使用すれば、DNSトラフィックを容易に管理できます。レイヤー7では、BIG-IP AFMがアプリケーションデータとユーザーの行動に基づいてトラフィックをきめ細かく制御します。プロトコル検証を有効にするだけで、不正な形式のDNS DDoS機能により、レイヤー7のリソースに影響を与えることなく、不正な形式のDNSリクエストやDNSサーバーを標的とする攻撃を除外できます。BIG-IP AFMは不要なDNSトラフィックを排除し、DNSサーバーの処理能力とネットワーク帯域幅を解放します。これにより、さまざまな攻撃から保護しながら、スケーラブルかつ信頼性の高い方法でアプリケーションの応答性を向上させます。DDoSおよびプロトコルレベルの緩和制御をファイアウォールに組み込むことで、BIG-IP AFMはアプリケーションを保護するための包括的なアプローチを提供し、高度な脅威からネットワークとアプリケーションの可用性を保護します。
最大のメリットは、低コストで効率化できることです。
プロトコルセキュリティにおいて、AFMはアプリケーションデータとユーザーの行動に基づき、トラフィックをきめ細かく制御します。
BIG-IP AFMの仕組みは次のとおりです。
- ディープパケットインスペクション（DPI）： BIG-IP AFMは、アプリケーション固有の詳細を把握するため、データペイロードを含むパケット全体を検査します。これにより、ヘッダーだけでなく、トラフィックの内容に基づいてセキュリティ上の判断を行えます。
- アプリケーションプロトコルの認識： BIG-IP AFMは、HTTP、HTTPS、FTPなど、特定のアプリケーションプロトコルを認識し、それに基づいてポリシーを適用できます。これにより、処理するアプリケーショントラフィックの種類に応じて異なるルールを適用できます。
- 侵入検知と防御：BIG-IP AFMは多くのプロトコルをサポートし、プロトコルに準拠していないリクエストや、悪意のある攻撃のシグネチャに一致するリクエストをフィルタリングできます。
- ネットワーク層攻撃の緩和： BIG-IP AFMは、フラッド、スイープ、不正な形式のパケットなど、さまざまなネットワーク層DDoS攻撃からの保護に役立ちます。プロトコルデータを分析することで、AFMは悪意のあるアクティビティを検知してブロックできます。
- レート制限とトラフィックシェーピング：BIG-IP AFMは、特定の種類のアプリケーショントラフィックにレート制限を適用し、不正利用を防止してリソースの公平な利用を確保できます。これは、大量のリクエストによってアプリケーションレイヤーを過負荷にするDDoS攻撃の緩和に役立ちます。
- ログ記録とレポート：BIG-IP AFMは、トラフィックやセキュリティイベントに関する詳細なログとレポートを提供し、監視、監査、フォレンジック分析に役立ちます。
BIG-IP AFMはレイヤー2～7で動作し、アプリケーションとそのデータセンターを保護するための包括的なアプローチを提供します。これにより、ネットワークデータとアプリケーションデータの両方を高度な脅威から保護できます。また、サービスプロバイダーと同様の方法でBIG-IP AFMの機能を活用することで、企業のお客さまはセキュリティ態勢を強化し、リスクを軽減して、絶えず変化するデジタル環境における事業継続性を確保できます。
エンタープライズ環境で、サービスプロバイダーと同等レベルのセキュリティサービスが必要ですか？詳しくは、F5.comの「BIG-IP AFM Webページ」をご覧いただくか、BIG-IP AFMの無料トライアルをこちらからお申し込みください。
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。