クラウド：分散環境のセキュリティを一元化

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

あらゆる物事には、ある種のサイクルが繰り返されているように思えます（少なくとも振り返ってみると、そう見えます）。アプリのアーキテクチャや利用方法が変化すると、ネットワークに新たなテクノロジーが必要になります。こうしたテクノロジーは、消費者の指標で測る場合でも、企業の指標（利益と生産性）で測る場合でも、アプリケーションの成功を妨げる課題に対処するために設計されています。

通常、こうした課題の中で最初に対応が必要となるのは、可用性とパフォーマンスです。そして、いつも（少なくともそう見えますが）最後に来るのがセキュリティです。これら3つの懸念事項は、オペレーショナルリスクの構成要素とほぼ完全に一致しており、それぞれに特化した個別のソリューション（いわゆる「ポイントソリューション」）で対処される傾向があります。

このサイクルのある時点で、組織は導入したソリューションが多すぎること、そしてそれが運用予算を圧迫する肥大化の一因となっていることに気付きます。これが「ソリューションの乱立」です。そこで、予算にかかる運用上の負担に加え、ますます増大する人員への負担も軽減するため、統合や一元化を検討するようになります。

クラウドも、アプリケーションアーキテクチャに変化をもたらした要素の1つです。運用面でもコスト面でも魅力的な選択肢となる、新たな環境を提供したからです。組織は実際にクラウドを活用しており、現在もその動きは続いています。「クラウド」アプリケーション環境ではSaaSが最大の割合を占めていますが、パブリックIaaSおよびPaaSも、少しずつ組織に採用され始めています。

この動きは、運用面で分断された環境を生み出しただけでなく、従来、セキュリティで保護すべき「境界」と捉えられてきたものを大きく変化させました。境界はもはや、企業のルーターやファイアウォールがトラフィックに対する責任をプロバイダーやインターネットに引き渡すネットワークのエッジにはありません。むしろ境界は複数存在し、それぞれがアプリケーションを中心に据えています（これは適切なあり方だと言えるでしょう）。

各アプリケーションの保護は最優先事項であり、議論の余地はありません。アプリケーションは、企業データであれ消費者データであれ、企業が保有する重要なデータへの入り口です。適切なセキュリティ対策を講じずにアプリケーションを導入することはできません。悪用され、アプリケーションが配信、処理、操作するデータが漏えいするおそれがあるためです。

オンプレミスのデータセンターで生じるソリューションの乱立と、複数のクラウド環境にまたがって生じるソリューションの乱立に、概念上の大きな違いはありません。

ただし、「一元化」は、複数のソリューションを1つに統合するほど簡単ではありません。

あるいは、そう難しくないのかもしれません。

ソリューションの乱立を招いた原因であるクラウドが、実は、各アプリケーションをそれぞれ独立した境界と捉える考え方に沿って、少なくともセキュリティソリューションを一元化するというニーズに応える最適な解決策となります。

重要なアプリケーション保護、すなわちネットワークおよびアプリケーションレイヤーのセキュリティをクラウドに集約することで、組織はソリューションの乱立を抑えられます。これにより、アプリケーションの展開場所を問わず、より一貫したセキュリティを確保できるだけでなく、ログの分散も抑えられ、イベントの相関分析が容易になるため、セキュリティ担当者とプロセスの双方にかかる負担を軽減できます。

大規模なネットワーク攻撃とアプリケーション層攻撃の両方を検知・防御できる一元化されたソリューションを選択することで、ネットワークおよびセキュリティ担当者の負担をさらに軽減し、組織が必要とするアプリケーションへの脅威の可視化にも対応できます。

Fortinetが委託したForresterの調査では、アプリケーションとネットワーク双方の特性を可視化することが、ネットワークとセキュリティの両方の専門家にとって重要であると明らかになりました。クラウドが分散する今日の環境では、多様な場所にある多数のアプリケーションをセキュリティ面で監視し、単一のクラウドベースソリューションで両方をカバーできることが不可欠です。

今日の、極めて重要かつ大量のトラフィックを扱う「アプリケーション保護」においては、DDoS対策とWebアプリケーションセキュリティの両方が重要です。この2つを単一のクラウドベースソリューションに統合することで、アプリケーションの導入場所を問わず、アプリケーション中心の適切な境界を確立しながら、セキュリティを一元化するというニーズに対応できます。

こうしたアプリケーション中心の境界をオンプレミスに構築することは現実的ではありません。運用上の利点よりも、アーキテクチャ上の欠点の方が大きいためです。一方、同じ概念をクラウドベースのサービスとしてクラウドに移行すれば、一元化による運用上の利点をそのまま得られるだけでなく、アーキテクチャとしても合理的です。クラウドベースのソリューションでは、より広い帯域幅を利用できるため、ネットワーク攻撃やアプリケーション攻撃による大量のトラフィックにも耐えられます。また、より高速な回線を利用できるため、すべてのアプリケーションでアプリケーションレイヤーのセキュリティを有効にするために追加の「ホップ」が必要になっても、その影響は比較的小さく抑えられます。反対に、クラウドベースのアプリケーションへのすべてのリクエストをオンプレミスのWebアプリケーションセキュリティサービス経由でルーティングしようとすると、過度の遅延が生じる可能性があります。さらに、社内環境のスケール拡張が必要になり、利用可能なアップリンク帯域幅の増強も必要になる可能性があります。

DDoS対策とWebアプリケーションセキュリティを一元化することは、運用面でもアーキテクチャ面でも合理的です。

For more information on a converged, DDoS protection and web application security cloud-based solution, check out F5 Silverline. And for a deeper dive this May 25, join us and Equinix for a live webinar on hybrid DDoS protection.

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事