米国国防総省（DoD）は、Comply-to-Connect（C2C）フレームワークを通じて、世界で最も広範かつ機密性の高いネットワークの1つである国防総省情報ネットワーク（DoDIN）のセキュリティ確保に向けて、大きな一歩を踏み出しました。DoDINは、非機密、機密、クラウドベースの15,000を超える環境にまたがり、日々8億件近くのサイバーセキュリティインシデントに直面しています。C2Cは、DoDのゼロトラストへの取り組みを支える基盤的なイニシアチブであり、その広大なネットワークに接続される従来型および非従来型のあらゆる資産について、包括的な可視性と保護を確保することを目的としています。
最小権限アクセスなどのゼロトラスト原則を適用することで、C2Cはすべてのデバイスとユーザーを識別、認証、評価するとともに、修復や継続的な監視などのセキュリティ機能を自動化します。DoDはC2Cを通じて、チェック項目を満たすことを重視した即応態勢から、持続可能で自動化されたサイバーセキュリティアプローチへの移行を目指しています。軍事基地全体でサイバー即応態勢の検査スコアが向上し、運用効率も改善していることからも分かるように、C2Cはすでに大きな効果を上げています。
C2Cは単なるフレームワークではありません。DoDによる重要インフラの防御方法を大きく変革するものです。サイバー脅威が世界的に深刻化し、ハイブリッド環境でのアクセス管理がますます複雑になる中、C2Cの重要性はかつてないほど高まっています。C2Cは、ゼロトラストの原則に沿った、より高度で効果的なセキュリティ対策の基盤となります。
“C2Cとゼロトラストの導入には、デバイスの可視性、セキュアなアクセス、アプリケーション保護に対応する包括的なソリューションエコシステムが必要です。F5は、まさにそのエコシステムを提供します。”
Comply-to-Connectの課題
DoDがC2Cの導入を進める中で、数多くの課題に直面しています。特に差し迫った障壁の1つが、DoDINの圧倒的な規模と複雑さです。このような広範なエンタープライズネットワーク全体のセキュリティを管理するには、産業用制御システム、物流プラットフォーム、運用技術など、幅広いデバイスやシステムを監視、自動化、保護できる高度なツールが必要です。
もう1つの大きな課題は、アクセスに関連する侵害の増加です。そのため、信頼できるアクセスソリューションが不可欠となっています。攻撃者は、悪意のあるペイロードを隠すために暗号化トラフィックを悪用するケースが増えており、複雑さがさらに増しています。
最後に、ゼロトラストの枠組みの下でC2Cを迅速に導入するには、既存システムとのシームレスな統合、堅牢な暗号化戦略、統一されたポリシー適用が不可欠です。政府機関は、ゼロトラストを成功させるために必要な可視性とセキュリティ自動化を実現するため、これらの課題を克服しなければなりません。
C2CとゼロトラストにおけるF5の支援
ゼロトラストの導入には、デバイスの可視化、セキュアなアクセス、アプリケーション保護に対応する包括的なソリューションエコシステムが必要です。F5は、まさにこれらを提供します。政府機関はF5の専門的な機能を活用することで、C2C導入の課題を克服するとともに、さまざまな潜在的侵入口や攻撃対象領域にわたってサイバーセキュリティ態勢を強化できます。
1. エンドポイント：F5 BIG-IP Access Policy Manager (APM)による信頼できるアプリへのアクセス
アクセス制御は、ゼロトラストを支える重要な柱です。BIG-IP APMは、クラウド環境とオンプレミス環境にまたがるアプリケーション、API、データへのアクセスを簡素化し、一元管理します。最新の認証、シングルサインオン（SSO）、一貫したユーザーエクスペリエンスを、F5 BIG-IP Identity Aware Proxy（IAP）を基盤とする、より強固なセキュリティフレームワーク内で提供します。連邦政府機関では、BIG-IP APMがカスタム警告バナーの表示、強力な認証情報のサポート、ユーザー属性の照会を通じてアクセス検証を強化し、最小権限アクセスを適用します。
さらに、BIG-IP APMは高度なクライアント整合性チェックを提供し、エンドポイントがHost Based Security System（HBSS）などの政府セキュリティ標準に準拠していること、およびGovernment Furnished Equipment（GFE）が使用されていることを確認します。この包括的なアプローチにより、政府機関は不正アクセスを防ぎ、C2Cイニシアチブ1の重要な要素であるエンドポイントセキュリティを強化できます。
Identity Aware Proxy（IAP）は、ゼロトラストのアプリケーションアクセスを提供することで、VPNの必要性を低減するように設計されています。リバースプロキシとして機能し、ブラウザ拡張機能が含まれる場合もありますが、それ以外はクライアントレスです。IAPでは、すべてのアプリケーションへのアクセスをきめ細かく制御でき、管理対象デバイスと非管理対象デバイスの両方をサポートします。これは単なるレイヤー7 ACLではなく、外部ツールと連携し、コンテキストに基づいてアクセスを許可または拒否できるきめ細かな制御です。
IAPは、最新の認証方式と従来の認証方式の橋渡しも行い、従来型認証（ヘッダーベースなど）、OAuth 2.0、SAML 2.0、FIDO2（U2F）向けの多要素認証（MFA）とSSOをサポートします。クラス最高水準のアプリ単位のSSL、VPN、ゼロトラストアプリアクセスを提供し、すべてのアプリを一元管理できます。Microsoftのコンプライアンス情報取得サービス（Microsoft Intune MDM）との統合とMicrosoft Graph APIのサポートにより、その機能がさらに強化されます。
2. アイデンティティサービスと統合パートナーシップ
ゼロトラストの基盤となるのは本人確認です。F5ソリューションは、Microsoft、Okta、Pingなどの信頼できるプロバイダーとシームレスに統合できます。こうしたパートナーシップにより、ミッションクリティカルなアプリケーション、SaaSプラットフォーム、クラウドベースのサービス向けのアイデンティティサービスを強化し、統一されたセキュアなユーザーエクスペリエンスを提供します。多様な環境にまたがるアイデンティティのギャップを埋めることで、政府機関は強固で拡張性の高いゼロトラスト機能を維持できます。
F5 BIG-IPは、VMware Horizon ONE（AirWatch）、Microsoft Intune、IBM MaaS360など、主要なモバイルデバイス管理（MDM）およびエンタープライズモビリティ管理（EMM）ソリューションと統合できます。
実装にあたり、F5は、これらのMDMプラットフォームとの詳細な連携を可能にするAPIと設定オプションを提供します。Identity Aware Proxy機能により、コンプライアンスに準拠し、管理対象となっているデバイスのみが企業リソースにアクセスできるようにします。F5との連携により、以下が提供されます。
- リソースへのアクセスを許可する前に、MDMソリューションからデバイスのコンプライアンス状況を確認して、デバイスポスチャを評価
- モバイルデバイスの登録状況をリアルタイムで検証
- MDMプラットフォームが提供するアクセスポリシーの適用
- エンドツーエンドのポリシーおよび管理制御
AirWatch、MaaS360、IntuneなどのMDMと連携する場合、エッジクライアントはBIG-IP APMとのVPN接続を確立し、エンドポイント管理システムはデバイスの詳細情報を管理してBIG-IP APMに送信します。
3. アプリケーション：ミッションクリティカルなアプリ向けのレイヤー7セキュリティ
組織が数百ものアプリケーションを管理する現在、アプリケーションレイヤーのセキュリティはこれまで以上に重要です。F5は、Web Application Firewall（WAF）の高度なソリューションを提供し、レイヤー7の分散型サービス拒否（DDoS）攻撃、API攻撃、認証情報を悪用した攻撃など、さまざまな脅威から保護します。継続的に行動分析を適用することで、アプリケーションの健全性とセキュリティを維持します。ミッションクリティカルなアプリケーションとクラウドベースのアプリケーションの両方を保護し、政府機関のゼロトラスト戦略を支援します。
4. ネットワークインフラストラクチャ：暗号化トラフィックの保護
SSL/TLS暗号化が標準となる中、悪意のある攻撃者は攻撃を隠すために暗号化を頻繁に悪用しています。この問題に対処するため、F5は、トラフィックの復号と暗号化、可視性の死角の解消、セキュリティチェーン全体にわたるポリシーベースのオーケストレーションを実現する「SSL可視化ソリューション」を提供しています。F5は、受信および送信する暗号化トラフィックを保護することで、脅威によるセキュリティ制御の回避を防ぎながら、政府機関の可視性向上を可能にします。これは、C2Cとゼロトラストの目標に完全に合致します。
今後の道筋
C2Cを基盤として、DoDはゼロトラストエコシステムの早期完全実装を目指し、大胆な取り組みを進めています。しかし、ゼロトラストのビジョンを実現するには、継続的な努力だけでなく、適切なツールと専門知識も必要です。F5は、エンドポイント、ネットワーク、アプリケーション全体にわたる拡張性とセキュリティを備えたソリューションを提供し、政府機関がこの変革を進められるよう支援できる独自の立場にあります。
アクセスに関連する侵害への防御、暗号化トラフィックの管理、アプリケーションの保護強化など、F5ソリューションは連邦政府機関の運用ニーズに対応します。F5と連携することで、政府機関はC2Cの課題を克服し、現在のネットワークと将来のミッションクリティカルなシステムの両方を保護する、レジリエントなゼロトラスト環境への移行を加速できます。
ゼロトラストにおけるF5ソリューションの活用方法について詳しくご覧ください。
著者について
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。