F5とGoogle Cloudがアダプティブアプリケーションを保護

Beth McElroyシニアアライアンスマネージャー | F5

ボット問題の規模を測る

不正行為はますます巧妙化しており、その多くは組織化されたサイバー犯罪集団によって実行されています。脅威アクターがセキュリティ防御を回避するために手法を絶えず変化させるなか、ITセキュリティチームは常に防御に追われ、すでに逼迫しているリソースは限界に達しつつあります。

取引機会の喪失、顧客離れ、収益の減少、あるいは情報不足によって最適とは言えない経営判断を余儀なくされることなど、これらはいずれも、ボット攻撃を受けた組織が日常的に直面する状況から生じます。

• システム／アプリケーションのダウンタイム
• サイトのパフォーマンス低下
• SEOキャンペーンへの悪影響
• 広告ROIの悪化
• 偏りのあるトラフィック分析
• 盗まれたアカウントと認証情報
• 個人情報／非公開情報の喪失
• 顧客からの信頼低下

こうした攻撃を防ぐためのIT部門の取り組みは十分な効果を上げられないことが多く、業務の中断、顧客体験の低下、さらには企業収益への悪影響につながります。

業界固有のボット対策の課題

技術的な活動と実際の状況との関連をより深く理解するために、ユースケースの観点からボットに関する課題を見ていきましょう。ボット攻撃による不正行為は、さまざまな業界に多様な形で影響を及ぼす可能性があります。

小売

オンライン小売業者やeコマース事業者は、悪意のあるボット攻撃の標的にされることが少なくありません。たとえば、在庫の買い占め（別名「グリンチボット」）、ギフトカード詐欺、在庫妨害、転売、スクレイピング、クレデンシャルスタッフィング、レイヤー7 DDoS攻撃などが挙げられます。要するに、適切な商品やサービスを、適正な価格とタイミングで、本来の顧客に販売できなければ、小売業者は事業を継続できません。

医療

医療分野のデジタル化が進んだことで、悪意のある攻撃者が狙う攻撃対象領域が拡大しています。Imperva Research Labsの調査データから、最近、医療関連サイトに対する悪性ボットトラフィックが372%急増したことが明らかになりました。その一方で、医療関連Webサイトにおける正規の人間によるトラフィックの割合は減少しました。同時に、医療関連サイトの悪性ボットトラフィックの割合は18.9%から26.8%に増加しました。この危険な二極化傾向は、どの業界でも長期にわたって許容できるものではなく、特に医療業界では深刻です。

病院、医療保険会社、研究所、医療サービス提供者、製薬会社はいずれも、機密性の高い医療情報を保管しています。また、ボットを利用したサイバー攻撃の標的となるリスクが高い状況で、事業を継続しています。医療サービスの中断による影響は、医療システムをオンラインに維持できないことだけにとどまりません。規制上の罰則を科される、医療サービス提供者のサービス提供能力が低下する、さらには人命が危険にさらされる可能性もあります。

通信事業者

通信業界では5G、エッジコンピューティング、IoT技術の導入が急速に進む一方、2020年にDDoS攻撃が最も大幅に急増した業界の1つとなり、2019年比で210%増加しました。また、通信事業者とISPは、悪意のあるボットによる被害が最も深刻で、その割合は45.7%に達しました。

現在、多くの通信事業者がネットワーク機能仮想化を導入し、ネットワークを物理アプライアンスから切り離して、CPU上のソフトウェアとして実行しています。この移行により、DDoS攻撃に伴う大量のトラフィック負荷などに対する脆弱性が高まります。

金融サービス

Webアプリやモバイルアプリ、API、OFX（Open Financial Exchange）ファイルを狙ったクレデンシャルスタッフィングなどの自動化された攻撃は、アカウントの乗っ取りや新規アカウント作成時の不正につながり、多額の不正損失をもたらします。また、大規模なクレデンシャルスタッフィング攻撃は、サイトのパフォーマンス低下や、場合によってはサイト停止の一因にもなります。

デフォルトでは、管理対象外のサードパーティ製フィンテックアプリは、ユーザーによる許可を得て、実際のユーザーであるかのように金融機関のアプリにログインできます。適切な可視化、管理、制御がなければ、こうしたツールによってアプリケーションに不要な負荷がかかる可能性があります。また、サイバー犯罪者は、クレデンシャルスタッフィングを偽装するための攻撃経路としてもこれらを利用します。

手動による不正行為では、不正行為者が実在するユーザーになりすまし、アカウントを乗っ取ったり、新たな偽アカウントを作成したりします。人手による攻撃は価値の高い標的に集中することが多く、自動化による攻撃が失敗すると、攻撃者は手動でのアカウント乗っ取りに切り替えます。

業種を問わず、ボットへの対処は連携して取り組むべき課題です。以前の投稿でもこの点を取り上げ、最新の仮想化されたアプリ主導型環境では、集中型セキュリティから脱却する必要があると指摘しました。

単独で立ち向かわない

As recommended by Forresterは次のように推奨しています。「ボットに対する包括的な防御には、影響を受けるすべての関係者の連携が必要です。eコマースチームは、ボット対策を実施する際のカスタマーエクスペリエンスに関する要件を共有するとともに、ボットトラフィックの増加につながる可能性がある今後のイベントについて、セキュリティチームに周知する必要があります」

このコメントは、悪意のあるボットがもたらすリスクを把握し、それに対応するうえで、組織が影響を受ける各関係者の役割を認識する必要があることを示しています。別の例として、セキュリティチームとアプリケーション開発チームは、ユーザー（顧客）に負担や不満を与える保護対策を導入することなく、対策を回避するために攻撃手法を変化させる攻撃者に適応できるよう、連携する必要があります。

また、パートナーとの関係を活用し、経営幹部レベルで議論と対応を進めることも不可欠です。そこには、アップセルやクロスセルの機会がより多くあります。単一のソリューションに追加予算を求めるよりも、既存のモダナイゼーションプロジェクトの予算に組み込む方が容易です。この点については、以前の記事で詳しく取り上げています。効果的な不正対策エコシステムを構築する有意義な方法として、組織の外部に目を向けることを提案しています。

ボットに対抗するクラウド上のアダプティブアプリ

不正を容認することを、当たり前の姿勢にすべきではありません。また、事後的なセキュリティデューデリジェンスに対応するためにアプリケーションのリリースを遅らせることも、ビジネス上合理的とはいえません。代わりに、開発プロセスでセキュリティをシフトレフトし、Google Cloudなどのセキュアなクラウドプラットフォームへ移行することで、アプリケーション開発をモダナイズし、稼働時間を向上させ、セキュアで適応型のアプリケーションをより迅速に市場投入できるようにします。

このアプローチが不可欠なのは、最新のアプリケーションアーキテクチャによって攻撃対象領域が拡大する一方、自動化によって、攻撃者が「OWASP Top 10」に挙げられている脅威を悪用する能力が高まっているためです。不正行為者は、こうした露出と自動化を利用しています。自動化された脅威には、自動化された防御が必要です。

F5とGoogle Cloudでアダプティブアプリを保護

Google Cloudは、オープンソースを採用した、より柔軟でセキュアなクラウドプロバイダーであり、インフラストラクチャの移行とアプリケーションのモダナイゼーションに最適なプラットフォームです。また、マルチクラウドとの親和性が最も高く、Kubernetesに加え、ビッグデータやアナリティクスの分野でも先駆的な機能を提供しています。Google Cloudは常にセキュリティを重視してきました。堅牢なセキュリティと最先端の暗号化により、企業は機密性の高い個人識別情報を安全に保存、分析できます。

F5 bot protectionは、BigQueryデータ分析プラットフォーム、TensorFlow機械学習プラットフォーム、Google Cloud DataflowおよびPub/Subのデータ処理パイプラインなど、Google Cloudのイノベーションを活用するよう設計されています。悪意のあるボットトラフィックがネットワークに到達する前にブロックして破棄する、プロアクティブな多層セキュリティを提供し、脅威への対処を支援します。これにより、アカウント乗っ取り、脆弱性の偵察、ネットワーク層やアプリケーション層を標的とするサービス拒否攻撃を試みるボットを緩和します。また、F5 bot protectionは、追加トラフィックの処理に伴うネットワークのオーバーヘッド軽減にも役立ちます。

攻撃者の適応型脅威活動に対応

シフトレフトを進め、あらかじめ用意されたアクションで対応を自動化するだけでは不十分です。サイバー犯罪者を抑止できないボット管理や、幾重もの煩雑な手順でお客さまにストレスを与え、最終的に取引の中断や収益の損失を招くボット管理で妥協することは許されません。ユーザーにストレスを与えることなく、対策を回避するために手法を変える攻撃者にセキュリティを適応させる必要があります。

F5のボット対策により、アプリや攻撃者が運用要件や脅威活動に適応して変化する中でも、動的に対応できます。F5のソリューションは、不正行為による損失を大幅に削減し、より優れた顧客体験を提供すると同時に、運用効率とビジネスインテリジェンスを最大限に高めることで、ビジネス成果を飛躍的に向上させます。F5は、クラウド上のコアコードから顧客への提供に至るまで、アプリを支援できる独自の立場にあります。これを実現するのが、次の4つの柱を網羅する単一のソリューションセットです。

1. 脅威の先を行く

アーキテクチャ、クラウド、サードパーティ統合の急増により、脅威にさらされる領域が大幅に拡大しています。アプリケーションの重大な脆弱性が日々公開されるなか、攻撃者はそれらをすぐに自動化フレームワークで攻撃に利用できるようにし、金銭的利益を目的として脆弱性を発見、悪用しています。

2. セキュリティを統合

効果的なアプリケーションセキュリティには、自動化と統合が不可欠です。自動化により、開発ライフサイクルの早い段階でセキュリティ制御を導入して安定稼働させることができ、有効性が向上します。その結果、手作業を減らしながら、より高い効果を得られます。また、統合によってセキュリティリソースの負担も軽減されます。

3. 市場投入を迅速化

組織が、アプリケーション開発のスピードを維持しながら、さまざまなアーキテクチャ、クラウド、開発者向けフレームワークにわたるアプリケーションセキュリティの複雑化に効果的に対応するには、一貫性のある自動化されたセキュリティが必要です。

4. ネットワークの円滑な稼働を維持

実環境で最も豊富な実績を持つAI/MLエンジンは、偽装できない独自のシグナルを収集し、1日あたり20億件を超える攻撃から学習して分類します。これにより、包括的かつ高度な緩和策を実現し、有害なトラフィックによるネットワークの過負荷を防ぎながら、正当なトラフィックとそれに伴うトランザクションを遅延なく継続させます。

ネットワーク、ひいてはビジネスが直面するボットの課題に先手を打つため、F5とGoogle Cloud Platform（GCP）のページで詳細をご確認ください。

出典：

¹ 出典：Forrester、「State of Online Fraud And Bot Management」、2021年1月、Googleの委託による調査

著者について

Beth McElroyシニアアライアンスマネージャー | F5

Beth McElroyのその他のブログ記事