F5 NGINX STIGs：公共部門および規制対象環境向けのセキュリティ設計指針

Bill Church連邦政府担当フィールドCTO

米国国防総省および規制対象の環境でF5 NGINXを強化するための実践的なガイダンス

米国連邦政府または国防総省（DoD）の環境にF5 NGINXを導入している方なら、「STIG」という言葉を数え切れないほど耳にしていることでしょう。Security Technical Implementation Guides（セキュリティ技術実装ガイド）は、連邦政府のミッションに求められる厳格な基準を満たしながら、現実の脅威に耐え得るインフラストラクチャを構築するための決定版ともいえるロードマップとなっています。今や、その対象は政府機関だけではありません。金融サービスや医療などの規制業界でも、STIGを実績あるベースラインとして採用する動きが広がっています。国家を背景とする攻撃者への対策として強化された構成は、こうした業界が直面する脅威に対しても高い耐性を発揮すると認識されているためです。

しかし、多くの組織が見落としている点があります。STIGへの準拠を適切に進めれば、NGINX環境はゼロトラストアーキテクチャを構成する、堅牢で防御可能なコンポーネントへと変わります。監査への合格は、セキュリティ態勢が実質的に向上した結果として得られるものになります。

かつてないほど重大な局面

連邦政府機関を取り巻く脅威環境は、日々高度化しています。国家を背景とする攻撃者、ランサムウェアの実行者、機会を狙う攻撃者が、政府機関のネットワークを絶え間なく探っています。一方で、コンプライアンス要件は厳格化し続けており、セキュリティ上の不備が運用面と評判の両面にもたらす影響は、かつてないほど深刻になっています。

NGINXは、その起源から進化を遂げ、レガシーなモノリスからクラウドネイティブなマイクロサービスまでを網羅する、アプリケーションデリバリ、セキュリティ、最適化のための包括的なプラットフォームとなりました。ロードバランサー、リバースプロキシ、コンテンツキャッシュ、APIゲートウェイ、Kubernetes Ingress Controllerの機能を一体化したNGINXは、最新の連邦政府アーキテクチャにおける重要な接点に配置されています。

追加することで、F5 WAF for NGINXおよびF5 DoS for NGINX（旧称NGINX App Protect）により、レイヤー7でWebアプリケーションファイアウォール（WAF）とサービス拒否（DoS）攻撃への防御を統合できます。TLS終端、APIトラフィックのルーティング、アクセスポリシーの適用、ミッションクリティカルなアプリケーションの負荷分散に対応します。NGINXインスタンスの設定に不備があると、侵害につながる可能性があります。

NGINX STIGの実装が異なる理由

一般的なハードニングガイドとは異なり、STIGは、実際の攻撃パターンと、世界でも特に攻撃の標的となっているネットワークを防御する中で得られた貴重な教訓に基づいて策定されています。NGINX STIGは、次の6つの重要な領域に対応します。

アクセス制御と認証：許可されたユーザーとシステムのみが、NGINXの設定およびNGINXが保護するアプリケーションを操作できるようにします。これには、ファイル権限、クライアント証明書の検証、PIV認証情報の統合が含まれます。

暗号化プロトコル： TLS 1.2以上（TLS 1.3を推奨）およびFIPS 140-2検証済み暗号スイートの使用を必須とします。量子コンピューティングの脅威が高まる中、暗号化を適切に実装することがセキュリティの基盤となります。

包括的なログ記録： 可視化できないものを防御することはできません。STIGに準拠したログ記録により、セキュリティオペレーションセンター（SOC）が脅威の検知とインシデント対応に必要とする、セキュリティ関連イベントを記録できます。

セキュリティ属性の処理：データフローポリシーを適用するため、プロキシインフラストラクチャを介して機密区分およびアクセス制御情報を適切に受け渡します。

リクエスト検証： Slowloris型DDoSから過大なリクエストを悪用する攻撃まで、幅広いWeb攻撃から保護します。

SIEM統合： NGINXのテレメトリを企業のセキュリティ監視に接続し、一元的な可視性を確保します。

F5 NGINX Plus：連邦政府のミッションを支えるエンタープライズ機能

Organizations running F5 NGINX Plusを運用する組織は、STIGへの準拠とその維持を容易にするエンタープライズグレードの機能を利用できます。アクティブヘルスチェックにより、バックエンドの可用性を確保します。ネイティブのJWT検証により、APIトラフィックを保護します。動的構成APIは、クライアント証明書認証を使用してアクセスを制限でき、フリートを安全に管理できます。

米国連邦政府の環境でFederal Information Processing Standards（FIPS）140-2認証が必須となる場合、NGINX Plusは、認証済みのOpenSSLモジュールと組み合わせることで、FIPSに準拠した運用をサポートします。これにより、暗号処理が、機密性の高い政府データの処理に関する厳格な要件を満たすことができます。（実装の詳細については、「NGINX PlusのFIPS準拠に関するドキュメント」を参照してください。）

これらの各機能は、特定のSTIG要件に直接対応するとともに、運用チームの負担を軽減します。

コンプライアンスの先へ：防御可能なインフラストラクチャの構築

最も成果を上げている連邦政府のITチームは、STIGの実装を義務ではなく機会と捉えています。監査要件を満たすだけでなく、真の価値は、次のようなNGINX環境で発揮されます。

• デフォルトで一般的な攻撃パターンに対抗できます。
• 迅速なインシデント対応に必要な可視性を確保します。
• ゼロトラストアーキテクチャとシームレスに統合します。
• ミッション要件の変化に応じて、安全に拡張できます。

実装の詳細を確認

技術的な詳細を確認する準備はできましたか？DevCentralチームが、STIGの各カテゴリーについて、設定例、コードスニペット、ベストプラクティスを網羅した実装ガイドを公開しています。

技術ガイド全文を読む：「F5 NGINX STIGの実装：DoDセキュリティコンプライアンスの実践ガイド」

新規に導入する場合でも、既存のデプロイメントを強化する場合でも、このガイドでは、STIG準拠を実現し、維持するために必要な実践的な詳細を解説しています。

著者について

Bill Church連邦政府担当フィールドCTO

Bill Churchのその他のブログ記事