AWSへのBIG-IP SSL Orchestrator導入が有力な選択肢となる4つの理由

F5エコシステム | 2022年5月11日

現在、世界のITコミュニティは、複数の困難な要因が重なる状況に直面しています。

顕著な要因の1つは、広く報じられている世界的な半導体不足です。これにより、アプリケーションデリバリおよびセキュリティハードウェアのリードタイムが長期化しています。F5 iSeriesアプライアンスへの需要は引き続き堅調ですが、アプライアンスに対する高い需要と長引く半導体不足により、iSeriesアプライアンスの納期が長期化しています（サプライチェーンの供給不足によるF5 rSeriesアプライアンスおよびVELOSシャーシへの影響は、それほど大きくありません）。

2つ目の大きな要因は、東欧で続く紛争と、サイバー戦争への懸念です。F5 Labsが報告したように、2018年の時点ですでに、このような攻撃は政府機関や民間企業、さらにはホームオフィスまで標的にする可能性があると指摘されていました。

この2つの要因により、新たなセキュリティ対策の導入が急務となる一方で、多くの組織がソリューションを迅速に調達できない状況が深刻化しています。しかし、高度な脅威が増加するなか、セキュリティ対策を先送りするという選択肢はありません。

その顕著な例がランサムウェアです。ランサムウェアの脅威は増大しており、F5 Labsの調査では、2019年には全データ侵害の6%だったものが、2021年には全攻撃チェーンの42%にまで増加しています。その波及的な影響は、決して過小評価できません。ランサムウェアは、他のどの種類のマルウェアよりも、信頼できるベンダーを介して拡散し、重要なインフラストラクチャやデータを利用不能にし、国内外の経済に悪影響を及ぼすことで、サプライチェーンに損害を与える可能性があります。

ランサムウェアの攻撃チェーンを早期に阻止するには、個々のランサムウェア攻撃ベクトルを覆い隠す暗号化チャネルの内部を可視化できるソリューションの導入が重要です。クラウドに導入したBIG-IP SSL Orchestratorは、これらのチャネルを復号し、ネットワークを通過するSSL/TLSトラフィックを可視化するのに役立ちます。また、復号したトラフィックを脅威検査のためにセキュリティスタックへ振り分けると同時に、世界的な半導体不足やサプライチェーンの問題に起因する長いリードタイムを回避できます。

サイバー攻撃の増加とグローバルなサプライチェーンの供給不足が続く中、セキュリティニーズへの対応を支援するため、F5はAmazon Web Services（AWS）と提携し、AWSに導入可能なBIG-IP SSL OrchestratorのHigh Performance Virtual Editionを提供しています。AWS上のSSLO Orchestratorがお客さまにとって最適な選択肢となり得る4つの理由をご紹介します。

1）ハードウェアの納期が通常より長期化している

世界的な半導体不足やサプライチェーンの混乱を理由に、セキュリティ対策を先送りすることはできません。多くの場合、セキュリティスタックの導入やアプリケーションの防御に必要なハードウェアが届くまで、何か月も待つ余裕はありません。

幸い、ほかにも選択肢があります。High Performance BIG-IP Virtual Editionを使用してBIG-IP SSL OrchestratorをAmazon Web Servicesに導入すれば、サプライチェーンの長いリードタイムを回避し、世界的なハードウェア不足の状況でも組織のセキュリティ上の優先課題に対応できます。SSL OrchestratorをAWSに導入した場合、オンプレミスソリューションとVEソリューションのどちらでも同一の機能セットを利用できます。すべてのフォームファクターでF5の主力製品であるBIG-IPソフトウェアを使用し、共通のユースケースと機能を提供しています。AWSでは、BIG-IP SSL Orchestratorを迅速に立ち上げ、必要なキャパシティの増加やセキュリティニーズの変化に応じてオンデマンドで拡張できます。

図1：BIG-IP SSL OrchestratorをAWSにデプロイすることで、継続的なインフラストラクチャの高速化と高い柔軟性を活用できます。（このアーキテクチャのデプロイには、DevCentral GitHubで入手できるシンプルなTerraformテンプレート一式が必要です。）

図1：BIG-IP SSL OrchestratorをAWSに導入することで、継続的なインフラストラクチャの高速化と高い柔軟性を実現できます。（このアーキテクチャの導入に必要なシンプルなTerraformテンプレート一式は、F5のDevCentral GitHubで入手できます。）

2）SSL/TLSインスペクションを迅速にスケールし、インフラストラクチャの高速化とオフロードを活用したい

AWSにSSL Orchestratorを導入する利点の1つは、必要なキャパシティが増加しても、ネットワークインフラストラクチャの拡張を心配する必要がないことです。拡張性に優れたAWSプラットフォーム上で、トラフィックの復号と再暗号化を実行できます。これにより、SSLオフロードのパフォーマンスが向上し、セキュリティとコスト効率を最大限に高められます。ネットワークを通過する暗号化トラフィックが増加した場合も、必要に応じて復号およびオーケストレーションソリューションを柔軟にスケールアウトできます。

AWSにSSL Orchestratorを導入することで、暗号化された脅威への対策とオーケストレーションを担うソリューションは、現代のセキュリティ環境で求められる柔軟性と拡張性を満たしながら、変化するネットワーク状況や組織のニーズに適応し、高いパフォーマンスを発揮します。

図2：AWS上でBIG-IP SSL Orchestratorをスケールアウトするには、複数のポッドとロードバランサーをデプロイするだけです。

3）レイヤー3～7から侵入するランサムウェアへの対策が必要

セキュリティ担当者にとって残念なことに、ランサムウェアはさまざまな攻撃ベクトルを介してネットワークに侵入する可能性があります。しかし、その多くに共通するのは、暗号化されたチャネルを介して侵入する点です。そのため、暗号化トラフィックを可視化することは、包括的なランサムウェア対策を講じるうえで極めて重要です。現在、トラフィックの90%が暗号化されているとの推定もあり、攻撃者は暗号技術のプライバシー保護機能を悪用して、ネットワーク監視プログラムによる検知を容易に回避できます。実際、F5 Labsの報告によると、フィッシングサイトの83%が有効なTLS証明書を使用しています。フィッシング、ソフトウェアやブラウザの脆弱性（CVE）、ドライブバイダウンロードは、ランサムウェアの最も一般的な侵入経路の一部であり、これらの攻撃ベクトルはいずれも暗号化されている可能性があります。したがって、ネットワークに侵入する、またはネットワーク内を移動するランサムウェアを検知するには、暗号化トラフィックの監視が不可欠です。

BIG-IP SSL Orchestratorでは、セキュリティサービスを連携させ、ソリューションのインテリジェントな分類指標を活用することで、トラフィックやネットワークの状況、セキュリティニーズに応じた、対象を絞った適切なセキュリティサービスチェーンを構築できます。

4）柔軟な購入オプションをお求めの場合

AWSに導入するBIG-IP SSL Orchestratorでは、「柔軟性」が鍵となります。SSL OrchestratorとAWSを組み合わせることで、セキュリティの総所有コストとインフラストラクチャの占有領域を削減しながら、任意のモデルとライセンスを選択したHigh Performance VEでSSL Orchestratorを柔軟に利用できます。SSL/TLSトラフィックの復号には高い処理能力が必要なため、SSL OrchestratorにはHigh Performance VEライセンスを使用することを強く推奨します。スループットベースのVEライセンスは、SSL Orchestratorのパフォーマンスに問題が生じる可能性があるため、推奨されません。High Performance BIG-IP VEを活用して、AWSにSSL Orchestratorを導入できます。スループット制限のないこれらの非スロットリング型Virtual Editionインスタンスでは、インスタンスを稼働させるvCPU数のみが上限となります。

AWSでは、SSL Orchestratorの稼働に必要なリソースとインフラストラクチャのみを使用できるため、セキュリティ投資を最大限に活用できます。

AWS上でHigh Performance Virtual Editionとして動作するBIG-IP SSL Orchestratorに任せることで、半導体不足やサプライチェーンの問題に起因する、ランサムウェアなどのマルウェア、コマンド＆コントロールサーバーへの通信、データ流出からアプリケーションとデータを保護するうえでの懸念を軽減できます。