アプリの可用性、完全性、機密性を確保する方法

F5

読了時間：7分

この40年間で、ソフトウェアは進化してきました。メインフレームの時代には、ユーザーは大規模なマルチユーザーシステム上で一元管理されたプログラムにアクセスしていました。しかし1990年代には、一般的なアプリケーションは段ボール箱にシュリンク包装されたプラスチック製ディスクで提供され、ローカル環境にインストールされた後、更新されることはほとんどありませんでした。

ある意味では、私たちは一巡して元の地点に戻ったとも言えます。アプリケーションは再びネットワーク経由で提供されることが増え、アプリケーション開発者も運用業務や、自ら開発したアプリケーションのセキュリティ確保に関与する機会が増えています。常時稼働が求められ、アプリケーションがサービスとして提供されるこの世界では、ソフトウェアの脆弱性が短時間で悪用され、単純なDDoS攻撃でもサービスが中断する可能性があります。

独自にアプリケーションを開発する企業では、プログラマーがエンドツーエンドのセキュアなソフトウェア開発ライフサイクル（SDLC）の一環としてソフトウェアを開発する必要があります。そのためには、ソフトウェアの攻撃対象領域の縮小、脆弱性の排除に注力するとともに、よりセキュアな設計とプログラミングを行えるよう開発者をトレーニングすることが重要です。

アクセス制御とセキュリティの基本原則の適用

同時に、企業はクラウドアプリケーションを、安全に管理すべき運用テクノロジーとして扱う必要もあります。クラウドアプリケーションは常時接続されているため、攻撃の標的になりやすく、脆弱性を迅速に特定して解消することが極めて重要です。脅威に先手を打つには、脆弱性を特定して優先順位を付け、Webアプリケーションファイアウォール（WAF）による修復を迅速に自動化できる脆弱性管理プロセスを導入する必要があります。WAFは重要なWebセキュリティ制御であり、開発チームがコードを修正している間、攻撃をブロックすることで企業が対応するための時間を確保できます。

アプリケーションセキュリティに関する一般的な脆弱性管理の議論に加えて、ほかに何を検討すべきでしょうか。まず、適切なアクセス制御を設定することが出発点となります。認証、認可、アカウンティング（AAA）のフレームワークは、SSOや多要素認証などの機能を使用し、強力な認証をデフォルトで必須とするうえで重要な指針です。さらに、少なくとも3つのロール（例：非特権ユーザー、特権ユーザー、管理者）を含む堅牢なロールベースアクセス制御（RBAC）に基づいてユーザーを認可することで、意図しないインシデントの発生を抑えられます。また、インシデントが発生した場合に備えてイベントを適切に記録しておけば、使用されたアカウントやアクセス元のシステムなど、解決に必要な重要情報を取得しやすくなります。

AAAフレームワークと併せて、CIAのセキュリティ原則である機密性、完全性、可用性の観点からアプリケーションセキュリティを検討することで、企業がアプリケーションを保護し、サービスを継続的に稼働させるために講じるべき追加の対策が明確になります。

1. 可用性—アプリケーションを常時稼働させる

従業員のクラウドアプリケーションへの依存度が高まる中、クラウドサービスの可用性は事業運営に不可欠となっています。かつては単なる迷惑行為にすぎなかったDDoS攻撃も、今では事業運営をはるかに深刻に妨げる可能性があります。

推奨事項：

• ネットワークエッジで攻撃をブロックするよう設計されたDDoS緩和サービスを利用します。攻撃が発生した場合でも、トラフィックによるクラウド利用量の急増に伴う追加料金を回避できるため、このようなシステムはコスト削減につながります。
• 変更管理プロセスを導入します。多くの企業が、インフラストラクチャに不備のあるアップデートを適用した結果、自社サービスに障害を引き起こしています。
• レイヤー7（アプリケーションレベル）攻撃を防ぐために、WAFまたはDDoS防御アプライアンスを使用します。

2. 完全性—アプリが意図したとおりに動作することを確保

デジタル上の扉を常に開いておくことは、企業にとって最優先事項です。次に重要なのは、悪意のある者の侵入を防ぐことです。開発チームと運用チームは、前述のAAAで説明したように、すべてのアプリケーションとデータに安全にアクセスするための基盤を構築する必要があります。また、意図しない変更によってアプリケーションがデータの完全性に影響を及ぼす動作をしないよう、変更管理を行う必要もあります。

推奨事項：

• WebSafeやWAFなどのツールを導入することで、悪意のある攻撃者が不正なデータをアプリケーションに注入する能力を制限し、幅広い脅威から保護して、損失やリスクの軽減に役立ちます。
• データの完全性を確認するアプリケーション制御も、上流の制御のいずれかが機能しなかったかどうかを監視するうえで非常に有効です。
• アプリケーション構成を自動テストすることで、不具合のある変更が実装された際に、運用担当者へ迅速に通知できます。

3. 機密性—クラウドで機密情報を守る

データの機密性は、クラウドか自社データセンターのオンプレミス環境かを問わず、収集時、転送時、保存時のそれぞれで確保する必要があります。アプリケーションの脆弱性が悪用され、アプリケーションやそのデータの機密性が損なわれるのを防ぐには、WAFを含む脆弱性管理を主要な対策として導入する必要があります。現在では、ユーザーとWebアプリケーションサーバー間の通信をTLS技術で暗号化しない理由はありません。クラウドまたはオンプレミスに保存するデータも、不正アクセスを防ぐために完全に暗号化する必要があります。

推奨事項：

• TLS/SSLをデフォルトで有効にします。すべての通信にHTTPSを使用してください。
• 保存中の重要なデータ、特にバックエンドの認証情報ストアには、強力な暗号化を施してください。単純なパスワードハッシュは、もはや許容されません。少なくともソルト付きハッシュ、またはそれ以上に強力な暗号化方式を実装する必要があります。
• 欠陥を検出してトリアージするため、包括的な脆弱性管理プログラムを導入します。パッチの適用間隔中に脆弱性をカバーするには、WAFの仮想パッチ機能を使用することを強く推奨します。
• クラウドアプリケーションとインフラストラクチャのセキュリティ確保は複雑ですが、AAAとCIAの観点から捉えることで、セキュリティ担当者はこの分野に包括的に取り組み、全体的なセキュリティ戦略を支える対策を講じることができます。

Preston Hogueは、F5のセキュリティマーケティング担当シニアディレクターです。グローバルなセキュリティキャンペーン、啓発活動、ソートリーダーシップを担当し、F5 Labsのアプリケーション脅威インテリジェンスチームを統括しています。情報セキュリティ分野で20年以上の経験を有し、複雑なセキュリティプログラムの開発、導入、管理、リスク分析および管理の設計、規制・コンプライアンス要件に対応するプログラムの導入に携わってきました。

著者について

F5

F5のその他のブログ記事