F5 on AWSのイノベーションの1年を振り返る

Tom Atkinsプリンシパルプロダクトマーケティングマネージャー | F5

先週、ラスベガスで過去最大規模のAWS re:Inventが開催され、クラウド業界をけん引するAWSの最新かつ注目すべきプラットフォームの進化を学ぼうと、50,000人を超える参加者が集まりました。熱気も落ち着き、ネバダでの余韻も薄れつつある今こそ、F5にとってAWS上での取り組みが活発に進み、多くの成果を上げたこの1年を振り返る絶好の機会です。どうぞくつろぎながら、過去1年間にF5がAWS上で遂げた主な進展を詳しく見ていきましょう。

1. AWS MarketplaceでのBIG-IP Cloud Editionの提供開始
2. AWS MarketplaceでのF5 Advanced WAFの提供状況
3. F5 Cloud Services早期アクセス
4. Security Hubとの統合
5. AWS Transit Gatewayのサポート
6. CloudFormationテンプレートの進捗とAWS QuickStart
7. AWS Intelligence Community（IC）Marketplaceでの提供
8. F5 Managed Rules for AWS WAF

1）AWS MarketplaceでのBIG-IP Cloud Editionの提供状況

要するに、AWS上のBIG-IP Cloud Editionは、F5が誇る最高水準の仮想アプリケーション単位のアプリケーションサービスと、大幅に強化されたBIG-IQの一元管理機能を統合したものです。アプリケーションポートフォリオが拡大し続け、自動化とアジリティの必要性がますます高まる中、専用かつ適切な規模のアプリケーションサービスに、詳細で有用な分析、アプリケーションチーム向けセルフサービス、オートスケーリングを組み合わせる以上の選択肢はないでしょう。

つまり、BIG-IP Cloud Editionは、業界をリードするアプリケーションサービスと開発のアジリティのどちらかを選ばなければならないという、今や誤った通説を覆します。BIG-IP Cloud Editionなら、両方を選択し、デジタルトランスフォーメーションによって増大するIT部門への負担に対処できます。F5のお客さまは、AWS環境内でBIG-IP Cloud Editionを試用し、導入できるようになりました。

BIG-IP Cloud Editionのソリューションガイドをご覧いただくか、AWS Marketplaceの製品ページにアクセスしてください。

2）AWS MarketplaceでのF5 Advanced WAFの提供

パブリッククラウドが普及した現在、クラウドプロバイダーが基盤となるクラウドインフラストラクチャのセキュリティを担い、ユーザーがアプリケーションとデータの保護を担う「責任共有モデル」という考え方は、広く知られています。

同時に、サイバー犯罪者は攻撃手法を絶えず進化させ、脆弱性を悪用して、アプリにアクセスし影響を及ぼす新たな方法を見つけ出しています。セキュリティ担当者を長年悩ませてきた一般的な攻撃ベクトル（XSS、インジェクションなど）に加え、現在では、マルウェアやボット関連の攻撃から、リソースを枯渇させるDoS攻撃に至るまで、より革新的で高度な仕組みがアプリへの脅威に利用されています。こうした高度な脅威があるため、パブリッククラウド上のアプリを保護するには、市場で最も高度なアプリケーションセキュリティソリューションの導入は、ぜいたくではなく不可欠です。

その後F5は、業界で最も包括的なWAFソリューションであるAdvanced WAFをAWS上で提供開始し、極めて複雑な攻撃からワークロードを保護できるようにしました。Advanced WAFの機能には、レイヤー7の振る舞いに基づくDoS攻撃の検知と緩和、認証情報の保護、プロアクティブなボット対策が含まれます。

詳細については、F5の「Advanced WAF Webページ」または「AWS Marketplace」をご覧ください。

3) F5 Cloud Services Early Access

re:Inventで、AWS SaaS Factoryを基盤として構築された革新的な新しいサービスデリバリープラットフォーム機能を発表できたことを、大変うれしく思います。F5 Cloud Servicesは当初、早期アクセスプレビューとして提供されます。ご関心のある方は、以下のF5 Cloud Servicesのプレビューを無料ですぐにお試しいただけます。

• DNS – グローバルに分散された権威DNSサービスで、DNSを標的とするDDoS攻撃への保護機能を内蔵しています。
• GSLB – F5 Global Server Load Balancing (GSLB)サービスは、クラウドおよびハイブリッド環境におけるアプリケーションのデプロイに、インテリジェントな負荷分散を提供します。

F5 Cloud Servicesの発表をご覧いただき、早期アクセスプレビューにはこちらからお申し込みください。

4）AWS Security Hubとの統合

Andy Jassy氏がre:Inventの基調講演でAWSの新サービス「Security Hub」を発表した際、注意深くご覧になっていた方は、画面に映った見覚えのある大きな赤いボールに気付いたかもしれません。F5はこの新しいツールのローンチパートナーであり、Advanced WAFおよびBIG-IP ASM Virtual Editionをこの一元管理型レポートコンソールと統合できるようになりました。この統合により、セキュリティチームは、ブロックされたトラフィックから事前定義済みのアラート情報（攻撃タイプや送信元など）をAWS Security Hubに送信し、詳しく確認できます。さらに、AWS Security Hubは自動コンプライアンスチェックを使用してF5 WAFの設定を評価し、業界要件への準拠を確認できます。

F5とSecurity Hubの連携について詳しくは、こちらの「記事」をご覧ください。

5）AWS Transit Gatewayのサポート

AWS Transit Gateway（TGW）もre: Inventで発表されたサービスの1つで、F5は今回もローンチパートナーを務めました。TGWは、異なるネットワーク間のルーティングを改善するために設計された、新しい一元管理型のルーティング構成です。VPCピアリングなど、従来のAWSルーティング構成でも同様の結果を得られましたが、分散型であり、制約がありました。

その機能をF5のお客さまのために活用する方法は豊富にあるため、F5はAWS以上に期待を寄せているかもしれません。その一例として、TGWを使用し、AWS環境全体のトラフィックを徹底的に無害化する方法が考えられます。F5 Advanced WAFインスタンスを配置した専用のセキュリティVPCを作成し、すべての受信トラフィックがこのVPCを経由するようにTGWルールを設定することで実現できます。これにより、このVPCから送出されるすべてのトラフィックから悪意のあるトラフィックが除去され、正当なトラフィックのみがTGWによって他のAWSリージョンやVPCにルーティングされます。

このユースケースやその他のTGWユースケースについて詳しくは、DevCentralの「記事」をご覧ください。

6）CloudFormationテンプレートの進捗とAWS Quick Start

近年、F5の精鋭エンジニアチームは、CloudFormation Templates（CFT）のポートフォリオ拡充に精力的に取り組んできました。CFTをご存じない方のために説明すると、これはInfrastructure-as-Codeの一形態であり、AWS上にリソースをシンプルかつ自動的にデプロイできます。これらのテンプレートを活用することで、多様で複雑なアーキテクチャにもVirtual Editionsをわずか数分でデプロイできます。

過去12か月間における、GitHub上のF5 CloudFormation リポジトリの主な進展は次のとおりです。

• ハイブリッド自動スケーリングBIG-IP VEテンプレート – BYOL VEインスタンスをデプロイし、トラフィックの増加に応じて、自動スケーリングイベントをトリガーとして追加のPAYG VEインスタンスをプロビジョニングします。
• BIG-IP DNSによる自動スケーリング– 第1層のロードバランサーとしてAWS ELBを使用する代わりに、BIG-IP DNSを使用して、自動スケーリングするBIG-IP VEの層にトラフィックを分散します。
• BIG-IQ License Manager VEテンプレート – BIG-IQ LMインスタンスをスタンドアロンまたはクラスター構成でデプロイできるようにします。

F5は、新しいCFTの開発に加え、既存のAuto Scale LTM CFTをAWS QuickStartとしてパッケージ化する取り組みも進めており、本番環境やサンドボックス環境をさらに簡単に構築できるようにしています。

この新しいQuickStartについては、こちらをご覧ください。また、F5のCFTの詳細については、こちらをご覧ください。

7）AWS Intelligence Community（IC）Marketplaceでの提供

AWS C2S（別名Commercial Cloud Services）は、エアギャップで隔離されたAWSクラウドの最高機密リージョンを米国インテリジェンス・コミュニティ（IC）に導入した政府プログラム兼契約手段です。これにより、最高機密の政府ワークロードは、必要なICコンプライアンス要件をすべて満たしながら、AWSインフラストラクチャ上で安全に稼働し、AWSサービスを利用できるようになりました。C2Sのお客さまの効率向上と調達期間の短縮を図るため、AWSは、すべてのソリューションが事前審査を受け、ICのお客さまによる利用を承認済みのMarketplaceを提供しました。

AWSとの数か月にわたる協業を経て、F5のBIG-IP Virtual Editionがこのマーケットプレイスに追加され、ICのお客さまは、これまでオンプレミスで構成していたものと同じトラフィック管理およびセキュリティサービスをAWS Cloudにシームレスに導入できるようになりました。

8）F5 Managed Rules for AWS WAF

アプリケーションはどれも同じではなく、ビジネス上の目的、導入場所、ユーザーデータの機密性や重要性、規制要件など、さまざまな要因によって大きく異なります。そのため、セキュリティ要件もワークロードごとに異なります。たとえば、機密データを扱うミッションクリティカルなアプリケーションでは、サイバー脅威に対する高度な保護が必要になる可能性が高い一方、基本的で重要度の低いアプリケーションでは、エンタープライズグレードのWAFが備える高度な機能のすべてが必要になるとは限りません。このような場合は、AWS WAFのような、より基本的なファイアウォールで十分なこともあります。

こうした重要度の低いワークロード向けに、F5はAWSネイティブのWAFに実装して保護を強化できる一連のルールセットを開発しました。特定の脅威タイプから保護する3種類のルールを利用できます。

• Bot Protection – 脆弱性スキャナー、Webスクレイパー、DDoSツールなど、悪意のあるボットによる活動を防止します。
• CVE脆弱性 – Apache、Bash、Java、MySQL、Ruby On Rails、WordPressなどのシステムを標的とする共通脆弱性識別子（CVE）に該当する脆弱性から保護します。
• Webエクスプロイト – XSS、SQLインジェクション、パストラバーサルなど、OWASP Top 10の脅威から保護します。

詳細については、こちらの「記事」をご覧いただくか、AWS Marketplaceにアクセスしてください。

以上で終了です……ここで取り上げた内容やF5 on AWSについてご質問がございましたら、お気軽にお問い合わせください。F5では、今後1年間にわたりAWS向けの製品開発を多数計画しています。お客さまのクラウドジャーニーを引き続き支援してまいりますので、今後の展開にご期待ください。

著者について

Tom Atkinsプリンシパルプロダクトマーケティングマネージャー | F5

Tom Atkinsのその他のブログ記事