F5 NGINXでWAF群を大規模に可視化・管理する2つの方法

NGINX | 2023年3月23日

Fabrizio FiorucciNGINXソリューションアーキテクト | F5 (EMEA)

Thelen Blumシニアプロダクトマーケティングマネージャー、NGINX App Protect | F5

組織がデジタルトランスフォーメーションを進め、アプリケーションポートフォリオを拡大するにつれて、セキュリティ上の課題も変化し、増大しています。F5の「2022年版アプリケーション戦略の現状」では、現在、多くの組織がこれまで以上に多くのアプリケーションを監視しており、その数は200～1,000に及ぶことも珍しくないことが明らかになりました。

このようにアプリケーション数が多いと、潜在的な攻撃対象領域が広がり、今日のアプリケーションは悪意のある攻撃者に狙われやすくなります。Webアプリケーションが処理するトラフィック量の増加に伴い、この脆弱性はさらに深刻化します。ダウンタイムを最小限に抑える（できれば解消する）には、セキュリティを最優先する戦略の策定が不可欠です。

WAF：最初の防御線

F5のウェビナー「F5 NGINXでアプリセキュリティを簡単に可視化、管理、拡張」では、Webアプリケーションのセキュリティを確保し、保護するうえで、Webアプリケーションファイアウォール（WAF）が最適なツールである理由を解説します。WAFはトラフィックを監視、フィルタリングすることで、分散型サービス拒否（DDoS）などの高度なレイヤー7攻撃からアプリケーションを保護する最前線の防御となります。

以下のWAF機能により、堅牢なアプリセキュリティソリューションを実現できます。

HTTPプロトコルとトラフィックの検証
データ保護
攻撃の自動ブロック
CI/CDパイプラインへのポリシーの容易な統合
一元的な可視化
大規模な構成管理

しかし、WAFがアプリを監視している間、チームはどのようにWAFを監視すればよいのでしょうか。また、多数の攻撃に対処するため、複数のWAFをフリートとして展開する場合はどうでしょうか。ウェビナーでは、こうした疑問にお答えするとともに、リアルタイムのデモも実施します。

ウェビナーの内容を先取りし、本記事ではWAFフリートの大規模な管理を始めるうえで役立つ2つの重要なポイントをご紹介します。

可視性を高める方法
Security-as-Codeを実現する方法

NGINX Management Suiteで可視性を向上

WAF戦略の成否は、WAFの作成、導入、変更を行うチームが、実装および管理時にどの程度の可視性を確保できるかに左右されます。そこで必要となるのが、管理プレーンです。チームがWAFごとに個別の画面で確認するのではなく、すべてのWAFを一元的に監視できる統合ダッシュボードを用意することが重要です。可視性を一元化することで、現在発生している攻撃について十分な情報に基づいて判断し、セキュリティポリシーの微調整に役立つインサイトを容易に得られます。

さらに、SecOps、Platform Ops、DevOpsの各チームが、明確で一貫した戦略を共有することが不可欠です。これら3つのチームが連携してWAFの設定と保守に取り組むことで、大規模環境でもアプリケーションのセキュリティを強化できます。

各チームが、F5の管理プレーンである「F5 NGINX Management Suite」を使用することで得られるメリットをご紹介します。この管理プレーンは「NGINX App Protect WAF」と容易に統合できます。

SecOps – アプリケーションセキュリティとコンプライアンスを一元的に可視化し、チーム全体に統一されたポリシーを適用できるほか、シフトレフト戦略を支援します。
Platform Ops – 複数のユーザーにアプリセキュリティのサポートを提供し、WAFフリート全体を一元的に可視化するとともに、企業全体で拡張可能なDevOpsを実現できます。
DevOps – CI/CDパイプライン内のセキュリティを自動化し、アプリケーションセキュリティを容易かつ迅速に導入できます。また、信頼性が高く、攻撃を受けにくいアプリケーションを構築することで、より優れた顧客体験を提供できます。

NGINX App Protect WAFでSecurity as Codeを実現

Instance ManagerはNGINX Management Suiteの中核モジュールであり、NGINX App Protect WAFのセキュリティポリシーを大規模環境で一元管理できます。DevOpsチームがSecOps管理のセキュリティポリシーを容易に利用できるようになると、CI/CDパイプラインのすべてのフェーズにセキュリティを直ちに組み込み、セキュリティをシフトレフトすることで、DevSecOps文化への移行を開始できます。

シフトレフトを実践し、WAF群を一元管理することで、次のことが可能になります。