F5 NGINX ModSecurity WAF、サポート終了へ移行

NGINX | 2022年5月10日

Thelen Blumシニアプロダクトマーケティングマネージャー、NGINX App Protect | F5

過去5年間にわたり、F5 NGINXは、OWASP ModSecurity Core Rule Set（CRS）を使用して標準的な脆弱性クラスに対応するNGINX Plus向けNGINX ModSecurity WAFモジュールをお客さまに提供してきました。しかし、ModSecurity WAFに対するサードパーティーのサポートが最近変更されたことを受け、誠に残念ながら、NGINX ModSecurity WAFは2024年3月31日付でサポート終了（EoL）へ移行します。

この決定の一因は、ModSecurityの保守を担ってきたTrustwaveが最近発表したお知らせです。それによると、同社は2024年7月1日付で以下を実施します。

ModSecurityのオープンソースコードおよびWAFのサポートを終了
ModSecurityコードの保守責任をオープンソースコミュニティに戻す
Commercial Rulesの提供を終了

さらに、OWASP ModSecurity Core Rule Set（CRS）プロジェクトはModSecurityのサポートを継続する予定ですが、Trustwaveによる対応とサポート変更の発表を受けてModSecurityプロジェクトの存続可能性を懸念し、重点をCorazaと呼ばれる新しいWAFへ移しつつあります。

NGINX ModSecurity WAFは、オープンソースのModSecurity v3をベースとしており、NGINX ModSecurity WAFモジュールがNGINX Plusで正しく動作するよう、F5がサポートとテストを提供しています。ただし、ModSecurityのコード自体はF5の保守対象ではありません。Trustwaveによるサポートの終了に加え、オープンソースのModSecurityプロジェクトへの貢献も減少しているため、NGINX Plusのお客さまに提供される製品が、セキュリティと安定性に関する要件を満たさない可能性があります。

NGINXは2022年4月1日に販売終了（EoS）へ移行し、NGINX ModSecurity WAFの販売を終了しました。有効なライセンスをお持ちのお客さまは、EoL日（2024年3月31日）までサブスクリプションを更新し、NGINX ModSecurity WAFパッケージのアップデートを含むすべてのサポートを受けることができます。新しいソリューションへ移行するための十分な時間を確保できるよう、NGINXは2024年3月31日までNGINX ModSecurityパッケージのアップデートを提供する予定です。今後必要となるアプリケーションセキュリティソリューションについてご相談するため、担当のアカウントマネージャーから直接ご連絡いたします。アカウントマネージャーへの連絡をご希望の場合は、いつでもお問い合わせください。2023年4月1日以降、更新は受け付けていません。

オープンソースへの貢献は、今後もNGINXのDNAの中核

NGINX ModSecurity WAF製品はEoLに移行しますが、今後もオープンソースコミュニティへの参加と支援に取り組んでまいります。NGINXは、テクノロジーの進歩と改善に尽力するオープンソースコミュニティのメンバーによる協力とイノベーションを重視しています。オープンソースは、中核となる基盤セキュリティの幅広い活用を促進し、グローバルなアプリケーションインフラストラクチャの攻撃対象領域を縮小することで、すべての人にメリットをもたらすと考えています。

こうした価値観に基づき、NGINXは引き続きNGINX Open SourceおよびNGINX Unitプロジェクトを主導しています。NGINXはセキュリティへの取り組みに大きな誇りを持つ一方、日常生活でますます依存するようになっているテクノロジー基盤を保護するには、より幅広いチームの協力が必要であることも認識しています。そのため、OWASP Core Rule Set（CRS）、Let’s Encrypt、Open SSLへのスポンサーシップをはじめ、インターネットのセキュリティを直接強化するOSSプロジェクトを支援できることをうれしく思います。

デジタルトランスフォーメーションでセキュリティニーズは変わりましたか？

当初、オープンソースのModSecurity WAFのサポート対象バージョンとしてNGINX ModSecurity WAFを選択したのは、OWASP CRSを使用して一般的な脆弱性からアプリケーションを保護するため、または標準的なWAF実装でPCI DSSのコンプライアンス要件を満たすためだったかもしれません。しかし、この2年間で、企業と消費者の双方が商品やサービスをオンラインで購入・利用するようになったため、COVID‑19のパンデミックにより、組織は需要に対応すべくデジタルトランスフォーメーションの加速を余儀なくされました。

WebアプリケーションやAPIを狙うサイバー攻撃が増加する中、WAFに求める要件を見直し、ビジネスの成長に必要な保護、信頼性、パフォーマンスをより包括的なレベルで実現するには、今が適切なタイミングかもしれません。F5は、F5 NGINX App Protect WAFを、ビジネスの成長に合わせて拡張できる代替セキュリティソリューションとして提供しています。

NGINX App Protect WAF – モダンなアプリとAPIのための高度なセキュリティ

NGINX App Protect WAFには、次のような利点があります。

NGINX App Protect WAFは、数十年にわたり数千社の企業顧客によって実環境で検証されてきたF5のAdvanced WAFエンジンをベースとしています。他のF5製品も導入している場合、セキュリティソリューションスイート全体について単一の窓口からサポートを受けられます。これには、迅速なバグ修正やルール更新に加え、F5の長期的なロードマップに意見を反映できることも含まれます。さらに、F5ソリューション間でWAFルールを簡単に移行できるため、インフラストラクチャ全体で一貫した保護を実現できます。
デフォルトのModSecurityルールは、オープンソースコミュニティのメンバーによって作成および保守され、一般的な脆弱性に対応するよう設計されています。NGINX App Protect WAFのルールは、F5 Labsが追跡する広範な脆弱性と脅威レポートに基づいています。その結果、より充実したルールセットにより、進化する脅威に対応できる、より強力なアプリケーションセキュリティ保護を実現します。
ModSecurityルールでは正規表現の評価が行われるため、追加の制御を有効にするたびにパフォーマンスが直接低下し、良好なパフォーマンスと包括的な保護のどちらかを選ばざるを得ません。NGINX App Protect WAFルールはバイトコードに事前コンパイルされるため、有効にするルールの数にかかわらず高いパフォーマンスを発揮します。
NGINX App Protect WAFはプラットフォームに依存せず、フットプリントが小さく、必要なリソースも少ないため、クラウド環境への導入に最適です。
NGINX App Protect WAFは、「コードとしてのセキュリティ」を実現する宣言型ポリシーを備え、CI/CDツールチェーンに容易に統合できるため、DevOpsチームのニーズに対応します。
NGINX App Protect WAFは、Webアプリ、マイクロサービス、コンテナ、APIに一貫したセキュリティ制御を提供します。

自動車用タイヤ販売会社のReifen.comが、オンラインパフォーマンスを向上させ、社内外のセキュリティおよびコンプライアンス基準を満たす必要があった際に、NGINX ModSecurity WAFではなくNGINX App Protect WAFを選んだ理由をご覧ください。Reifen.comのeコマースコンサルタントであるSascha Petranka氏は、次のように説明しています。「NGINX App Protect WAFを選んだのは、最高のパフォーマンスと最適な長期的ソリューションに加え、NGINXとF5双方の専門知識を活用できるためです」

最適なアプリセキュリティでビジネスを強化

NGINX App Protect WAFは、DevOpsチームとSecOpsチームの連携を強化しながら、組織のアプリケーションとAPIのセキュリティおよびパフォーマンスの向上に役立ちます。軽量なセキュリティソリューションであり、収益に影響を及ぼす攻撃、データ窃取、評判の低下、規制違反からビジネスを保護できます。NGINX App Protect WAFを実際にお試しいただくには、30日間の無料トライアルを開始するか、お問い合わせのうえ、ユースケースについてご相談ください。