F5 NGINX OneがSecOpsチームによるF5 Cloud上のアプリケーション保護を支援する仕組み

Michelle Enseyシニアマネージャー（プロダクトマネジメント） | F5 NGINX

F5 NGINXは、世界で最も広く利用されているアプリケーションデリバリーのデータプレーンであり、WebサイトおよびWebアプリケーションの47%を支えています。また、AIアプリケーション向けのAPIゲートウェイや、フロントエンドのルーティングおよびセキュリティプロキシとしても、NGINXの利用が拡大しています。エンタープライズアーキテクトは、Kubernetesアプリケーションにおける南北方向と東西方向の両方のトラフィックに対応するリバースプロキシとしてNGINXを導入しています。NGINXはアプリケーションデリバリーのバリューチェーンに欠かせない要素であるため、コンプライアンス、サプライチェーンセキュリティ、ゼロトラスト要件への対応を迫られている今日のセキュリティ運用チームにとって重要です。

本記事では、F5 NGINX Oneの統合セキュリティ機能によって、チームがより効率的かつ迅速に作業できるようになり、潜在的なボトルネックとなり得るセキュリティ運用を、迅速でセキュアなアプリケーションデリバリを支える重要な推進力へと変革する仕組みをご紹介します。また、NGINX Oneは、商用版とオープンソース版を含むすべてのNGINXデータプレーン製品群を一元的に監視するために不可欠な機能を提供します。これにより、セキュリティポリシーの適用とセキュリティ態勢の徹底を担うSecOpsチームは、可観測性、管理、制御を単一のポイントに集約できます。

セキュリティの可視性を一元化

SecOpsチームにとって大きな課題の1つは、すべてのアプリケーション環境を可視化し続けることです。NGINX Oneは、すべてのNGINXインスタンスとアプリケーションデリバリーコンポーネントのセキュリティを一元的に監視できる「単一の管理画面」を提供します。セキュリティチームは、NGINX Oneのコンソール（およびAPI）で、構成、脆弱性、証明書のステータス、パケットレベルの詳細なトラフィックデータなど、セキュリティ態勢に関するすべての関連データを確認できます。

この統合ビューにより、SecOpsチームは以下を行えます。

• さまざまなクラウド環境とオンプレミス環境にわたるセキュリティイベントをリアルタイムで把握
• オープンソース版と商用版の両方のNGINX製品を一元的に監視し、可視化
• Kubernetes環境および新しいAIアプリケーションアーキテクチャ向けのNGINXインスタンスを監視・管理
• あらゆる種類のNGINX製品にわたって異常や潜在的な脅威を早期に検出
• 傾向と潜在的な脆弱性を、重大な問題に発展する前に特定

可視性を一元化することで、SecOpsチームは事後対応からプロアクティブな戦略へと移行し、新たな脅威に先手を打てるようになります。また、プラットフォーム運用、ネットワーク運用、開発運用の各チームと、より明確かつ容易に意思疎通できるようになり、セキュリティポリシーの適用とセキュリティ態勢の強化に役立ちます。この機能は、インシデント対応の効率と効果の向上にもつながります。

プロアクティブな脆弱性管理とセキュリティポスチャ管理

脆弱性管理における主な課題は、可視性の確保と優先順位付けです。脆弱性の公開から実環境での攻撃までの期間が短くなる中、共通脆弱性識別子（CVE）をリアルタイムで追跡し、修正することがますます重要になっています。NGINX Oneは、CVEやその他の悪用が確認されている脆弱性を、深刻度別に分類し、パッチへのリンクを添えて分かりやすく一覧化します。これにより、セキュリティチームは、影響とリスクが最も大きい脆弱性に注力できます。

NGINX Oneは、セキュリティ態勢を改善するためのベストプラクティスに基づく構成変更も提案し、コンソール上で変更前後を並べてガイダンスを表示します。これにより、セキュリティエンジニアはNGINXの専門家でなくても、確信を持って構成を変更できます。CVEに関するインサイトと構成強化の提案をダッシュボードに直接統合することで、NGINX Oneは以下を提供します。

• 重大度に基づくCVEの優先順位付けを効率化
• CVEパッチへの容易なアクセスと適用
• NGINXインスタンスを強化するためのベストプラクティスに基づく構成案
• 並べて比較することで、推奨構成を容易に実装

これらの機能により、脆弱性と構成の管理によりプロアクティブに取り組めるようになり、SecOpsチームはアプリケーションデリバリーのバリューチェーンを遅らせることなく、堅牢な防御態勢を維持できます。

アプリケーション全体へのゼロトラストの実装

NGINX Oneは、分散アプリケーション全体に一貫したセキュリティ対策を適用することで、ゼロトラストポリシーの実施を支援するよう設計されています。NGINX Oneを使用すると、セキュリティチームは、古い証明書、未修正の重大または緊急の脆弱性、安全でない構成が原因でコンプライアンスに準拠していないインスタンスを確認できます。すべてのトラフィックを検証されるまで信頼しないという前提に立つゼロトラストモデルは、クラウドネイティブおよびマイクロサービスアーキテクチャに不可欠なものとなっています。NGINX Oneにより、SecOpsチームは次のことが可能になります。

• 導入場所を問わず、すべてのアプリケーションとサービスに一貫したセキュリティポリシーを適用
• アプリケーションまたはAPIのコンテキストを活用し、リクエスト単位またはセッション単位で厳格な認証プロトコルが遵守されていることを確認
• すべてのアプリケーションコンポーネント間でセキュアなトラフィックを有効にし、エンドツーエンドのセキュリティを確保します

ゼロトラスト機能により、NGINX Oneは、すべての接続、ユーザー、デバイスの検証と信頼の確立を支援します。これにより、組織全体で常時稼働型のセキュリティアプローチが強化されます。

連携によるセキュリティ対応

サイロ化した情報は、SecOps、Platform Ops、NetOpsなどのチーム間の連携を妨げ、業務効率の低下やセキュリティインシデントへの対応の遅れにつながります。各チームが孤立して業務を行うと、重要な情報が特定の部門内にとどまりがちになり、脅威検知の遅れ、連携を欠いた対応、組織全体で一貫性のないセキュリティ対策を招きます。

従来、SecOpsチームはセキュリティデータにアクセスできる一方で、構成ステータス、インスタンスの場所やバージョンなど、運用上重要なデータにはアクセスできない場合があります。NGINX Oneは、すべての情報をSaaSダッシュボードに集約し、すべてのデータプレーン製品に対応する単一のAPIを介して、任意のダッシュボードツールとの統合を可能にします。これにより、SecOpsはセキュリティ情報のサイロ化を解消しやすくなります。NGINX Oneは、以下の方法で部門横断的なセキュリティ連携を促進します。

• 脅威インテリジェンスとセキュリティ指標をリアルタイムで共有し、連携を強化します。
• 異なるチームが連携してインシデントに対応できるよう、ワークフローを統合する。
• 部門間の障壁を取り除き、インシデント対応時間を短縮します。

NGINX Oneは、コラボレーションを促進することで、組織によるセキュリティインシデントへの迅速な対応を可能にし、潜在的な被害を最小限に抑えるとともに、俊敏性を損なうことなくセキュリティ目標を達成できるよう支援します。

レジリエントなセキュリティ態勢の維持

SecOpsチームには、多様なインフラ環境とアプリケーションを高度な脅威から保護すると同時に、セキュリティによってアプリケーションデリバリが遅延しないようにすることが求められます。データの分散や部門間のサイロ化により、SecOps担当者はリスクの全体像を把握しにくくなり、対応の遅れや脆弱性の放置につながる可能性があります。

NGINX Oneの統合プラットフォームにより、SecOpsは脅威に先手を打ち、運用スピードを損なうことなく重要な資産を保護できます。可視性、ゼロトラストの原則、チーム間の連携を統合することで、NGINX Oneは、現代の迅速なアプリケーションデリバリーの要件に即した、レジリエントなセキュリティ態勢の維持を支援します。

eBook『新しいアプリケーションデリバリーバリューチェーン：ネットワーク、セキュリティ、開発者運用チームのための統合プレイブック』をダウンロードして、NGINX Oneがアプリケーション、API、AIのセキュリティ確保にどのように役立つかをご確認ください。

著者について

Michelle Enseyシニアマネージャー（プロダクトマネジメント） | F5 NGINX

Michelle Enseyのその他のブログ記事