高度なアプリケーションセキュリティ新製品のご紹介

デジタルトランスフォーメーションを進めている企業には、明確なビジネス上の必須要件があります。これには、最新のビジネスアプリケーションで顧客満足を向上すること、アジャイル開発の仕組みを採用して市場の競合他社をしのぐこと、そして市場の優位性をもって新しい収益の仕組みを生み出し推進することが含まれます。このような取り組みをサポートできるのは、開発効率を高め、コンテナ、マイクロサービス、APIを組み込んだ新しいアプリケーションアーキテクチャです。

最新のモダンアプリケーションでは、アジリティと市場投入の速さが重要となります。多くの場合、セキュリティへの検討は後回しになりがちです。その理由は、従来のアプリケーションのセキュリティ管理は、必ずしもビジネス要件にうまく適応するものとは限らないからです。たとえば、従来SecOpsチームによって構成および運用されているある洗練されたWebアプリケーションファイアウォール（WAF）は、一般的に特定の事業をサポートするDevOpsチームによって展開されるアジャイルアプリケーションにはあまり適さないことが多々あります。その結果、セキュリティの不適切な設定や設定漏れが発生したり、市場投入のタイミングが遅れたり、ユーザーエクスペリエンスが低下するという事態を生じる可能性があります。

NGINX App Protectのご紹介

NGINX App Protectは、高度なF5のWAFテクノロジーとNGINX Plusのアジリティおよび高いパフォーマンスを組み合わせた新しいアプリケーションセキュリティソリューションです。このソリューションは、NGINX Plusでネイティブに実行され、最新のDevOps環境が直面する最も困難な課題を解決します。

• セキュリティコントロールの開発自動化パイプラインへの直接統合
• コンテナやマイクロサービスなどの最新の分散アプリケーション環境へのセキュリティの適用と適切な管理
• リリースや市場投入の速度に影響を与えることなく、高度なセキュリティコントールを提供
• セキュリティおよび規制要件への準拠

「先進的かつ大きなマイルストーンとも言えるNGINX Controller 3.0の製品を1月にリリースしたばかりで、そのわずか数か月後に、今度はNGINXとF5それぞれの持つ優れた技術を統合したさらなる新製品を提供できることを非常に嬉しく思います」「私たちは、加速するイノベーションのペースをこれからも継続し、お客様のデジタルトランスフォーメーションを加速すべく、ますます多くの価値ある技術を提供していく予定です。」（NGINX事業部　上級副社長兼ジェネラルマネージャー ガス・ロバートソン）

F5の強力なアプリケーションセキュリティ

NGINX App Protectのセキュリティコントロールは、F5の高度なWAFテクノロジーを搭載し、従来のModSecurityなどのソリューションに比べ、大幅なアップグレードを提供します。WAF攻撃シグネチャの包括的なセットは、広範囲にわたってフィールドテストが行われ、事実上誤検知が発生しないことが証明されているため、本番環境でも自信を持って「ブロッキングモード」で展開できます。NGINX App Protectは、OWASPトップ10 Webアプリケーションのセキュリティリスクから保護し、プロトコルへのコンプライアンスを強化し、一般的な回避テクニックに対する保護、ブラックリストの提供、Cookieのチェック、APIの保護、F5のDataGuardによる機密データの漏洩の防止を行います。

モダンアプリケーション用に構築

強力なセキュリティコントールも、アプリケーションの運用環境に実装できないようでは役に立ちません。NGINX App Protectは、モダンアプリケーションの展開トポロジをサポートするように構築されています。NGINX Plusの基本的な展開モードは次のとおりです。

• ロードバランサ―
• APIゲートウェイ
• KubernetesポッドのIngressコントローラー
• マイクロサービスのポッドごとのプロキシ

妥協のないスピード

残念ながら、セキュリティのためにパフォーマンスを犠牲にしなければならないことが多く、その逆も同様です。たとえば、ModSecurityコントロールには正規表現の評価が含まれるため、有効にするコントロールを追加するたびにパフォーマンスが低下します。つまり、多くの管理者が非常に少数の設定のみを実装することになります。対照的に、NGINX App Protectコントロールでは、バイトコードにコンパイルされているため、適用する攻撃シグネチャの数に関係なく、トラフィックは高速で処理されます。最終的な結果は、CRS v3ルールを有効にしたModSecurity実装と比較して、1秒あたりのスループットとリクエストの最大20倍です。

DevOpsをイノベーションに集中させる

セキュリティ要件がリリース速度の妨げになる場合が多く、これまではSecOpsとDevOpsの関係は、調和が難しいと思われてきました。静的アプリケーションセキュリティテスト（SAST）とソフトウェア構成分析（SCA）は、開発の初期段階でセキュリティの欠陥を見つけるための優れたツールですが、多くの脆弱性は、アプリケーションがリリースゲートを通過するまで発見されません。アプリの開発をやり直すとなると、コストが増加し、生産性が低下します。そのため、アプリがまだ開発パイプラインにあるときに欠陥を見つけることができれば、効率的にセキュリティポリシーの調整やコードの修正が可能となります。

NGINX App Protectは、最新のDevOps環境に適しており、共通の開発パイプラインに統合されます。NGINX App Protectの宣言型API機能を使用すると、セキュリティはDevOpsのCI / CD自動化の一部となり、アプリケーションの機能仕様の他の部分と同じようにテストされます。セキュリティポリシーと構成は、ソースコードリポジトリからプルされた「コード」として消費されます。SecOpsチームは、セキュリティポリシーを作成および維持して、ビジネスを保護するために必要な制御が確実に行われるようにします。これはリリース速度を維持するのに役立つだけでなく、DevOpsチームとSecOpsチーム間のギャップを埋めるのにも役立ちます。

NGINX App Protectの評価版を試してみませんか?

NGINX App ProtectとNGINX Plusは、30日間の無料トライアルで評価いただけます。ぜひ、ご希望の方はご連絡ください。またその他、F5 WebアプリとAPI保護ソリューションのさらなる詳細もご覧いただけます。