最新のアプリケーション開発チームでは、「セキュリティのシフトレフト」、つまりアプリケーションの開発およびデプロイサイクルの早い段階でセキュリティ制御を組み込むことの重要性とメリットが、ますます広く認識されています。シフトレフトの環境では、各チームがアプリケーションに最適なセキュリティソリューションとパラメーターを選択します。これはもちろん妥当なアプローチです。NGINXでは、適切なセキュリティソリューション群を積極的に選定し、開発者に「ガードレール付きの選択肢」を提供するプラットフォーム運用チームを設けることを推奨しています。そのうえで、開発者はアプリケーションのセキュリティ設定を担当します。通常、これには社内向けのアプリケーションやマイクロサービスであっても、Webアプリケーションファイアウォール（WAF）のデプロイが含まれます。
しかし、最新のアプリケーションチームにとって事実上の標準となっているコンテナオーケストレーションエンジン、Kubernetesでは、シフトレフトははるかに複雑になり、特にコミュニケーションと調整が大きな課題となります。複数のクラスター間の通信管理を開発者に任せるのは現実的ではありません。また、KubernetesでのWAFの配置については、アーキテクチャとパフォーマンスも考慮する必要があります。NGINX App Protect WAFでは、WAFをNGINX Ingress Controllerと統合するか、特定のマイクロサービスまたはアプリケーションの前段に別のWAFを配置できます。
どちらのアプローチも優れていますが、適したユースケースは異なります。自分たちのアプリケーションの管理に専念する開発者やアプリケーションチームには、アプリケーションの前段にあるNGINX PlusロードバランサーにNGINX App Protect WAFを導入する方法が最適です。制御性と俊敏性を確保できます。Kubernetesクラスターとそこで稼働するアプリケーションのセキュリティをポッドまたはサービス単位で管理したいDevSecOpsチームには、NGINX PlusベースのNGINX Ingress ControllerでNGINX App Protect WAFを実行する方法が最適です。Ingress制御のあらゆるメリットと、Kubernetes APIとのネイティブ統合を活用できます。
ただし、前述のとおり、クラスター間、さらにはクラスター内でロードバランサー、Ingressコントローラー、WAF間の通信を確立するのは容易ではありません。これには、レイヤー7およびレイヤー4ネットワーキングに関する深い理解と継続的な調整が必要です。一方、強固なセキュリティ態勢を維持するには、堅牢かつほぼリアルタイムの通信が不可欠です。適切な通信を確立することで、WAF、ロードバランサー、Ingressコントローラーは、新たな攻撃についてすべてのアプリケーションとインスタンスに迅速に通知し、攻撃の種類、標的となったプロトコルやソフトウェア、関連するIPアドレスブロックなどのデータを共有できます。さらに、機械学習（ML）を活用してパターンを迅速に認識することで、通信の効果を一層高められます。
NGINX App Protect WAFの新しい適応型違反評価機能
NGINX App Protect WAFには高度なMLシステムが搭載されており、単一の組織内でNGINX PlusまたはNGINX PlusベースのNGINX Ingress Controllerによって管理されるすべてのWAFについて、Platform Ops、DevSecOps、SecOpsの各チームが攻撃傾向やデータを容易に共有できます。現在、NGINX App Protect WAFの新機能であるAdaptive Violation Rating機能の開発を進めています。この機能は、MLをさらに活用してマイクロサービスの動作の変化を検出し、セキュリティチューニングの改善を支援します。このML機能により、NGINX App Protect WAFは、世界各地に配置された数千、さらには数万のWAFにわたる攻撃傾向を継続的かつ自動的に分析できます。この分析結果を活用すれば、開発者やその他のシフトレフトチームがセキュリティの専門家になったり、WAFを細かく調整したりすることなく、セキュリティ態勢をほぼリアルタイムで継続的に調整できます。さらに、NGINX App Protect WAFインスタンス間で共有されるデータが増えるほど、WAFのインテリジェンスも向上します。
企業がマイクロサービスの利用を拡大し、社内向けアプリケーションと外部向けアプリケーションの境界が曖昧になるにつれて、ML機能の重要性と価値はますます高まります。それぞれに軽量なWAFを備えたマイクロサービスが数千にも及ぶ可能性がある中、ネットワークで連携し、MLに対応したNGINX App Protect WAFは、アプリケーションを見守る生きたセキュリティ頭脳のような役割を果たします。最新のアプリケーションには、シフトレフトに取り組むチームを支え、セキュリティの専門家にならなくてもコードや機能のリリースに集中できる、より高度なインテリジェンスが必要です。DevSecOpsチームも、手動で調整しなくても、すべてのクラスターにわたるすべてのWAFが足並みをそろえて動作するという安心感を得られます。
コミュニケーションが鍵となります。大規模分散コンピューティングとモダンアプリが急速に進化する時代に、可能な限り優れたテクノロジーを提供し続けるため、F5ではこれをすべての製品に共通する中核機能として構築しています。
NGINX App Protect WAFに追加予定の新しいML機能の詳細とデモについては、来週サンフランシスコで開催されるRSA Conference 2022のMoscone Center North Hall、ブース#5771にお越しいただくか、お問い合わせください。
著者について
関連するブログ記事
チュートリアル：NGINXを使用してアプリケーション向けにOpenTelemetryを構成する
OpenTelemetryを使用してNGINXサーバーの状態と健全性をより明確に把握することで、問題のトラブルシューティングを行い、Webアプリケーションのパフォーマンスを向上できます。
AkitaのNGINX Plus認定モジュールでAPIエンドポイントの問題を特定・修正
Akita SoftwareのAPIオブザーバビリティ向け新しいNGINX Plus Certified Moduleを活用して、APIエンドポイントの問題をより迅速に特定し、修正できます。
JavaプロジェクトをスキャフォールディングしてKubernetesネイティブアプリを構築する方法
Red HatのシニアプリンシパルデベロッパーアドボケイトであるDaniel Oh氏が、Javaプロジェクトをゼロから構築するためのひな形を作成し、Kubernetesネイティブアプリケーションとしてビルドする方法を解説します。
F5 NGINXaaS for Azureのご紹介：Microsoft Azureでネイティブに利用できるSaaS型ロードバランシング
NGINXaaS for Azureは、NGINX PlusをAzureネイティブのSaaSとして利用できるサービスです。NGINXの設定を容易にリフト＆シフトできるため、クラウド導入とモダンアプリの展開を加速できます。
SELinuxでNGINXおよびNGINX Plusを使用する
Red Hat Enterprise Linux（RHEL）および関連ディストリビューションでSecurity-Enhanced Linux（SELinux）を有効にすると、デフォルト設定によりNGINXとNGINX Plusの一部の操作が制限されます。この記事では、すべての機能を利用できるようにSELinuxの設定を変更する方法について説明します。
NGINX PlusによるAWS Auto Scalingグループの負荷分散
新しいnginx-asg-sync統合ソフトウェアにより、NGINX PlusはAWS Auto Scalingグループの負荷を直接分散できるため、クラウドでの負荷分散がさらに柔軟になります