私はお客さまとお話しする機会が多く、その中でよく話題に上るのが、管理するアプリケーション環境の複雑化と、その環境を健全に保つ難しさです。これは当然のことと言えます。現在、多くの企業がオンプレミス、パブリッククラウド、ハイブリッドクラウドまたはマルチクラウドにまたがる複雑なアプリケーションポートフォリオを管理しており、そうしたアプリケーションを構成し支えるハードウェア、ソフトウェア、サービスのコンポーネントは増え続けています。
このように広範な環境は、最適な条件下であっても運用が容易ではありません。各コンポーネントには、入念な監視と定期的な保守および更新が必要です。さらに、障害やサービス品質の低下、パッチ適用が必要な脆弱性といった予期せぬ問題も発生し、ダウンタイムやビジネスへの悪影響につながる可能性があります。多くの組織では、こうした事象に対処するためのプロセスを整備していますが、予期せぬ事態の影響を最小限に抑えるためにできることは、どのようなことでも非常に価値があると、お客さまから繰り返し伺っています。
こうした理由から、BIG-IPおよびNGINX製品ファミリーを含むF5のソフトウェア製品におけるセキュリティ上の問題について、一般公開の方法を変更します。今後、開示すべきCVEまたはセキュリティ上の問題がある場合は、予測可能な四半期ごとのスケジュールで公開します。新たな「四半期セキュリティ通知」では、脆弱性およびセキュリティ上の問題に関する情報を、四半期ごとに事前告知した1日にまとめて公開します。これにより、お客さまは保護を確保するために必要となる可能性のあるメンテナンス作業を計画できます。
セキュリティ問題の修正は、今後もF5の各ソフトウェア製品の保守リリースに含まれます。システムのセキュリティとパフォーマンスを最適化するため、F5ソフトウェアは常に最新リリースを使用することを強く推奨します。複雑なシステムの更新には運用上の負担が伴うことを認識しています。セキュリティ問題の公表日を事前に告知した日程に統一することで、必要となる可能性のあるメンテナンス作業を事前に計画できるようにします。
四半期セキュリティ通知とは別に、脆弱性の開示が必要となる場合があります。たとえば、F5のオープンソースプロジェクトで修正をリリースする場合です。その際は、Security Alertを通じてお客さまにお知らせします。現在の対応と同様に、Security Alertにはセキュリティアドバイザリのほか、お客さまが当該問題による影響の可能性と、対処のために実施できる手順を把握するために必要なすべての情報が含まれます。
誤解のないよう申し添えますが、F5が本日開示するセキュリティ上の問題はありません。開示すべき脆弱性がある場合、初回の四半期セキュリティ通知を2022年1月19日に公開します。この変更およびF5の脆弱性管理ポリシーの詳細については、こちらをクリックしてください。
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。