適切なIT上の課題に対して「シフトレフト」を実践する考え方が広がっています。これは基本的に、早期に適用することで最終的なコードの安定性とセキュリティを高められる機能を、アプリケーション開発のデリバリーパイプラインにより多く組み込むという考え方です。セキュリティもその1つです。本番環境で発生し、企業に余計な時間とコストを負担させる競合やエラーを減らすうえで、大きな効果が期待できます。
「シフトレフト」の準備が整っているとされるセキュリティ機能の多くは、脆弱性スキャン、自動パッチ適用、侵入検知など、コードに直接関係するものです。一方、Webアプリケーションファイアウォールの機能をシフトレフトするメリットについては、ほとんど言及されていません（実際、この投稿が初めてかもしれません）。
この種の機能をシフトレフトすることには、十分な根拠があります。それは、アプリケーションアフィニティです。Webアプリケーションセキュリティ、負荷分散、最適化など、アプリケーションアフィニティが高いサービスは、個々のアプリケーションに固有のものです。HTTPのようなプロトコルではなく、実際のアプリケーション自体に結び付いています。特に、アプリケーションのセキュリティと最適化の設定では、特定のURI（RESTful API呼び出しなど）、交換されるデータの種類（およびその形式）を把握し、さらにアプリケーション全体またはその特定部分に固有のユーザーやデバイスを識別する必要がある場合が少なくありません。
つまり、Webアプリケーションセキュリティポリシーは、ほぼアプリケーションに基づいているため、そのポリシーが有効なのはそのアプリケーションだけです。データとURIの照合では、実際にエラーが発生する可能性があり、アプリケーションが動作しなくなることもあります。そのエラーが本番環境で初めて発生すれば、責任問題になります。時間と費用が無駄になり、1週間分のカフェイン予算が一気に膨らんで、ほかの人たちは月末まで色の付いた水を飲む羽目になります。まったく望ましくありません。
こうしたアプリケーション固有のポリシーの設定とテストをシフトレフトし、テスト段階で実施することで、競合やエラーの大半（願わくは、ハイゼンベルク的不確定性に起因するものを除くすべて）を排除し、本番環境へのパイプラインを通じた展開を、より円滑かつ迅速でシンプルなものにできる可能性があります。
従来型のWebアプリケーションファイアウォールサービスでソフトウェア版や仮想版の提供が拡大するにつれ、より多様な環境にこれらのサービスをプロビジョニングし、デプロイメントパイプラインのより早い段階でアクセスを確保しやすくなっています。Webアプリケーションセキュリティをシフトレフトすることで、テスト対象のアプリケーションをWebアプリケーションセキュリティサービスで保護しながら、そのサービスに脆弱性スキャンを適用することも可能になります。これにより、セキュリティ運用担当者と開発者は両者の相互作用をより深く理解し、適切な（期待どおりの望ましい）動作を実現できるようポリシーを調整できます。ポリシーは、特にテンプレート形式にカプセル化されたものであれば、環境間で容易に移動でき、コードとして扱えます。つまり、リポジトリに保存し、将来の利用に備えてバージョン管理できます。
APIやテンプレートが利用可能になり、従来はネットワーク上で提供されていたアプリケーション固有のサービスが仮想化されたことで、組織はセキュリティをより早い段階にシフトし、本番環境への展開パイプラインを実質的に最適化できるようになります。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。