SecureIQLabがF5をセキュリティ有効性と運用効率のトップパフォーマーに評価

Navpreet Gillシニアプロダクトマーケティングマネージャー | F5 NGINX

企業が業務のクラウド移行を進める中、この環境特有の課題や進化する脅威情勢に対応できる堅牢なアプリケーションセキュリティ対策の導入が、これまで以上に重要になっています。脆弱性や侵害への対応の遅れは、こうした課題の代表例です。

2024年版「F5 State of Application Strategy Report」によると、調査回答者の50%が、「影響を受けるすべてのシステムやソフトウェアにパッチやアップデートを適用するには時間がかかりすぎるうえ、ゼロデイ攻撃に迅速に対応するためのツールやプロセスが不足している」と感じています。したがって、アプリの健全性を確保するうえで、Security-as-a-Serviceの最大のメリットが「スピード」であることも不思議ではありません。

SecureIQLabは先ごろ、同社の「2024 Cloud WAAP CyberRisk Validation Report」を公開し、WebアプリケーションファイアウォールとAPIセキュリティについて、F5 Distributed Cloud Web Application and API Protection（WAAP）を含む多数のベンダーを評価しました。

SecureIQLabのテストプロセス

具体的には、セキュリティの有効性、運用効率、誤検知の回避についてテストし、各テクノロジーベンダーの主な差別化要因を明らかにしました。SecureIQLabは、クラウドWAAPソリューションをテストするため、アプリケーションとAPIを、OWASP Top 10やMITRE ATT&CKなどの業界フレームワークに基づく3,500件の攻撃にさらしました。また、導入、管理、拡張性など、これらのWAAPソリューションの80の機能を検証し、AMTSO標準に準拠したサイバーセキュリティ検証の新たな基準を確立しました。

結果：F5 Distributed Cloud WAAPが満点で合格

F5 Distributed Cloud Web Application and API Protection (WAAP)は、WAAP脆弱性評価で満点を獲得した7社のベンダーの1社として、SecureIQLabの「Secure by Design」評価を獲得しました。セキュリティの有効性と運用効率の両面で高い評価を受け、以下を達成しています。

• 総合セキュリティスコア98.54%（上位2社にランクイン）
• 運用効率評価93%（上位3位以内）
• WAF OWASPで最高スコア99.37を獲得、誤検知はゼロ

評価対象となった主要なセキュリティ領域ごとに、テスト基準の詳細を示します。

API保護

APIは、入力検証の不備やセキュリティ対策の不足に起因するインジェクションの脆弱性、認証の問題、データ漏えいリスクなど、Webアプリケーションと共通する脆弱性があるため、同様の攻撃を受ける可能性があります。APIセキュリティテストでは、F5 Distributed Cloud API Securityが機密データへの不正アクセスを防止する有効性を、6種類のAPIプロトコルを対象に、2023 OWASP API Security Top 10に基づく70件を超える攻撃を用いて評価しました。セキュリティ有効性の割合に基づく評価は1～5で、保護レベルの違いを示しています。この結果は、WAAP業界におけるAPIセキュリティ標準のベースラインとなります。本レポートでは、F5のOWASP APIセキュリティ保護が平均を上回ることが示されています。

ボット対策

F5のドメインエキスパートとデータサイエンティストは、攻撃者のツールに加え、行動および環境に関するシグナルを継続的に調査し、高度なMLを活用して攻撃者によるツールの変更を迅速に検知するとともに、更新したモデルを展開して攻撃をリアルタイムで緩和しています。F5 Distributed Cloud Bot Defenseは、アジアおよび北米から発信された5種類のボット攻撃（OWASPに基づく2種類を含む）に対してテストされました。ボット攻撃スコアが0%～100%の範囲で評価された結果、地理的位置は本製品のセキュリティ効果に影響しないことが明らかになりました。F5はボット対策で満点を獲得し、グループ平均を大幅に上回る結果を示しました。

DDoS防御

有効なTCP接続を使用するレイヤー7の分散型サービス拒否（DDoS）攻撃とレイヤー7のサービス拒否（DoS）攻撃は、検知が困難です。F5 Distributed Cloud DDoS Mitigationを2件のレイヤー7 DDoS攻撃と5件のレイヤー7 DoS攻撃に対してテストした結果、スコアは57%～100%でした。

運用レジリエンス

F5 Distributed Cloud WAAPは、未知の攻撃のブロックを目的として、3種類の固有の攻撃ベクトルを用いた103件のレジリエンステストケースによる運用レジリエンステストも受けました。攻撃総数に占めるブロックした攻撃の割合を示すレジリエンススコアは54.9%～99.3%で、さまざまな攻撃の変化に耐え、その影響を吸収できる能力が示されました。F5は99.3%のブロック率を達成して最高スコアに並び、平均を大きく上回る結果を収めました。

本質的なセキュリティ

SecureIQLabは、クラウドWAAP製品が保護対象環境の攻撃対象領域を拡大せず、その権限が悪用されないことを確認するため、セキュリティを評価しました。F5 Distributed Cloud WAAPは11種類の脆弱性評価手法によるテストを受け、12のWAAPソリューションのうち、F5を含む7つがWAAP脆弱性評価で100%の満点を獲得しました。WAAP脆弱性評価スコアで100%を獲得したことから、SecureIQLabはF5を「Secure by Design」と評価しています。

運用効率

WAAPソリューションを効果的に導入・管理し、リソース配分と運用コストを最小限に抑えるには、運用効率が極めて重要です。SecureIQLabは、WAFおよびAPIセキュリティの運用効率をさまざまな領域で検証しました。機能の能力に基づくスコアリング方式を用いて各カテゴリーを総合的に評価し、ビジネスワークフローを妨げることなくセキュリティを最適化できるソリューションを組織が選定する際の指針を示しています。SecureIQLabは、F5がAPI運用において平均を上回る運用効率を示し、7つのカテゴリーのうち2つで満点を獲得したことを強調しています。

誤検知の回避

WAAPソリューションには、業務を妨げる可能性のある誤検知を回避するため、正当なビジネストランザクションと悪意のあるアクティビティを効果的に識別することが求められます。F5のAI/MLベースの悪意あるユーザー検知は、行動およびシグネチャベースの属性に基づいて、潜在的な脅威のリスクを動的に評価し、スコアリングします。通常のユーザー行動をシミュレートした6,500件を超える誤検知ケースを用いたテストにより、F5 Distributed Cloud WAAPが正常なトラフィックと脅威を正確に識別する能力を評価しました。誤検知回避スコアが高いほど、運用効率への影響が少ないことを示します。

今日のハイブリッド環境を防御するための設計

組織には、アプリケーションやAPIのホスティング先、ユーザーの所在地を問わず、固有の要件に適合する包括的なアプリケーションセキュリティが必要です。F5のハイブリッドSaaSデリバリーモデルは、社内向けと一般公開の両方のアプリケーションに対応し、プライベートクラウドやオンプレミス環境にも導入を拡張できます。F5 Distributed Cloud WAAPソリューションには、AI/MLベースの悪意あるユーザー検知機能を備えたWAF、統合されたAPIの検出と保護、DDoSおよびボット対策が含まれており、一元管理による包括的なWebアプリケーションとAPIの保護を実現します。市場には数多くのアプリケーションセキュリティソリューションがありますが、SecureIQLabのレポートは、有効性が高く誤検知が少ないソリューションの特定に役立ちます。これにより、アプリケーションセキュリティ態勢全体の改善に向けて候補となるソリューションを評価する際に、検討すべきベンダーについて明確な指針を得られます。

詳細については、こちらからレポートをダウンロードするか、F5にお問い合わせください。F5 Distributed Cloud WAAPがお客さまの組織にどのようなメリットをもたらすかをご案内します。

著者について

Navpreet Gillシニアプロダクトマーケティングマネージャー | F5 NGINX

Navpreet Gillのその他のブログ記事