BIG-IP ASMからF5 Advanced WAFへの移行でWebアプリセキュリティを先取り

Navpreet Gillシニアプロダクトマーケティングマネージャー | F5 NGINX

アプリケーション技術の進化に伴い、脅威を取り巻く状況も変化しています。それに応じて、堅牢なセキュリティ対策も進化させる必要があります。残念ながら、Webアプリケーションへの攻撃は現実に存在し、世界中で絶えず発生しています。さらに、モバイルアプリやAPIを標的とする新たな攻撃ベクトルも出現しています。今こそ、WebとAPIを包括的に保護するセキュリティツールがこれまで以上に必要とされています。

F5は、アプリがどこに導入されていても保護できる幅広いソリューションポートフォリオを提供し、WebアプリとAPIのセキュリティへの投資を継続しています。WAFポートフォリオの進化に伴い、F5はBIG-IP Application Security Manager (ASM)を正式に2021年4月1日付で販売終了（EoS）^st, 2021としました（F5サポートのお知らせ – K72212499）。

F5は2004年にASMの提供を開始しました。それ以来、F5のWAFポートフォリオは大幅に拡充され、F5 Advanced WAF、F5 Silverline Managed WAF、NGINX App Protect（NAP）が加わりました。F5は、製品ラインアップを合理化しながら、お客さま固有のニーズに対応する最適なソリューションを提供できるよう努めています。Advanced WAFは、BIG-IP ASMのすべての機能に加えて複数の拡張機能を備えており、提供開始以来、F5の主力WAF製品となっています。

BIG-IP ASMをご利用のお客さまは、ご希望の場合、契約またはサブスクリプションの終了まで影響を受けることなくASMを引き続きご利用いただけます。当初購入したライセンスに基づいて、サービス契約を更新することも可能です。ただし、EoS日以降は、新しいBIG-IP ASMライセンスの購入または下取りはできなくなります。

既存のお客さまには、Advanced WAFバージョン14.1以降へアップグレードするという選択肢もあります。以下に挙げる多くの理由から、こちらの方が適している可能性があります（ASM 14.1を実行している場合はライセンスを切り替えます）無償で。これはEoS日以降にご利用いただけます。Advanced WAFはBIG-IP ASMと同じ実績あるテクノロジーを基盤としているため、移行は容易です。この無償移行を利用するには、ライセンスキーを再アクティベートするだけです。移行後、以下に示すAdvanced WAFの機能フラグが表示されるようになります。

F5のAdvanced WAFでは、導入を簡素化する新しいガイド付き設定、可視性を高めるダッシュボード、拡張されたL7 DoS防御機能、機密データフィールドの侵害をリアルタイムで防ぐDataSafe機能、API保護など、使いやすさとアプリケーション保護が強化されています。また、Threat Campaignsなどの一部の拡張機能は、ライセンスを再アクティベートし、BIG-IPバージョン14.1以降にアップグレードすると、アドオンとして購入できます。この無償移行には、当初の購入に関連するサポート料金のみを引き続きお支払いいただけるというメリットもあります。Advanced WAFへの移行後もASMのサポート条件が引き続き適用されるため、安心して移行できます。無償移行はAdvanced WAFバージョン14.1以降にのみ適用される点にご注意ください。ライセンスキーのアクティベーション方法や、Advanced WAFライセンスとASMの相違点について詳しくは、DevCentralをご覧ください。

販売終了となったBIG-IP ASMからF5 Advanced WAFへの移行を推奨するもう1つの理由は、API保護の強化と最新のアプリケーション開発フレームワークとの統合です。

アジャイル開発モデルの導入により、SecOpsがアプリケーション開発者やDevOpsチームのペースに合わせ、セキュリティ制御を適切に実装することが難しくなっています。最新のアプリケーションはマイクロサービスとAPIで構成され、オープンソースソフトウェアも使用するため、リスクと脅威の対象領域が拡大しています。最近の「Gartner eBook」では、サイバーセキュリティメッシュが2021年のセキュリティとリスクに関する最重要項目として挙げられています。セキュリティが依然として課題であり続けるのはなぜでしょうか。

現在の開発プロセスは、継続的インテグレーション／継続的デリバリー（CI/CD）の原則に基づいていますが、セキュリティ制御、特にWAFは、ソフトウェア開発ライフサイクル（SDLC）の最終段階またはその外側に配置されることが少なくありません。そのため、DevOpsが「運用」段階でテストの不合格に直面すると、セキュリティ設定の不備として扱われます。これにより、DevOpsとSecOpsの間に再び緊張が生じ、DevOpsはコードに戻って修正した後、改めてデプロイ、運用、監視へと進まざるを得なくなります。その結果、市場投入が遅れ、競争優位性が低下します。

しかし、CI/CDパイプラインでセキュリティ管理をシフトレフトすると、DevOpsとSecOpsがプロセス全体を通じてセキュリティに対する責任を共有し、「セキュリティの構成ミス」を開発フェーズにおけるテストユースケースの不足として扱うようになります。

この状況により適切に対処するため、F5ではWAFポリシーの構築とベースライン策定を開発プロセスに組み込むことができます。F5は、宣言型APIを通じて、インフラストラクチャとセキュリティポリシーの両方の制御をコードとして提供できるアプローチを採用しています。これにより、F5 Advanced WAFをご利用のお客さまは、以下の図に示すように、アプリケーションのデプロイとWAFポリシーの両方を自動化できます。

また、アプリケーションのソースコードと同様に、F5 WAFポリシーをリポジトリに格納できます。これにより、SecOpsは共通のセキュリティ制御を管理・保守し、他のコードと同じように開発パイプラインへ統合できます。このアプローチは、DevOpsとSecOps間の運用上のギャップを埋め、コストを抑えながらセキュリティ効率を高め、アプリをより迅速に市場投入するのに役立ちます。F5 Advanced WAFによるDevOps向けセキュリティ自動化の詳細については、こちらの「ソリューションガイド」をご覧ください。

移行を検討しているBIG-IP ASMのお客さまには、もう1つの選択肢としてNGINX App Protect（NAP）があります。これは、NGINXプラットフォーム上でF5 WAFテクノロジーを提供するものです。NGINX App Protectはシンプルかつ軽量で、運用も容易です。Advanced WAFエンジンを基盤としているため、Advanced WAFで実証済みのセキュリティを提供します。

F5のAdvanced WAFエンジンは、Silverline Managed WAFをはじめとするF5のWebアプリケーションセキュリティサービスの基盤でもあります。Silverline Managed WAFは、Advanced WAFの堅牢なアプリケーションセキュリティ制御をフルマネージドサービスとして提供します。SilverlineにAdvanced WAFエンジンを組み込むことで、現在のASMセキュリティポリシーをSilverline Managed WAFに容易に適用できます。

F5 Advanced WAFエンジンにより、一貫したWAF保護ポリシーを、パブリッククラウドやプライベートクラウド、オンプレミス、さらにはハイブリッド環境を含むあらゆる環境へ移行できます。F5 Advanced WAFエンジンを活用するF5製品（F5 Advanced WAF、Silverline Managed WAF、NGINX App Protect）では、使い慣れたユーザーインターフェース、共通性のあるポリシーとポリシー作成方法を採用しているため、F5のWAFポートフォリオ全体でシンプルかつ統一された一貫性のあるエクスペリエンスを提供します。

BIG-IP ASMからの移行について詳しくは、F5または該当するチャネルパートナーにお問い合わせください。また、6月15日（火）午前10時（太平洋時間）開催予定のライブウェビナーにもご参加ください：F5 Advanced WAFの保護をアップグレードし、不要なボットトラフィックを阻止。

著者について

Navpreet Gillシニアプロダクトマーケティングマネージャー | F5 NGINX

Navpreet Gillのその他のブログ記事