アプリは、企業がデジタル時代を生き抜くための命運を託した戦略の要です。F5 Labsの調査によると、2018年もアプリは引き続き攻撃にさらされます。今年は、データセンターにあってもパブリッククラウドにあっても、アプリを守るために警戒を怠らないことを決意しましょう。
新年を迎え、恒例のように、多くの人が2018年の抱負を立てました。その多くは、何らかの改善を目指すものです。健康維持や減量、節約や貯蓄など、私たちは毎年、自分をより良くしようと決意します。
そろそろ、ITについても新年の抱負を立ててみてはいかがでしょうか。そのリストの最上位には、アプリケーション保護にこれまで以上に注力することを掲げていただきたいと思います。
そう申し上げるのは、アプリが絶えず攻撃にさらされているからです。ボットによるDDoS攻撃であれ、アプリを取り巻くセキュリティ防御の突破を試みるマルウェアであれ、実際には誰かが39秒ごとに攻撃を試みています。つまり、この統計を読み終えるまでの間にも、いずれかのシステムが攻撃を受けたことになります。
もしかすると、攻撃されたのはお客さまのシステムかもしれません。
実際に攻撃を仕掛ける際、攻撃者は成功する可能性が最も高い攻撃経路として、アプリとアイデンティティを狙う傾向を強めています。これが事実であることは、F5の脅威リサーチ部門であるF5 Labsが、過去10年間に発生した443件の侵害を詳細に分析した結果から明らかになっています。この調査では、そのうち86%のケースで、攻撃者がアプリを標的にしたか、窃取した認証情報を使用した、またはその両方を行っていたことが判明しました。
さらに憂慮すべきなのは、ここ数年で被害件数が増加していることに加え、被害者から奪われるものも多大であることです。
過去10年間で、攻撃者は実に120億件ものデータレコードを盗み出しています。そう、読み間違いではありません。120「億」件です。英語で「10億」を意味する「billion」は、奇しくも「金塊」を意味する「bullion」とよく似ています。データレコードは、かつて海賊が追い求めた財宝のデジタル版ともいえるからです。
そして、かつての海賊と同じように、今日の攻撃者もさまざまな手口で侵入を試みます。盗まれた認証情報が膨大な量に上ることで、クレデンシャルスタッフィング攻撃が蔓延しています。また、よく知られているプラットフォームまたはフレームワークレベルの脆弱性が公開されてからパッチが適用されるまでの対処の遅れにより、大規模な悪用が成功しています。
攻撃はますます巧妙化し、自動化も進んでいます。2018年に侵害が減少する可能性は低く、むしろ増加傾向にあります。航行不能になった船の周囲を旋回するサメのように、攻撃者は常に機会をうかがっています。
比較的新しく、まだ未知の領域であるマルチクラウドへと進出するにつれ、セキュリティの重要性はますます高まります。パブリッククラウドには、オンプレミスと同様にアプリケーションやデータに対するリスクが伴うため、オンプレミスと同じ熱意をもって、その保護に注力しなければなりません。そのためには、Webアプリケーションファイアウォール、IDフェデレーション、アプリケーションのアクセス制御などのアプリケーションサービスが必要です。また、可能な限り多要素認証（MFA）を採用し、セキュリティゲートを適用する必要があります。アプリケーションの導入先を問わず、これを徹底することが重要です。
新年を迎え、アプリの保護に注力することを決意しましょう。既存のセキュリティプログラムを監査して強化する場合も、新たに開始する場合も、2018年はアプリケーションセキュリティに対して、より高い警戒心と当事者意識を持って取り組みましょう。
F5 Labsのレポート「Lessons Learned from a Decade of Breaches」の全文は、こちらからご覧いただけます。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。