脅威を取り巻く状況の進化に合わせて、セキュリティ制御と対策も進化させる必要があります。データ損失やデータ流出につながる高度な境界型脅威はアプリケーション層で発生するため、多くの次世代ファイアウォール（NGFW）や侵入防止システム（IPS）の有効性は大幅に低下します。さらに、通信の多くが、特に大規模環境ではNGFWやIPSで十分に対応できない暗号化データチャネルへ移行しているため、この傾向は一層顕著になっています。Webアプリケーションファイアウォール（WAF）は、SSL/TLSを完全に復号したうえで、各HTTPリクエストをアプリケーション層で分析するように設計されています。
近年、ほとんどのWAFテクノロジーは、関連するNGFWやIPSのテクノロジーと同様、受動的なフィルターベースの検知システムとして、ほぼ変わっていません。WAFシステムは、プロトコル準拠の確認（リクエストが正しい形式であることの確認）とシグネチャー照合（既知の悪意あるコンテンツが含まれていないことの確認）を行い、潜在的な攻撃をフィルタリングしてブロックします。また、ハイジャックやブルートフォース攻撃に対抗するため、セッションやユーザーを認識する機能が追加されています。さらに、IPレピュテーションフィードを利用して、ボットネットや匿名化サービスなど、悪意があると判明している送信元やその他の脅威の排除を試みます。これらは依然として、データセンターの境界で機能する受動的なテクノロジーであり、クライアントを詳細に調査する能力は非常に限られています。
現在の脅威状況について、いくつか明らかになっていることがあります。
- 脅威の大半は自動化されています。攻撃者は脆弱性のスキャンを自動化しています。また、グレーマーケットでの転売を目的としたチケットやスニーカーの買い占めなど、リソースの占有も自動化しています。分散型サービス拒否（DDoS）攻撃は完全に自動化されており、今や一般的となった1 Tbps超の攻撃トラフィックを発生させることが可能です。自動化されたトラフィックは、正規のトラフィックを模倣して検知を回避するよう設計されていることが多いため、検知が困難です。こうした自動化の検知にはCAPTCHAなどの技術が使用されてきましたが、これらの検証方法は時間の経過とともに効果が低下し、正規ユーザーの利用体験にも影響を及ぼします。
- クレデンシャルスタッフィングは、過去の侵害で流出した数十億件もの既知のユーザー名とパスワードの組み合わせを悪用する、特定の種類の自動攻撃です。最近の脅威レポートによると、盗まれた認証情報の使用は、2017年に最も多く見られたアプリケーション攻撃でした。この攻撃は、一般のインターネットユーザーに多いパスワードの使い回しにつけ込みます。クレデンシャルスタッフィングのリクエストは正常に見えるだけでなく、ブルートフォース攻撃として検知されないよう、意図的に「少量かつ低速」で実行されることが多いため、特に検知が困難です。
- マルウェアは広く蔓延しており、ブラウザやその利用者の脆弱性を悪用するために使用されます。マルウェアの配布方法は、メールの添付ファイルから、ソーシャルメディアや広告内の悪意のあるリンクまで多岐にわたります。侵害されたマシンは、DDoS、データ窃取、リソースの占有を目的として、他のWebサイトを攻撃するために使用されます。クライアントマシンが経験豊富なIT情報セキュリティチームによって管理されていない場合、利用できる検知および緩和手段は限られます。
- DDoS攻撃は、単にトラフィック量を増大させるものだけではありません。多くの攻撃は、アプリケーションスタック内のいずれかの箇所、アプリケーションサーバー、ミドルウェア、またはバックエンドデータベースのリソースを枯渇させるように設計されています。このようなトラフィックは標準的な入力検証の大半を通過するため、こうした状態の検出は困難な場合があります。
端的に言えば、これらの攻撃は多くの場合、形式上の不正がまったく見られないため、従来のWAFの検知メカニズムをほぼすべて回避します。ケーブルモデム、IoTデバイス、パブリッククラウドのサーバーインスタンスなど、容易に侵害され得る標的がほぼ無尽蔵に存在するため、IPアドレスレピュテーションフィードの有効性には限界があります。送信元アドレス情報は変化が速すぎるため、クラウドソーシング型のフィードであっても、これらの攻撃ベクトルに典型的な高度な自動化に対抗するうえで十分な効果を発揮できません。こうした脅威に対抗するには、より高度なWebアプリケーションファイアウォールが明らかに必要です。
朗報は、Advanced WAFテクノロジーがすでに利用可能であり、以前から提供されていることです。F5は、Web Scraping保護を導入した2009年に、オンライン小売業者から価格データをスクレイピングしようとするボットをCAPTCHAなしで検出するテクノロジーを他社に先駆けて開発しました。その後、このテクノロジーを段階的に進化させ、2015年に導入した、現在Proactive Bot Defenseとして知られる機能へと拡張しました。Proactive Bot Defense（PBD）は、リクエスト元のクライアントを検証し、正規のブラウザを使用する人間のユーザーが存在することを確認できます。これは、既知のボットネットをIPアドレスに基づいてブロックする方法よりも、はるかに効果的なソリューションです。
新しいF5 Advanced WAFでは、市場をリードするF5のWAFテクノロジーを拡張し、アプリケーションセキュリティを取り巻く進化し続ける脅威への対策に必要な機能を提供します。Advanced WAFには、以下が含まれます。
- Proactive Bot Defense 最先端のフィンガープリンティングおよびチャレンジ／レスポンス技術を他の行動分析と組み合わせて活用することで、PBDは自動化された脅威をセッションレベルで検知し、ブロックできます。
- レイヤー7の振る舞いベースDoSの検知と防御。Advanced WAFは、トラフィックを動的にプロファイリングし、異常なトラフィックパターンのシグネチャを作成することで、レイヤー7 DoS攻撃がアプリケーションに影響を及ぼす前に阻止できます。
- DataSafeの認証情報保護。DataSafeはページコンテンツを動的に暗号化し、通常はマルウェアによって引き起こされるマン・イン・ザ・ブラウザー攻撃を防止します。また、認証情報の入力時に動的に暗号化し、ブラウザー上でユーザーを保護します。
- Anti-Bot Mobile SDKとの統合。Proactive Bot Defenseで使用される手法は、正規のブラウザを識別するために機能します。モバイルアプリにはブラウザが存在しません。Anti-Bot Mobile SDKを使用することで、モバイルAPIエンドポイントでも高度な手法によるボット対策が可能になります。
F5 Advanced WAFは、現在市場で利用可能な最先端のアプリケーションセキュリティ機能を提供する専用セキュリティプラットフォームです。F5は、極めて高度な攻撃にも対処できる最先端のアプリケーションセキュリティソリューションの提供に取り組んでいます。今後もAdvanced WAFプラットフォームのさらなる進化にご期待ください。
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。