ニュースでは、ますます大規模化するDDoS攻撃が頻繁に取り上げられています。こうしたネットワーク攻撃は、「デス・スター級のボットネット」や「世界記録」級の攻撃といった目を引く見出しになりやすいからです。しかし、ほとんどの企業や大規模組織にとっては、同様に懸念すべきアプリケーション攻撃が多岐にわたって存在します。OWASP.org（Open Web Application Security Project）の「Attack」カテゴリページを見ると、攻撃者がアプリケーションの脆弱性を悪用するために用いる70種類以上の手法が掲載されています。
こうした攻撃の多くには、ブルートフォース、スプーフィング、スタッフィング、中間者攻撃、タブナビングなど、興味深く楽しげに聞こえる名前が付いています。しかし実際には、アプリケーション攻撃は決して笑い事ではありません。たとえば2017年には、データ侵害の被害を受けた米国企業の平均損失額は735万ドルに上りました。しかも、データ侵害は一部の攻撃がもたらす最も目に見えやすい影響にすぎません。ほかにも、ネットワークの中断やダウンタイムによるコスト、本来ならイノベーションに注力できるITスタッフを攻撃の緩和対応に充てるための費用、さらに従業員、パートナー、顧客が接続できず、業務の遂行、サービスの販売、製品の購入ができないことで生じる損失があります。
では、組織はどう対処すればよいのでしょうか。アプリケーションの利用を諦めるわけにはいきません。今日では、企業規模を問わず、従業員の生産性向上、ビジネスポリシー適用の効率化、膨大なデータの分析、給与計算から買掛金管理に至るまで、ほぼあらゆる業務でWebアプリケーションが活用されています。しかし残念ながら、攻撃者もこうしたアプリケーションが組織にとってどれほど重要かを認識しており、最も重要なWebアプリケーションを停止させたり侵害したりしようと、これまで以上に執拗に狙っています。
ほとんどの組織にとって、最初の防御線となるのはWebアプリケーションファイアウォール（WAF）です。最新の「State of Application Delivery」レポートによると、回答者の98%がアプリケーションポートフォリオの少なくとも一部をWAFで保護しており、40%超がアプリケーションの半数以上を保護しています。
F5は、WAF業界のリーダーとして、長年提唱してきた考え方が世界中で受け入れられつつあることを大変うれしく思います。しかし、現状に甘んじていては業界のリーダーではいられません。F5は、アプリケーションのセキュリティをさらに強化する方法を絶えず追求しています。たとえば、先日発表したAdvanced WAFは、これまで以上に進化し、最高水準のアプリケーションセキュリティを提供します。Advanced WAFは、シグネチャとレピュテーションの枠を超えて進化する自動攻撃をブロックすることでボットから防御し、アプリケーション層での暗号化によってアカウント乗っ取りを防止するとともに、機械学習と行動分析を活用して高精度にDoS攻撃からアプリケーションを保護します。
また、他の業界リーダーと連携し、いずれか一社だけでは実現できない、より高機能でセキュアなソリューションを共通のお客さまに提供することも重要です。 WhiteHat Security は、そうしたパートナーの1社です。WhiteHatは、データを保護し、コンプライアンスを確保するとともに、リスクにさらされる期間を短縮するWebサイトリスク管理ソリューションを提供しています。これらのソリューションは、F5の新しいAdvanced WAFソリューションと効果的に連携し、顧客データと企業データの両方を保護する組織の能力を強化します。
F5とWhiteHat Securityの共同ソリューション（上図参照）は、F5のオープンAPIを使用してAdvanced WAFとWhiteHat Sentinelを統合します。この構成では、Sentinelが継続的な動的スキャンを実行します。さらに、Threat Research Centerの専門家チームがすべての脆弱性を検証することで、誤検知をほぼ排除します。同時に、Advanced WAFはWAFによる保護に加え、可視化やレポート作成に関するさまざまな機能を担います。緊密な統合により、Advanced WAFはSentinelから提供されるインテリジェンスを活用して脆弱性に自動的にパッチを適用します。多くの場合、コードの修正が提供される前に対応できます。
その結果、包括的なエンドツーエンドのWebアプリケーションセキュリティにより、ビジネスの生産性を継続的に確保し、成長を促進できます。
詳細はこちら：
包括的なWebアプリケーションセキュリティプログラムを導入 – WhiteHat + F5連携
Webアプリケーションファイアウォールを選定する際の主な考慮事項 – F5ホワイトペーパー
侵害を防ぐために今できること – WhiteHat Technical Insight
著者について
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。