Advanced Web Application Firewall（WAF）Launchpad
組織にWAFが必要な理由
今日、企業はWebベースおよびクラウドホスト型のアプリケーションを活用して事業を拡大しています。そのため、セキュリティ脅威からアプリケーションを保護する堅牢で俊敏なWebアプリケーションファイアウォール（WAF）の導入は、もはや贅沢ではなく不可欠です。
こうしたWebベースおよびクラウドベースのアプリケーションが急速に普及するにつれ、攻撃はますます高度化・頻発し、企業の重要なデータや業務を脅かしています。そのため、管理者やセキュリティチームが最新の攻撃や防御策を常に把握することは、これまで以上に困難になっています。同時に、オンラインコマースに関する厳格なコンプライアンス要件（Payment Card Industry Data Security Standardなど）への対応、SQLインジェクション、DDoS攻撃、複合的なゼロデイ攻撃といった一般的な攻撃からのビジネスクリティカルなWebアプリケーションの保護、従来型環境とクラウド環境にまたがる安全なデータ共有の実現も求められます。
WAFの導入に必要なもの
企業は、正規のトラフィックをブロックすることなく正確な検知範囲を確保するために、複数の手法を組み合わせて利用できます。従来、最も広く使用されてきたWAF構成は、脅威や攻撃を含むトランザクション以外をすべて許可するネガティブセキュリティモデルです。ネガティブセキュリティでは、既知の脅威や攻撃を検知するよう設計されたシグネチャとルールを使用します。攻撃に関する知見が長年にわたり蓄積されてきたため、シグネチャルールのデータベースは非常に大規模です。このモデルは、Webインジェクション、OWASP Top 10の脅威、クロスサイトスクリプティング（XSS）など、一般に知られている脅威をブロックし、すぐに利用できる保護を提供するのに適しています。
近年、ポジティブセキュリティモデルの採用が広がっています。このアプローチでは、すべてのトラフィックをブロックし、有効かつ安全であることが確認されているトランザクションのみを許可します。ポジティブセキュリティアプローチは、厳格なコンテンツ検証と統計分析に基づいており、ゼロデイ脅威や脆弱性を悪用する操作の防止に、より効果を発揮する可能性があります。十分な効果を得るには、アプリケーションとその想定される用途に関する深い知識が必要です。
課題
相互に関連する複数の手順への対応
ポジティブモデルとネガティブモデルは、いずれも「セキュリティ」と「機能性」の微妙なバランスを実現できます。しかし、どのような状況や環境でも、ポジティブセキュリティモデルまたはネガティブセキュリティモデルの一方だけで、最も経済的なソリューションを提供できるわけではありません。ビジネス要件と組み合わせて両者を統合するアプローチにより、組織はあらゆるセキュリティポリシーの実装から最大限のROIを得ることができます。
ビジネス目標に最も適したWAF導入について、適切な判断を下すことは容易ではありません。通常、時間とリソースの確保と、選定した製品を使いこなすための十分なノウハウや自信の確保を両立させる必要があります。
WAFサービスの実装プロジェクトを計画し、遂行する際には、複数の手順に取り組む必要があります。
- 「最適な」WAF戦略を策定し、社内のすべてのステークホルダーから承認を得ます。
- WAF製品を効率的に活用し、適切なポリシーとパラメーターを実装する。
- 多くの場合、数百のアプリケーションを対象とするWAFサービスの導入計画を策定します。
- 本番環境における日常的なサービス運用とライフサイクル管理を計画します。
各ステップに共通する課題
- 企業および事業部門のセキュリティ要件（または期待事項）では、技術面、運用面、リソース面の制約が必ずしも十分に考慮されているとは限りません。そのため、高度な目標の達成に必要なあらゆる体制が組織内に整っていることを確認する前に、非常に複雑な戦略を策定して目標を達成しようとしがちです。多くの場合、この問題を解決するには、状況を中立的な立場から評価、分析することが必要です。
- ビジネス部門の責任者が求めるアプリケーションの可用性と、CISOチームが求める保護レベルとのバランスを取ることは、必ずしも容易ではありません。たとえば、誤検知や過度に制限の厳しいWAFポリシーによってアプリケーションがブロックされることは、ビジネス部門の責任者にとって望ましくありません。この場合も、公平かつ専門的な状況評価と分析は、組織が適切なバランスを見極め、本番環境に生じ得る影響に対処するための緩和計画を策定するうえで役立ちます。
- ソフトウェアベンダーのトレーニング受講や製品認定資格の取得を強く推奨します。ただし、それだけで、実際の企業環境、目標、制約を踏まえた実践に取り組む労力が不要になるわけではありません。
- 多くのお客さまが直面する課題の1つは、多数のアプリケーションをどのように保護するかという点です。しかし、多くの場合、アプリケーションの数自体が主な問題ではありません。むしろ、各アプリケーションについて入手できる情報の質と網羅性がWAFプロジェクトの妨げとなる可能性があり、設計および実装戦略をさらに検討する必要があります。WAFの実装経験は、関連する基準を見いだし、アプリケーションの特性を明確にしてグループ化するとともに、WAFサービス全体の設計および実装戦略を調整するうえで非常に役立ちます。
- 実現可能性とサポート性を確保するために、後続の手順について事前に検討することを忘れがちです。これはおそらく最もよくある間違いです（つまり、選択した設計モデルと実装モデルが、本番環境でソリューションを長期運用する際に及ぼす影響を検討せずに、ソリューションを設計・計画することです）。よくある例として、脅威、緩和策、アプリケーションのリリースなど、環境全体のさまざまな要素が定期的に変化する中で、高度で複雑なWAFポリシーの維持に必要なリソースを過小評価することが挙げられます。
F5のソリューション
F5 Professional Servicesがお客さまの環境に合わせてソリューションをカスタマイズ
BIG-IP Advanced WAFは、実トラフィックポリシービルダーを含む複数の導入方法、手動学習、脆弱性スキャナーとの統合、攻撃シグネチャ、ブルートフォース攻撃の防止、位置情報に基づく制御、ボット検知、DDoS緩和など、高度で包括的な機能を備えています。これにより、目的に適した構成を迅速に実現し、進化し続ける脅威に対応できるよう拡張・改善しながら、特に厳しいお客さまの要件にも応えられます。
F5 Professional Servicesは、Advanced WAF BIG-IPモジュールを購入し、場合によってはプロビジョニングまで完了しているものの、効果的なWAFサービスをまだ導入していないお客さま（たとえば、少数のポリシーを透過モードでのみ運用している場合）向けに、Advanced WAF Launchpadサービスを開発しました。
Advanced WAF Launchpadサービスでは、F5 Professional Servicesの専門知識と経験を活用し、お客さまが特定のユースケースに関する課題を克服して、Advanced WAFの導入プロジェクトを成功に導けるよう支援します。
サービス範囲
本サービスでは、F5 Professional Servicesのセキュリティ専門家と、お客さまのセキュリティ、インフラストラクチャ、ネットワーク、アプリケーションの各管理チームが連携します。
このサービスには、F5のベストプラクティスを活用して目的に適したAdvanced WAFポリシーの実装戦略を策定することと、お客さまがすぐに実践できるノウハウと専門知識を提供することという、2つの目的があります。
サービス提供アプローチ
本サービスは2日間にわたって実施され、Advanced WAFの機能、導入、管理要件に関する理論と実践を学びます。これにより、お客さまはアプリケーションセキュリティを最適化する効果的なAdvanced WAFソリューションを、自信を持って実装できるようになります。
ステップ1：Advanced WAFの設計および導入戦略
エンゲージメントの初日は、Advanced WAFのセキュリティポリシー管理を担当するセキュリティアーキテクト、設計者、エンジニア、運用担当者、その他の関係者が参加するワーキングセッションから始まります。F5コンサルタントが、現状と目標に関するデータ収集と公平な分析を主導し、推奨事項とベストプラクティスを提示するとともに、十分な検討を重ねて、上位レベルの設計および実装戦略を策定します。
初日の終了時に、F5コンサルタントが調査結果と推奨事項をまとめたレポートを作成します。
ステップ2：ポリシーの作成と実装
このステップでは、ポリシーを作成し、対象となる1つのWebアプリケーションを保護するために仮想サーバーへ適用します。選択したポリシー実装戦略に応じて、一度に実行することも、複数のサブタスクに分けて実行することもできます。
たとえば、迅速な導入方法を使用してお客さまのテスト環境にポリシーを実装する場合は、1回のセッションで実施できます。一方、Automatic Policy Builderを使用してポリシーを生成する場合（つまり、長期間にわたって検査できる「実際の」トラフィックがある場合）は、基本ポリシーを設定するサブタスクと、後でポリシーを調整してブロッキングモードに移行するサブタスクに分けて実施できます。
まとめ
関連する専門知識と経験を備えた熟練コンサルタントによるリアルタイムのサポートは、WAFサービスの導入プロジェクトを正しい方向へ導き、Advanced WAFの所有者が十分な情報に基づいて効率的に意思決定を行ううえで、多くの場合、最善の解決策となることが実証されています。
BIG-IP Advanced WAF Launchpadサービスの詳細については、F5 Professional Servicesまでお問い合わせください。
2018年3月21日公開