F5 BIG-IP プラットフォーム セキュリティ

アプリケーションおよびネットワーク攻撃が進化して複雑化し、防御が困難になるにつれて、データ セキュリティの確保はあらゆる規模の組織にとって最も差し迫った課題の 1 つになっています。 注目を集める漏洩や侵害は、組織の評判を傷つけ、ビジネスに多大な影響を及ぼす可能性があります。

F5 BIG-IP プラットフォームの導入以来、セキュリティはすべての設計とアーキテクチャの決定において重要な要素となっています。 その後の各リリースや新製品には、より安全なデフォルト設定が含まれ、より多くのセキュリティ関連機能が組み込まれ、より厳格なセキュリティ テスト、保証、および認証の取り組みが実施されています。 セキュリティの脅威が増大するにつれて、ネットワーク、アプリケーション、およびデータの安全性を確保するために、新製品や買収した製品にベスト プラクティスが継続的に適用されます。 現在、F5 製品は、組織の重要な情報フローを管理するための戦略的な制御ポイントとして機能すると同時に、パフォーマンスとセキュリティの両方の強化を通じて Web ベース アプリケーションの配信を改善しています。

組織全体のセキュリティ体制を評価する場合、安全なソフトウェア開発ライフサイクルとアプリケーション配信ネットワーク内の固有のセキュリティ機能という 2 つの構造的要素を考慮する必要があります。 F5 は、両方の面で成果を上げることで、今日の新しいセキュリティの課題に対応するリーダーシップと製品を提供し、アプリケーションのダウンタイムを最小限に抑え、エンドユーザーの生産性を最大化しながら、組織が ID、アプリケーション、機密データを保護できるように支援します。

本当に安全なシステムには多くの要素がありますが、その基礎は設計とコーディングという 2 つの柱にあります。 F5 セキュア ソフトウェア開発ライフサイクル (SDLC) は、すべての製品が最高のセキュリティ標準に従って構築され、リリース前に厳密にテストされることを保証します。

健全なセキュリティは、製品開発プロセスの早い段階から始まります。 F5 製品開発チームは、コードを 1 行も記述する前に、包括的な脅威モデル評価を実施します。 アーキテクトは、それぞれの新機能を評価して、それがシステムにどのような脆弱性を生み出すか、またはもたらすかを判断します。

設計段階で修正するのに 1 時間かかる脆弱性は、コーディング段階で修正するには 10 時間、製品の出荷後に修正するには 1,000 時間かかる場合があります。そのため、プロセスの早い段階で脆弱性を検出することが重要です。 脅威モデルの評価中に行われる典型的な議論には、セキュリティ境界の定義と確認、脅威の対象領域の制限、セキュリティ関連機能の設計と実装に関するベスト プラクティスなどが含まれます。

設計が完了したらコーディングが始まります。 F5 の開発スタッフは全員、安全なコードの作成プロセスについて徹底的にトレーニングを受けています。 しかし、ソフトウェアやネットワークの脆弱性に関しては、たとえ小さなミスであっても大きな影響を及ぼす可能性があります。 F5 の開発者はセキュリティ チームと定期的にコード レビューを実施し、静的コード分析ツールを使用して一般的な問題を特定します。 コード標準とベスト プラクティスは、開発者が一般的なセキュリティ上の落とし穴を回避するのに役立ちます。

時間と労力を要するセキュリティ テストは、どの組織にとっても大きな取り組みです。 F5 では、セキュリティ チームと開発チームが連携して、市場にリリースされる各ソフトウェアの高度なセキュリティを確保しています。

社内のセキュリティ チームは、BIG-IP プラットフォームを侵害しようとする攻撃者の役割を演じて侵入テストを実施します。 さらに、F5 はすべてのプログラムに対してファズ テストを実行します。 ファズ テストでは、長いまたは短いネットワーク パケットや不正なデータを含む入力など、不正な形式の入力をプログラムがどのように処理するかを評価します。 ほとんどは適切に処理されますが、例外が発生する可能性があり、さらに重大な脆弱性が露呈する可能性もあります。 侵入テストとファズ テストにより、F5 デバイスはサービス拒否 (DoS) 攻撃やコードベースの攻撃に対して可能な限り安全になります。

さらに、F5 は学術的直観力との関係を通じて、次のような複数のタイプのエラーをカバーする知識ベースを継続的に拡大しています。

• 安全でない文字列操作ロジックを悪用するバッファ オーバーフローとスタック スマッシング攻撃。
• 動的メモリ管理関数の誤った使用。
• 整数オーバーフロー、符号エラー、切り捨てエラーなどの整数関連の問題。
• フォーマット文字列の脆弱性について紹介します。
• 競合状態を含む I/O の脆弱性。

F5 は高度なサードパーティ製スキャン アプリケーションを採用しており、夜間にソース コードを分析して多数の重大な欠陥を検出します。 コンパイル時に、コード スキャン アプリケーションは、セキュリティ バグや欠陥、「ビルド ブレーカー」バグ、メモリ リークや破損などのクラッシュ バグ、新しいコードによって導入された予測できないアプリケーション動作を探します。 ソースコードスキャンでは、データ整合性の問題やパフォーマンスのボトルネックなどの致命的ではない欠陥も検出できます。

F5 は長年にわたり、複数の種類の追加テストのためにサードパーティ企業と提携してきました。

• ブラックボックス テスト: 攻撃者が公開文書からアクセスできる範囲を超えて製品に関する知識がない状態でアプリケーションおよびプラットフォームをテストします。
• グレーボックス テスト: 内部設計や内部データ構造のドキュメントへのアクセス、使用されるアルゴリズムなどの部分的な情報を使用してアプリケーションおよびプラットフォームをテストします。 グレーボックス テスターには、アプリケーションを説明する高レベルのドキュメントと詳細なドキュメントの両方が必要です。
• ホワイト ボックス テスト (クリア ボックス テスト、ガラス ボックス テスト、透明ボックス テスト、または構造テストとも呼ばれます) は、アプリケーションの機能ではなく、内部構造または動作をテストします。 ホワイトボックステストには、プログラミングスキルだけでなく、システムに関する高度な知識も必要です。

セキュリティ テスト ツールは時間の経過とともに進化し、新しい製品が導入されます。 F5 は複数のベンダー パートナーと緊密に連携し、新しいプロトコルの追加、テスト範囲の拡大、進化する脅威モデルと新たに発見されたエクスプロイトに基づくツールの更新を行っています。 BIG-IP ソフトウェアが複数のテストに合格すると、F5 はそれを自社の製品環境で使用し、リリースの準備が整っていることを確認します。

脅威モデル、安全なコーディング、トレーニング、さまざまな種類のテストにもかかわらず、脆弱性は発生します。 運用環境で脆弱性が認識された場合、タイムリーな対応が重要になります。

F5 の脆弱性対応ポリシーは、顧客の要件と業界の慣行を反映するために定期的に更新されます。 F5 は、セキュリティ インシデントへの対応に重点を置き、社内で発見されたもの、サードパーティのテストで発見されたもの、または顧客から報告されたものなど、脆弱性を少なくとも週に 1 回追跡して報告し、適切な優先順位付けとタイムリーな対応を保証します。

F5 は、National Vulnerability Database、MITRE CVE、CERT Coordination Center、Redhat、OpenSSL、ISC などのセキュリティ研究者やその他の専門家と緊密に連携することで、責任を持って脆弱性を公開し、緩和策、パッチ、およびエクスプロイトからの保護を提供することができます。 昨年、F5 は、最新のセキュリティ情報を確実に提供するために、表面化する脅威 (スクリプト インジェクション、トロイの木馬など) に関する教育記事から、マルウェアや DDoS 攻撃からの保護に至るまで、350 件を超えるセキュリティ アドバイザリを一般に公開しました。

強化されたセキュリティを提供するために特別に構築された BIG-IP プラットフォームは、組織のセキュリティ体制を強化できるいくつかの重要な機能を備えています。

• アプライアンスモード
• 安全な金庫
• セキュリティ強化 Linux (SELinux)
• セキュリティ認証
• DoS 保護

BIG-IP プラットフォームと F5 TMOS は、ハードウェアとソフトウェアが連携してエンタープライズ アプリケーションとデータを保護し、ネットワーク全体でのアプリケーション配信を最適化するように設計されています。

アプライアンス モードは、もともと医療や金融サービスなど、機密データを扱う業界の企業向けに設計されましたが、現在ではあらゆる分野の企業で使用されています。 アプライアンス モードをオンにすると、組織は次の制限を適用して、ネットワークとアプリケーションをより細かく制御できるようになります。

• bash シェルへのアクセスを削除します。
• 構成ユーティリティと TMSH への管理アクセスを制限します。 管理者は、これらの階層型コマンドライン ユーティリティを使用して、BIG-IP システムを簡単に管理および構成し、統計およびパフォーマンス データを表示できます。
• ルート ログインを無効にして、ルート ユーザーがシリアル コンソールを含むあらゆる手段でデバイスにログインできないようにします。
• 多数のファイルとディレクトリに対するルート アカウントのホーム ディレクトリ (/root) のファイル権限を強化します。 デフォルトでは、新しいファイルはユーザーのみが読み取りおよび書き込み可能であり、すべてのディレクトリのセキュリティが強化されます。
• BIG-IP システムの完全自動管理を提供する Always-On Management (AOM) サブシステムがホストにアクセスできないようにします。 AOM は、ハードウェア リセット コマンドを使用してのみホストをリセットできます。

注意すべき点は、アプライアンス モードは一度有効にすると無効にできないことです。組織は新しいライセンスを取得して、ソフトウェアのクリーン インストールを実行する必要があります。 管理者は、BIG-IP GUI の構成ユーティリティのライセンス画面から、デバイスがアプライアンス モードで実行されていることを確認できます。

SSL 秘密キーはネットワーク内で最も価値の高い資産の 1 つであり、多くの組織では、単純なファイル システム保護を超えてキーが安全であることを求める厳しい要件があります。 すべての F5 ハードウェア アプライアンスで利用可能な Secure Vault 機能は、ハードウェア ロックに保存されたマスター キーを使用して SSL 秘密キーを保護するため、SSL 秘密キー ファイルが侵害されたバックアップ サーバーやマルウェア感染から回復されたとしても、攻撃者が使用することはできません。

各 BIG-IP デバイスには、一意のユニット キーと共有マスター キーが付属しており、どちらも AES 256 対称キーです。 固有のユニット キーは、各物理アプライアンス上のカスタム ビルドのハードウェア EEPROM に保存されます。 このユニット キーはマスター キーを暗号化し、マスター キーは SSL 秘密キーを暗号化し、SSL キー ファイルを復号化し、BIG-IP デバイス間で証明書を同期します。 マスター キーは高可用性 (HA) 構成の構成に従うため、すべてのユニットは同じマスター キーを共有しますが、独自のユニット キーを保持します。 マスター キーは、証明書マネージャーによって確立された安全なチャネルを使用して同期されます。 マスター キーで暗号化されたパスフレーズは、マスター キーが生成されたユニット以外のシステムでは使用できません。

Secure Vault サポートは、vCMP (Virtual Clustered Multiprocessing) ゲストでも使用できます。vCMP を使用すると、各ゲストが独自のユニット キーとマスター キーを持ち、1 つのデバイス上で BIG-IP ソフトウェアの複数のインスタンスを実行できます。 ゲスト ユニット キーはホストで生成および保存されるため、ハードウェア サポートが強制され、ホスト マスター キーによって保護されます。ホスト マスター キーは、ハードウェア内のホスト ユニット キーによって保護されます。

F5 の開発プロセスと顧客の運用環境の両方で使用される Security Enhanced Linux (SELinux) は、セキュリティ ポリシーの適用を担当するソフトウェアの量を合理化し、セキュリティ ポリシー自体とは別にセキュリティ決定を適用できるようにします。 たとえば、SELinux プロファイルは、TMOS カーネルに特定のプロセスによる bash シェルの実行を禁止するように指示し、攻撃者が Web サーバーやルーターを制御できるようにする Shellshock などの脆弱性からシステムを保護します。

SELinux は、Linux の任意アクセス制御 (DAC) システムを補完する強制アクセス制御 (MAC) を提供することで、セキュリティも強化します。 MAC は、サブジェクトのユーザー、ロール、ドメイン ラベル、オブジェクトのリソース ラベル、およびポリシーによって定義されたサブジェクトとオブジェクト間の関係で構成されます。 SELinux 制御は、ユーザー プログラムとシステム サーバーによるファイルとネットワーク リソースへのアクセスを制限します。 権限を動作に必要な最小限に制限すると、バッファ オーバーフローや構成ミスなどの未知の脆弱性によってこれらのプログラムやデーモンが損害を引き起こす可能性が低減または排除されます。 MAC は Linux (任意) 制御メカニズムから独立して動作するため、ルート スーパーユーザーの概念がなく、従来の Linux DAC システムのよく知られた欠点を共有しません。

連邦政府機関および金融セクター業界 (FSI) 組織には、Common Criteria や FIPS 140-2 などのセキュリティ認証を要求する追加の規制が適用されます。 これらおよび米国および世界各国のセキュリティ認証により、認証された製品が認証、監査、暗号化、管理、安全な通信などの分野で標準を満たしていることが保証されます。 認定基準と要件は、セキュリティの世界の変化に合わせて変化し、進化します。そのため、ほとんどの認定は特定の製品リリースに固有のものになります。

F5 は、セキュリティの変更、ベスト プラクティス、進化する標準を常に把握し、国際暗号化モジュール会議 (ICMC) および国際共通基準会議 (ICCC) に参加して、組織に堅牢なセキュリティと合理化されたコンプライアンスを提供しています。 米国国立標準技術研究所 (NIST) の暗号モジュール検証プログラム (CMVP) は、暗号化に関する F5 ロードマップを推進します。

F5 製品の多くは、世界中の政府機関や企業が使用する世界的な保証認定である Common Criteria の認定を受けています。 26 か国が相互承認協定に署名しており、これにより、製品が認証されると、署名国のいずれかまたはすべてで認証済みとして販売できることが事実上保証されます。

NIST によって開発された連邦情報処理標準 (FIPS) は、米国政府機関および政府請負業者によって非軍事コンピュータ システムで使用されています。 FIPS 140 シリーズは、米国連邦政府の部門や機関が使用するハードウェア コンポーネントとソフトウェア コンポーネントの両方を含む暗号化モジュールの要件を定義する米国政府のコンピューター セキュリティ標準です。

FIPS 140-2 準拠の F5 製品は、コンプライアンス要件を満たすために FIPS 140-2 認定のハードウェア セキュリティ モジュール (HSM) を使用します。 HSM は、デジタルの高価値暗号キーを生成、保存、保護するように設計された安全な物理デバイスです。 これは、改ざん防止機能が組み込まれたプラグイン カード (またはその他のハードウェア) の形で提供されることが多い、安全な暗号プロセッサです。 BIG-IP システムには、FIPS 140-1 レベル 2 準拠のソリューションを必要とする環境で SSL トラフィックを処理するために特別に設計された HSM オプションである FIPS 暗号化/SSL アクセラレータが含まれています。

F5 BIG-IP デバイスは FIPS 140-2 レベル 2 に準拠しています。 このセキュリティ評価は、機密データが HSM にインポートされると、プラットフォームに暗号化技術が組み込まれ、データがプレーンテキスト形式で抽出できないようにすることを示します。 BIG-IP デバイスは、物理的な改ざんを阻止するために、改ざん防止コーティングまたはシールも提供します。 BIG-IP プラットフォームの独自のキー管理フレームワークにより、より高いトラフィック レベルを処理でき、組織が簡単に新しいサービスを追加できる、拡張性に優れた安全なインフラストラクチャが実現します。

さらに、FIPS 暗号化/SSL アクセラレータはスマート カードを使用して管理者を認証し、アクセス権を付与し、管理責任を共有することで、キー管理セキュリティを強化するための柔軟で安全な手段を提供します。

DoS 攻撃は、インターネットに接続されたホストのサービスを一時的または無期限に中断または停止するために、マシンまたはネットワーク リソースを対象ユーザーが利用できないようにする試みです。 分散型サービス拒否 (DDoS) は、1 つ以上の (多くの場合は数千の) 固有の IP アドレスを持つ攻撃元から発生します。

F5 のアーキテクトは、DoS 攻撃を防止および軽減するための複数の戦略を開発しました。 開発チームは、企業データを保護し、アプリケーションの基本要素 (ネットワーク、DNS、SSL、HTTP) のセキュリティを確保するための機能をリリースし、技術に関する特許を申請しました。 ソフトウェア機能は、さまざまな種類のリクエストのレート制限、パケットが多すぎるかどうかやリクエストを開始した人の判別、ヒューリスティックの提供、スプーフィングの防止など、幅広い保護を提供します。

BIG-IP プラットフォームは、インテリジェントなトラフィック管理とアプリケーション配信の本質的なセキュリティ機能を活用して、最も要求の厳しい状況でも組織のネットワークとアプリケーション インフラストラクチャの可用性を保護し、確保します。

ネットワーク、アプリケーション、データに対する攻撃が増加し続ける中、BIG-IP プラットフォームに依存している組織は、システムのセキュリティに自信を持ち、最も貴重な資産を保護することができます。

F5 は、製品リリース前に脆弱性を発見して修正するように設計された厳格なセキュア ソフトウェア開発ライフサイクル プロセスを通じて、BIG-IP プラットフォームのセキュリティを確保します。 さらに、BIG-IP プラットフォームには、アプライアンス モード、Secure Vault、SELinux、セキュリティ認証、DoS 保護など、重要なアプリケーションと企業データの整合性を保証するいくつかの重要なセキュリティ機能があります。

セキュリティ上の脅威の量と複雑さは確実に進化し続けるでしょう。 同時に、F5 は、組織の評判を守り、ビジネスを保護しながら、攻撃を防止、軽減、対応できるように、専用のセキュリティ ソリューションを設計し続けます。