アプリケーション保護の現在と未来
概要
今日のアプリケーション中心の世界では、あらゆる用途にアプリが存在すると言っても過言ではありません。組織は、従業員や消費者がデータにアクセスできるアプリケーションを提供することで、生産性の向上、ビジネスニーズへの対応、ひいては競争優位性の確立を図っています。しかし、アプリケーションを通じて提供する機密データが増えるほど、リスクも高まります。今日のユーザーはさまざまな場所におり、多くの場合は企業ネットワークの外部からアクセスしています。また、ユーザーが利用するアプリも、プライベートデータセンターからパブリッククラウドまで、あらゆる場所に存在します。その結果、組織の可視性と制御力が低下しています。こうしたアプリケーションの多くは、ファイアウォール、ウイルス対策ソフトウェア、TLS/SSL暗号化といった従来のセキュリティ対策の適用範囲外にあります。サイバー犯罪者がこの露出を悪用し、これらのアプリケーションを標的にしているのも不思議ではありません。
大規模なサービス拒否（DoS）攻撃、ブラウザベースのマルウェア、高度で持続的な脅威のいずれであっても、今日のアプリケーション攻撃の実態は、企業データの窃取や侵害を狙うものです。暗号化されたトラフィックとして送受信されるデータが増える中、今日のセキュリティツールの多くは、そのデータを復号して悪意のあるものではないことを確認できず、可視性を失った状態で動作しています。
従来、アプリケーションセキュリティへの取り組みでは、ソフトウェア開発ライフサイクル（SDLC）に重点を置き、開発者がセキュアコーディングのベストプラクティスに従うよう徹底してきました。セキュアなコードは今もセキュリティ全体を構成する中核的な要素ですが、それだけでは十分ではありません。従来の企業ネットワークの範囲外に置かれるエンドポイントやネットワークが増えるにつれて、旧来のセキュリティ境界は崩れ続けています。その一方で、アプリケーションや企業の機密データに対するリスクも進化し続けています。
あらゆる環境でアプリのセキュリティを確保するには、セキュリティ対策を強化する必要があります。現在、攻撃の大半はアプリケーション層を標的としていますが、企業はこの層に見合ったセキュリティ投資を行っていません。組織は、セキュリティ対策をこれまで以上にアプリレベルに重点化する必要があるという新たな現実を受け入れるべき時を迎えています。
アプリケーションセキュリティへのリスクベースのアプローチ
このようなリスクベースの観点からアプリケーションセキュリティを捉えることで、組織はコンポーネントの障害に重点を置き、多くの攻撃が最終的に標的とするデータに、極めて堅牢なセキュリティを提供しやすくなります。アプリケーションを構成するすべてのコンポーネントを分析すれば、アプリケーション全体に最も強固で適切なセキュリティを提供する戦略を策定できます。コードの脆弱性、ネットワークの可用性、DNSのいずれに関するものであっても、アプリケーションまたはその配信ネットワークのコンポーネントが1つでも侵害されると、アプリケーション全体とそこに格納されているデータが危険にさらされるためです。
アプリケーションセキュリティの重要な構成要素
組織がアプリケーションレベルの攻撃によって機密データを侵害されるリスクを軽減するには、可能な限り強固なアプリケーションセキュリティ対策を導入することが不可欠です。アプリケーション境界において、プロアクティブな多層防御のセキュリティ態勢を構築するための主な要素には、アプリケーションセキュリティテスト、ファイアウォールサービス、アクセス制御、各種脅威に特化した保護が含まれます。
アプリケーションセキュリティテスト
ソフトウェアセキュリティは、今なおアプリケーション保護戦略全体の要です。組織は、新しいWebサイトやソフトウェアがセキュアにコーディングされていることを確保するだけでなく、セキュアなソフトウェア開発ライフサイクルを採用せずに構築された既存のWebサイトにすでに存在する無数の脆弱性にも対処しなければなりません。脆弱性の発見と修正は学術的な演習ではなく、明確な意図を持つ攻撃者による企業システムへの侵入や、そのシステムが保護するデータへのアクセスを阻止するための取り組みであることを忘れてはなりません。しかし、攻撃者とその戦術を明確に把握できなければ、セキュリティ担当者が攻撃者を阻止するための効果的な戦略を策定することは困難です。今後は、セキュリティコミュニティに携わるより多くの人々が、ソフトウェアとソフトウェアセキュリティへの理解を深めることが不可欠です。
脆弱性スキャナーは、新しいWebサイトやWebアプリケーションの公開前後を問わず、ソフトウェアの問題の特定と軽減に役立ちます。ただし、堅牢な脆弱性スキャナーとフルプロキシ型Webアプリケーションファイアウォールを統合することで、組織は最善の保護を実現できます。
Webアプリケーションファイアウォール
今日、堅牢で俊敏なWebアプリケーションファイアウォールは、もはや贅沢品ではなく不可欠なものです。クラウドでホストされるWebアプリケーションの増加に伴い、企業データを脅かすセキュリティ攻撃はますます巧妙化し、リスクも高まっています。
ハイブリッドWebアプリケーションファイアウォールは、アプリケーションの場所を問わず、OWASP Top 10の脅威、アプリケーションの脆弱性、ゼロデイ攻撃から企業を守るのに役立ちます。強力なレイヤー7分散型サービス拒否（DDoS）攻撃対策、検知・緩和技術、仮想パッチ、攻撃を詳細に可視化する機能により、高度な脅威であってもネットワークサーバーに到達する前に阻止できます。さらに、攻撃者が企業のデータセンターにアクセスする前に検知してブロックできることは、大きな利点となります。潜在的な攻撃の初期段階で悪意のある活動を阻止できる強力なWebアプリケーションファイアウォールを導入することで、不要なトラフィックの処理に費やすリソースを削減し、リスクを大幅に低減するとともに、データセンターの効率を向上できます。
企業は、以下の機能を備えたWebアプリケーションファイアウォールを選ぶ必要があります。
- 自動化された攻撃ネットワークに対するプロアクティブな防御を提供する。
- 主要な動的アプリケーションセキュリティテスト（DAST）スキャナーと連携し、脆弱性に即座にパッチを適用します。
- 悪意のあるアクティビティと違反を関連付けることで、不審なイベントを特定します。
- Payment Card Industry Data Security Standard（PCI DSS）、HIPAA、Sarbanes-Oxleyなどの主要な規制基準へのコンプライアンス対応を効率化する、読みやすいレポートを提供します。
SSLインスペクション
現在、SSLはあらゆる場所で利用されています。アナリストは、北米のオンライン通信全体に占める暗号化通信の割合が、2015年のわずか29%から、2016年には約64%に急増すると予測しています。1 組織は、メールやソーシャルメディアからストリーミング動画に至るまで、通信の大部分を暗号化しようと対応を急いでいます。SSLが提供するセキュリティレベルは魅力的ですが、その一方で、攻撃者が暗号化通信を可視化できないセキュリティデバイスからマルウェアを隠す手段としてSSLを利用するため、SSLは脆弱性を生む経路にもなっています。
エンタープライズ向けセキュリティソリューションでは、暗号化トラフィックによってマルウェアがネットワークに侵入していないことを確認するため、そのトラフィックを可視化する必要があります。こうした暗号化された脅威への対策の1つが、可視化チェーンの両端にApplication Delivery Controller（ADC）を配置するSSL「エアギャップ」ソリューションです。ユーザーに最も近いADCが送信トラフィックを復号し、復号した通信をセキュリティデバイスに送ります。これにより、セキュリティデバイスはコンテンツを確認してポリシーと制御を適用し、マルウェアを検出して無力化できます。チェーンのもう一方の端では、別のADCがデータセンターから送出されるトラフィックを再暗号化します。このソリューションにより、セキュリティデバイスをインラインに維持しながら、本来の機能を確実に発揮させる柔軟性が得られます。
DDoS対策
現在、ほとんどのアプリはインターネットを基盤としているため、ボリューム型DDoS攻撃によってアプリケーションの機能が著しく低下し、停止に至ることさえあります。DDoS攻撃は規模と複雑さを増しており、世界中の企業の内部リソースを圧迫する脅威となっています。こうした攻撃では、大量のトラフィックによる輻輳と、アプリケーションを標的とする検知されにくい手法を組み合わせ、正規ユーザーへのサービスを妨害しようとします。
組織は、重要なアプリケーションの可用性を確保するため、堅牢なDDoS対策戦略を整備する必要があります。L3からL7までを包括的かつ多層的に保護し、DDoS攻撃がネットワークやデータセンターに到達する前にクラウド上で阻止できるソリューションをご検討ください。
DNSセキュリティ
企業のDNS戦略は、セキュアコーディングを重視する従来のアプリケーションセキュリティの考え方には含まれませんが、アプリケーションのセキュリティと可用性に極めて重要な役割を果たします。DNSはインターネットの基盤である一方、組織のネットワークで最も脆弱なポイントの1つでもあります。組織は、DNS増幅攻撃によるクエリフラッド、辞書攻撃、DNSポイズニングなど、増え続ける多様なDNS攻撃からシステムを保護する必要があります。
グローバルトラフィックをインテリジェントに管理し、悪意のあるIPドメインへのアクセスをブロックして複雑な脅威を軽減するとともに、導入、一元管理、DNSSECキーの安全な取り扱いに関してサードパーティベンダーとシームレスに連携するソリューションにより、企業は顧客や従業員が必要なときに重要なWeb、アプリケーション、データベースの各サービスへアクセスできるようにすることが可能です。一部のソリューションは、迅速にスケールしてDDoS攻撃をより効果的に吸収できる高性能DNSを提供します。
Web不正検知
50年前、銀行強盗をするには、実際に銀行まで出向く必要がありました。今では、5,000マイル離れた場所からでも銀行を襲えます。インターネットはグローバルにつながっているため、攻撃者にとってはあらゆる場所が等距離にあり、金融機関はインターネット上で特に価値の高い標的の1つとなっています。不正行為の脅威に効果的に対抗するには、インターネット経由で金融サービスを提供する組織は、複数のセキュリティテクノロジーを組み合わせて事業を防御する必要があります。
あらゆる不正の脅威ベクトルからの保護を支援し、攻撃者によるセキュリティチェックの偽装、無効化、その他の方法による回避を防ぐソリューションをご検討ください。これにより、組織は金銭的損失や知的財産の喪失リスクを軽減し、新たに出現するWebの脅威や不正に対するプロアクティブな保護によって安心感を得られます。
アクセス制御
近年発生した深刻なセキュリティ侵害の中には、ユーザーや管理者の認証情報が侵害されたことに起因するものがあります。適切なユーザーに対して適切な情報への認証と認可を行い、シングルサインオンと多要素認証の技術によってアプリケーションへのセキュアな接続を確保していれば、こうした侵害を阻止できた可能性があります。さらに、企業が一元管理するアイデンティティおよびアクセス制御により、企業ネットワークと、クラウド上またはSoftware as a Service（SaaS）として提供されるアプリケーションとの間でセキュアな認証が可能になります。
まとめ：アプリケーション保護の未来
アプリケーション保護には複雑な課題が伴います。モノのインターネット（IoT）とそれに関連するアプリケーションが飛躍的に増加するにつれ、問題はさらに拡大しています。2010年には2億個だったWebアプリケーションは、現在では10億個近くに達しています。2 (https://www.f5.com/resources/white-papers/the-present-and-future-of-application-protection#footnote02)2020年には、50億個に達する可能性も十分にあります。これらのアプリケーションはすべて脆弱性につながる経路となり得ます。また、その多くには、攻撃者の標的となり得る重要なデータが含まれています。
既存のセキュリティポートフォリオを、アプリケーションレベルに重点を置いたソリューションとサービスで強化することで、組織は機密データを露出させる可能性のあるアプリケーションをより効果的に保護できます。アプリケーションがどこに存在していても確実に保護することが極めて重要です。ひとたび問題が発生すれば、その影響は甚大です。
今こそアプリケーションセキュリティの視野を広げ、組織が重要なアプリケーションを構成するすべてのコンポーネントを効果的に保護し、データを守り、ビジネスを保護できる体制を強化するときです。
1 Sandvine、『Global Internet Phenomena Spotlight: Internet Traffic Encryption』、2015年。
2016年2月24日公開