現代の企業では、アプリケーションがデジタル戦略の中心となっています。F5 Labsの調査によると、企業は平均して983のアプリケーションを管理しており、これらのアプリケーションは複数のクラウドやデータ センタにわたっていることが多くなっています。最新のアプリケーションは、一般的に分散型アーキテクチャで設計され、アジャイル開発手法を用いてコンポーネントレベルまで構築されています。継続的インテグレーションと継続的デリバリ（CI/CD）のためのこのフレームワークにより、DevOpsはソフトウェアのライフサイクルを迅速かつ効率的に管理することができます。市場投入までの時間を主要なKPI（重要業績評価指標）とするDevOpsは、最新のワークフローと自動化を採用しています。しかし、セキュリティは、CI/CDのセキュリティ　ワークフローから取り残されていることが多いのが現状です。

DevOps のワークフローにアプリケーション セキュリティ対策が含まれていないということは、アプリケーション コードと一緒にテストされていないことを意味します。その結果、アプリケーション セキュリティの欠陥は、開発サイクルの終了間際に実施される運用テストまで発見されない可能性があり、欠陥への対処にはより多くのコストがかかります。その結果、市場投入までの時間が大幅に遅れたり、修復コストが増加したり、セキュリティ管理が不十分になったりする可能性があります。

CI/CDプロセスの早い段階でセキュリティ テストを導入することは、アプリケーション チームとセキュリティ チームの間のギャップを解消するための最も効率的なソリューションです。そのためには、アプリケーション開発段階の一部として運用面でのセキュリティ テストを重視するという、文化的および技術的な変化が必要です。

F5 Advanced Web Application Firewallは、開発パイプラインの早い段階で、運用アプリケーションのセキュリティ テストを統合することを可能にします。これにより、パイプラインの早い段階で、機能仕様とセキュリティ ポリシーの両方を包括的にテストすることができます。DevOpsチームは、アプリケーションの開発中に、セキュリティ ポリシーまたはアプリケーション自体のセキュリティ上の欠陥を発見することができます。欠陥を発見した場合、チームはより効率的に、大幅に低いコストで修正を行うことができます。

Security as a Code

アプリケーション セキュリティを開発パイプラインに統合するには、宣言型APIを使用することで容易になります。これらのAPIコマンドは、自動化された開発パイプラインの一部として使用することができ、Advanced WAFの導入と構成を行うことができます。自動化は、GitLab、Jenkins、Bitbucketなど、DevOpsチームが既に使用しているツールを使ってインストルメント化することができます。

WAFのセキュリティ ポリシーは、同じ自動化プロセスを使って既存のWAFインスタンスにも適用することができます。セキュリティ ポリシーは、シンプルなJavaScript Object Notation（JSON）ファイルとして定義できます。このファイルには、通常、GitHubなどのリポジトリにあるWAFポリシーの名前と場所へのポインタを含めることができます。