仮想パッチは防御の第一線
フロンティアAIは、脆弱性が開示される前に、それを実際に機能するエクスプロイトへと変える可能性があります。F5を活用することで、企業は仮想パッチにより実行時にエクスプロイトをブロックし、パッチの作成、テスト、展開に必要な時間を確保できます。
脆弱性情報の公開前にエクスプロイトが出現する時代へ
フロンティアAIは、CVEが公開される前に脆弱性を実際に機能するエクスプロイトへと変えます。公開時点を基準にすると、脆弱性の発見からエクスプロイトの作成までの時間は、今やマイナスです。数分で構築される攻撃を、数週間かかるパッチ適用サイクルで阻止することはできません。仮想パッチにより、ランタイムが主要な防御線となり、開発者が安全にコードを修正する間も、データパス上でエクスプロイトをブロックします。
ランタイムでエクスプロイトをブロック
脆弱なコードに到達する前に、アプリケーション層でNデイ攻撃やゼロデイ攻撃を阻止します。
スキャン結果をポリシー適用に活用
脆弱性の検出結果をWAFポリシーと連携し、わずか数分で仮想パッチを適用できます。
闇雲ではなく、確信を持ってブロック
AIを活用したリスクスコアリングにより、誤検知率を28%から1%に低減し、ブロッキングモードへの移行を迅速化します。
ほぼどこにでもパッチを適用
クラウド、オンプレミス、エッジ、エアギャップ環境全体に一貫した保護を適用します。
数週間に及ぶ無防備な状態から、わずか数分で保護へ
仮想パッチにより、脆弱性の発見から恒久的な修正までの空白を埋める
仮想パッチがなければ、脆弱性が発見されるたびに、時間との競争が始まります。コードの修正が開発、テスト、デプロイの各工程を進む間、エクスプロイトが数週間にわたって本番環境で悪用可能な状態になることがあります。F5なら、仮想パッチによってエクスプロイトの試みを数分で無力化できるため、アプリケーションを保護したまま、開発者は時間に追われることなく、標準の変更管理プロセスに従ってコードを修正できます。
F5がどのように支援するか
APIの可視性におけるギャップ
APIの可視性ギャップ
未検出のものに仮想パッチを適用することはできません。F5 Web App ScanningとF5 API Security for Distributed Cloudは、存在や外部からの到達可能性を把握できていなかったアプリ、API、脆弱性を継続的に検出し、その結果を直接ポリシー適用に反映します。エアギャップ環境やデータ主権への対応が必要な場合は、F5 API Security Local Editionにより、同等のAPI検出機能を完全なオンプレミス環境で利用できます。
パッチ適用がエクスプロイトに追いつかない場合
エクスプロイトへのパッチ対応が追いつかないとき
フロンティアAIは、脆弱性が公開される前に、それを実際に機能するエクスプロイトへと変える可能性があります。一方、変更管理プロセスの下では、コードの修正、テスト、デプロイに数週間かかることがあります。F5は、脆弱性がエクスプロイトに悪用されるまでのギャップをランタイムで保護します。F5 Distributed Cloud Web App Scanningの結果はF5 WAF for BIG-IPに直接送られ、エクスプロイトに対する仮想パッチ用のシグネチャを特定します。また、その結果はF5 WAF for Distributed Cloudに適用して保護に活用できます。F5 WAF for Distributed Cloudは、対象を絞った仮想パッチを数分で適用し、シグネチャが存在する前でも既知およびゼロデイの攻撃を阻止します。
ブロッキングモードのジレンマ
ブロッキングモードのジレンマ
誤検知や見逃しが多発すると、ブロッキングモードは、阻止する攻撃そのものよりもリスクが高いと感じられます。そのため、WAFは監視モードのまま運用されがちです。F5 WAF for Distributed CloudのAI搭載リスクエンジンは、すべてのリクエストをリアルタイムでスコアリングし、誤検知率を28%から1%に低減します。これにより、正規ユーザーに影響を与えることなく、SecOpsは確信を持ってより早期にブロックできます。
主権要件に対応したアプリとエアギャップ環境のアプリ
主権要件に対応したエアギャップ環境のアプリ
主権および規制上の要件により、最も重要なワークロードはエアギャップ環境または国内に維持する必要があります。一方、最新のセキュリティの多くは、許可できないクラウド接続を前提としています。F5 WAF for BIG-IP、F5 API Security Local Edition、F5 Threat Campaignsは、ローカル制御、一貫したポリシー、外部通信を一切行わない仮想パッチ適用を備え、完全オンプレミスのWAAP環境を提供します。
注目のトピック
リソース
ブログ
最新ニュース
ホワイトペーパー
よくあるご質問
仮想パッチは、恒久的なコード修正を導入する前に、既知または疑わしい脆弱性を悪用しようとする試みを実行時にブロックするセキュリティ制御です。アプリケーション自体を変更するのではなく、通常はWAFを使用して、アプリケーションデリバリーレイヤーのデータパス上で仮想パッチを適用するため、脆弱なコードに悪用を試みるトラフィックが到達することはありません。これにより、開発者が標準の変更管理プロセスに従って恒久的な修正を開発、テスト、リリースする間も、アプリケーションを保護できます。
従来のパッチ適用ではアプリケーションコードを変更するため、開発、テスト、デプロイの各工程を経る必要があり、通常は数週間を要します。仮想パッチは、トラフィックがアプリケーションに到達するポイントで保護を即座に適用します。この2つは相互に補完するものです。仮想パッチは、コード修正に代わるものではありません。脆弱性の発見から恒久的な修正までの空白期間に、アプリケーションを保護するための制御策です。
最先端のAIモデルは、CVEが公開される前に脆弱性を発見し、実際に機能するエクスプロイトへと変換できます。公開時点を基準にすると、脆弱性の発見からエクスプロイトの出現までの期間は、すでにマイナスになっています。悪用が公開に先行し得る状況では、シグネチャ、アドバイザリ、パッチサイクルを待つ防御策は後手に回ります。そのため、仮想パッチによるランタイムでの適用が、主要な防御線となります。
F5は、アプリケーションやAPIが実際にトラフィックを受信するデータパス上のアプリケーションデリバリーレイヤーで、仮想パッチを適用します。F5 Distributed Cloud Web App Scanningは対象のアプリケーションを個別にテストし、検出結果をF5 WAF for BIG-IPに直接送信するとともに、F5 WAF for Distributed Cloudと連携します。そのため、各仮想パッチは、汎用的なネットワークレベルのコンテンツフィードではなく、実際の露出状況に応じて精密に適用されます。
F5は、F5 WAF for Distributed Cloudにおいて、仮想パッチとAIを活用したリスクスコアリングを組み合わせています。リアルタイムの機械学習による分類とニューラルネットワークベースのリスクエンジンを用いて、すべてのリクエストを評価します。これにより、誤検知率を28%から1%に低減し、正当なトラフィックやアプリケーションの可用性を損なうことなく、セキュリティチームはより早くアクティブブロッキングモードへ移行できます。
はい。F5 WAF for BIG-IP、F5 API Security Local Edition、F5 Threat Campaignsを組み合わせることで、APIディスカバリや仮想パッチの適用を含む、完全オンプレミスのWAAP環境を実現できます。分析と管理はローカルで行われ、クラウドには依存しません。これにより、デジタル主権の確保や、ワークロードから外部への接続が許可されない規制の厳しい環境への対応を支援します。