Firewall(WAF)ソリューション」の提供を開始した。同社の既存Webアプリケーションファイアウォール(WAF)の機能を拡張し、アプリケーションレイヤでの暗号化、ボット対策、クレデンシャルスタッフィング(パスワードリスト攻撃)対策など、高度化する脅威に対抗するための機能が新たに提供される。権田裕一氏は、「F5のソリューションは、マルチクラウドを前提としている。オンプレミス、プライベート/パブリッククラウドに加え、SalesforceなどのSaaS利用もマルチクラウドの一部としてとらえている。Controller)や、アプリケーションセキュリティのサービスを提供している。WAFも、そうしたセキュリティサービスの一部だ」と説明した。権田裕一氏F5が展開するマルチクラウドアプリケーションのソリューション。10」に列挙されているセキュリティリスクの防御、SSL/TLSで暗号化された通信の検査、スクリプティングによるアプリケーション攻撃の防御といった機能を提供してきた。今回“Advanced”WAFを提供するのは、Webアプリケーションを取り巻く環境の変化にあるという。セキュリティソリューションアーキテクトの谷村透氏は、「情報漏えい事故の38%はWebアプリケーションの脆弱性が原因となっており、Webアプリケーションを狙うサイバー攻撃も高度化している。マルチクラウド化やモバイルデバイスの普及などによってアプリケーションの利用環境も多様化しているため、新たなセキュリティ対策が必要になっている」と説明した。DDoS攻撃検知、API攻撃への防御といった機能が追加されている。WAFの機能の中でも、ボット対策およびクレデンシャルスタッフィングについて、具体的な機能を説明した。悪意あるボットは、DDoS攻撃、インジェクション攻撃、クレデンシャルスタッフィング、スクレイピングなどのサイバー攻撃の手段として用いられる。攻撃を受けた側は、サービス停止や情報漏えいなどさまざまな被害を受けるため、エンドポイントのセキュリティを強化したり、実際に攻撃された場合にはアクセスをブロックしたり、といった対策を講じている。そもそもボットは特定の目的のために繰り返し同じタスクを実行するソフトウェアであり、例えば価格調査など商用利用のための情報を収集するクローラや、サーチエンジンのクローラ、システム運用のための死活監視サービスなど、悪意のないボットからのアクセスもある。谷村氏は「ブラック(悪意のある)ボットと、ホワイト(問題のない)ボットのほかにも、どちらともいえないグレーなボットもある。どこまでを許容するかはビジネスの判断であり、これらのボットを見分けるとふるい分ける機能が必要」と述べる。ボットの種類や目的は悪意あるものだけではない。ボットからのアクセスを可視化・分類する必要がある。WAFのボット対策機能では、ボットシグネチャやクロスドメインのチェック、相手にJavaScriptを送るJSチャレンジ、キャプチャ送信、マウスやキーボードなど人の操作を確認するヒューマンチェックなど多角的な視野から、ボットの目的や悪意の有無を見分け、その種類によってどのように対応するかを判断してふるい分けることができる。ふるい分けの方法としては、アクセスのブロックやドロップ、レート制限、キャプチャの提示、別サーバーへの転送といった細かい対応を実行可能。正しいアクセスであれば影響はない。WAFでの成功事例として、海外の航空会社におけるボット対応の例を紹介した。サービスなどのボットによる過剰なアクセスが過負荷となり、正規ユーザーに対するレスポンスが低下していたという。WAFによるプロアクティブなボット対策を実施したところ、不要なボットからのリクエストを遮断大幅に遮断し、トラフィックを30%以上削減できたとのこと。通常の“クリーンな”アクセスに対するレスポンスも改善したという。クレデンシャルスタッフィング対策は「盗まれない技術」と「使わせない技術」クレデンシャルスタッフィングとは、不正に取得したクレデンシャル(ID/パスワードなどの認証情報)を悪用する一連のサイバー攻撃で、パスワードリスト攻撃やリスト型攻撃と呼ばれることもある。WAFのクレデンシャルスタッフィング対策機能は、クレデンシャルを「盗まれない対策」と、盗まれたクレデンシャルを「使わせない対策」の両方を提供する。attack)といった中間者攻撃を受けた場合でも通信内容の漏えいを防止する、などの機能が提供されている。谷村氏は「SSL通信を行っていれば中間者攻撃への対策が十分と思われがちだが、実際にはマルウェア感染などにより、情報が暗号化される前に盗まれることもある」と説明する。WAFによるアプリケーションレイヤの暗号化は、事前に指定したURLに「DataSafe」と呼ばれるJavaScriptを自動で挿入し、ID、パスワード、その他のパラメータなどを暗号化する。ブラウザから入力したデータがリアルタイムで暗号化されるため、マルウェアやキーロガーからもクレデンシャルを守ることができる。WAF内で復号化されるため、Webアプリケーションに対する変更は一切必要ない。アプリケーションレイヤの暗号化によって、クレデンシャルの漏えいを防止DataSafeによって、リアルタイムにパスワードが暗号化される盗まれたクレデンシャルを使わせない対策としては、前述のボット対策機能に加え、クレデンシャルスタッフィングDBによる振り分け機能が提供される。ダークWebに流通しているクレデンシャルリストなど、F5のリサーチチームが独自に収集した「辞書」(サブスクリプションで提供)を利用してなりすましを検知し、アクセスのブロックや別サーバーへの転送といった振り分けを行うことができる。盗まれたクレデンシャルを使わせないためには、プロアクティブなボット対策に加え、なりすましを検知してアクセスのブロックなどの対策を講じる必要がある。WAFでは、マルチクラウド環境のアプリケーション利用を包括的に保護する機能を提供する。サーバーの状態と負荷は継続的にモニタリングしており、レイヤ7を目標としたDDoS攻撃の検出と防御を自動的に行う。攻撃のパターンは機械学習と行動分析から動的に判定され、チューニングも状況に応じて自動的に実行されるという。APIやJSON、SOAP、AJAX、XML、WSDLAPIなどのAPIに対するブルートフォースやDoS攻撃に対応する。WAFは、オンプレミスに設置する物理アプライアンス、プライベート/パブリッククラウドで利用する仮想アプライアンス、そしてクラウドベースのサービスである「WAFaaS(WAF-as-a-Service)」から提供される。これらはすべて同じエンジンで提供されており、どの環境でも同じセキュリティ機能が提供できるようになっている。WAFを導入する際にはライセンスの切り替えが必要になる。ライセンスはパーペチュアル(買い切り)、サブスクリプションなど提供形態に応じた利用ができるという。WAFの提供開始に伴うビジネス目標について権田氏は、「来年度のWAF売上を現状の2倍にしたい」と意気込みを示した。