WAF Simulator : DevSecOps ワークフローの変革

柔軟性に優れたデプロイ

すべてはデプロイから始まります。Fastly はさまざまなインストールとデプロイのオプションをサポートしています。インフラに依存せず、コンテナや Kubernetes、サービスメッシュのような最新のインフラと統合します。また、API ゲートウェイやエッジのようなネットワークエレメントとも統合可能です。こうした統合機能は、オンプレミスとクラウド両方に存在するアーキテクチャ全体にわたり、Web アプリと APIトラフィックの分散コレクションをサポートします。Fastly のお客様のほとんどが、現在すでにこれらのデプロイを自動化しています。

責任共有モデル

「責任共有」モデルはセキュリティに対する最新のアプローチです。従来のサイロ化思考は今後、配信プロセスの各段階におけるセキュリティタスクに対する責任共有型の考え方に変わっていくでしょう。これには構築したサービスの WAF ルールセットやアラートの管理も含まれます。

Fastly の Next-Gen WAF (NG-WAF) は、責任共有モデルを想定して構築されています。セキュリティチームや管理者は組織 (企業) レベルの俯瞰的なガバナンスの実現が可能になり、各サイト向けに一元的に確立されたポリシーやルールセットを作成できます。これにより、管理者が包括的な可視性を維持しつつ、チームは構築したアプリやサービスのルールセットを構成、管理できるようになります。

Terraform のサポート

Fastly の NG-WAF は API ファーストのアプローチを採用して構築されているので、従来は管理コンソールで手動で実行していたタスクを自動化できるようになりました。その一例として、Terraform プロバイダーの使用が挙げられます。Terraform は HashiCorp が提供する IaC (Infrastructure as Code) です。これは、DevOps チームがインフラタスクを自動化する際に利用するなかで最も人気のツールのひとつです。ここには AWS や GCP、Azure などのリソースが含まれます。同ツールは、プロバイダーの API を介してインフラリソースのプロビジョニングや更新、破棄を行うために利用されます。

例えば、さまざまな種類のアプリケーションを多数有するお客様は、数百から数千のサイトを管理する場合があります。それらの各サイトで多くのカスタム WAF ルールセットやリスト、シグナルが必要になることもあり、そうなると管理が困難になります。そこで Terraform を使用すると、バージョン管理が可能な構造化された方法でこうした設定の管理が可能になり、WAF の管理に要する時間やリソースを削減できます。

図4は機密性の高いアカウントの API エンドポイントリストのパスを含むリクエストを照合し、タグ付けする Terraform サイトルールの例です。

resource "sigsci_site_rule" "sensitive_account_api" { 
 site_short_name = var.site_name 
 type = "request" 
 group_operator = "all" 
 requestlogging = "sampled" 
 enabled = true 
 reason = "monitor sensitive account api endpoints" 
 expiration = "" 
 
 conditions { 
 type = "single" 
 field = "path" 
 operator = "inList" 
 value = sigsci_site_list.sensitive_account_api.id 
 } 
 
 actions { 
 type = "addSignal" 
 signal = sigsci_site_signal_tag.sensitive_account_api.id 
 } 
}

WAF Simulator

ルールが作成されたら、ルールが想定通りに機能することを検証するのがベストプラクティスでしょう。ルール検証は、WAF が保護しているアプリケーションが変化しても、WAF を長期にわたり適切に機能させるためにも重要な作業です。新しいルールの追加や既存ルールの変更、WAF が保護しているアプリケーションへの変更を行う場合、こうしたルール検証は、それらの変更が保護を弱体化する新たなバグやリグレッションを発生させないことを確認するのに役立ちます。また、多くの組織はコンプライアンス要件の順守を求められるので、定期的な検証の実施を通じて、組織が必要な基準を満たしていることを証明することもできます。 

Fastly の WAF Simulator によって、お客様は検証を実施する際に別のシステムやツールに切り替えずに、API に対してルールを直接検証することが可能になります。お客様はユーザーコンソール内でルールを検証することも、API を活用して CI/CD パイプラインに統合することもできます。図5は、機密性の高いアカウントの API エンドポイントリストのパスを含むリクエストを照合し、タグ付けするサイトルールをコンソールで検証している図です。

統合機能

サードパーティーとの統合は、DevSecOps ワークフローの重要なポイントです。コンテキストの切り替えやダッシュボードの管理の手間が減少すると、チームの生産性は向上します。ワークフロー内には複数のツールやサービスが存在している場合が多く、サードパーティーとの統合はそれらのツールやサービスの連携に役立ちます。これにはイベントの追跡や管理を確実に実行するための通知やチケット、NG-WAF のログを SIEM に取り込むための統合などが含まれます。NG-WAF のログには攻撃の試行や既知の脅威、疑わしいアクティビティの情報が含まれており、以下の図6のようにセキュリティインシデント対策の強化に活用できます。組織によっては、セキュリティ脅威の特定と対応、異常の検出、フォレンジック調査の実行をより簡単に行える SIEM にデータを一元化することを望む場合もあります。

DevSecOps ワークフローの自動化

NG-WAF は DevOps や DevSecOps の専門家たちを意識して設計されています。NG-WAF の主要な機能により、CI/CD パイプラインに自動化されたワークフローを組み込むことが可能になり、多様なテクノロジースタックとの互換性も得られます。ここには、ルールのプロビジョニングに Terraform を利用する自動デプロイメント、WAF Simulator によるルールの継続的な検証、管理コンソールや任意のサードパーティーツールを活用したエンドツーエンドの可視化などが含まれます。

デプロイからルール検証、包括的なモニタリングに至るまで、Fastly の NG-WAF はセキュリティを強化し、管理を簡素化することで、急速な変化を遂げるデジタル環境においてお客様が今後も堅牢でセキュアなサービスを提供し、業界をリードし続けられるようサポートします。NG-WAF がお客様のビジネスにもたらすメリットにご興味がおありですか？ Fastly を活用して DevOps に適したセキュリティの向上を実現しましょう。

関連リソース :

• WAF のコスト削減に役立つ重要な3つのポイント

• あらゆる場所で API を保護

• マルチレイヤーセキュリティのための AppSec ガイド