自動スケール可能なセキュリティツールで本番環境のアプリケーションを保護している Betterment の CI/CD パイプライン

Betterment は、CI/CD パイプラインにおける本番環境アプリケーションのセキュリティを自動スケールさせるため、Fastly Next-Gen WAF を採用しています。

課題

Betterment は顧客の個人を特定できる情報と金融資産を保護するために、継続的なシグネチャのチューニングが不要で、パフォーマンスに影響を与えることなく自動的にスケーリングし、攻撃をブロックできるソリューションを必要としていました。

Betterment は、運用資産が140億 USD を超えるオンライン・ファイナンシャル・アドバイザリー企業であり、同社のオンラインプラットフォームにアクセスする38万人超の顧客基盤をサポートするために、継続的な統合とデプロイ (CI/CD) パイプラインを通じて毎日多数の Web サーバーを稼働させています。
ユーザーアカウントの安全性を維持する上で、ユーザーアカウントが攻撃を受ける可能性や、攻撃のタイミングと方法を把握することが重要です。Next-Gen WAF を実装する以前、Betterment のエンジニアリングチームとセキュリティチームにとっての最大の懸念は、(従来の WAF での過去の経験から) 誤検知の多さでした。同チームは、サポートへの問い合わせ件数や、エンジニアリングチームやセキュリティチームの作業負担を増やすことなく、自動的にスケーリングして正確に攻撃をブロックできる WAF を必要としていました。

ソリューション

Next-Gen WAF を導入して以来、デプロイと更新を自動化し、パフォーマンスを損なうことなくデータに基づいたインサイトをすばやく得られるようになり、Betterment のセキュリティチームの作業負荷が軽減されました。

自動的なスケールアップが可能な Web 防御

Next-Gen WAF をプロビジョニングする際に、新しいアプリケーションインスタンスで Next-Gen WAF のモジュールとエージェントが CI/CD パイプラインの一部として自動的にインストールされるようにするために、Betterment のオペレーションチームはシンプルな Ansible プレイブックを作成しました。「インストールや更新のための手動操作は一切不要でした」と、Betterment で Lead Security Engineer を務める Anson Gomes 氏は述べています。元セキュリティコンサルタントの Gomes 氏が以前、ネイティブにスケーリングできないレガシーの WAF をテストした際、すべてのアプリケーションサーバーに WAF インスタンスを新たにデプロイする必要があったため、コストと複雑さが増大し、管理する時間の余裕もありませんでした。

サイトのサービスレベル合意書 (SLA) を維持しながらカバレッジを向上

Betterment のチームは、導入後すぐに利用でき、悪意のあるリクエストをブロックできる Next-Gen WAF の堅牢なセキュリティカバレッジに感銘を受けました。Next-Gen WAF によってアプリケーションのパフォーマンスや可用性に影響を与えたり、Betterment の攻撃対象領域が拡大したりすることがないという事実も大きなメリットでした。情報を可視化する使いやすいダッシュボードにより、検出された脆弱性を明確にして各担当チームに報告することで、迅速な修正が可能になります。

また、Next-Gen WAF を通じて、オペレーションチームもさらなる可視性を得ることができました。ダッシュボードに表示された標準スキャンの結果から、アラートシステムの調整とアプリケーションの動作の修正に使用された不明なサービスや誤設定が明らかになりました。

カスタマイズ可能な権限ルールによりセキュリティとコンプライアンスを確保

Betterment は、実装後すぐに悪意のあるトラフィックを自動ブロックする検知機能に加え、Power Rule を利用して同社独自のアプリケーションロジックに対する攻撃を防ぎ、金融データの安全性を維持しています。例えば同社では、API に対する不正アクセスを定義および監視し、リクエストの送信元の情報に基づいてアクセスを制限することで攻撃をブロックできます。また、ダッシュボードのドロップダウンメニューで簡単に設定できる、アカウント乗っ取り (ATO) 防止のための Power Rule を活用し、ユーザーアカウントの侵害防止に役立てています。