自動スケール可能なセキュリティソリューションでプロダクションアプリケーションを保護している Betterment の CI/CD パイプライン

Betterment は、CI/CD パイプラインにおいて自動スケール可能なセキュリティソリューションによってプロダクションアプリケーションを保護するために、Fastly Next-Gen WAF  を採用しています。

課題

Betterment はお客様の個人情報 (PII) と金融資産を保護するために、継続的なシグネチャのチューニングが不要で、パフォーマンスに影響を与えずに自動的にスケーリングし、攻撃をブロックできるソリューションを必要としていました。

運用資産が140億米ドルを超えるオンライン・ファイナンシャル・アドバイザリー企業の Betterment は、同社のオンラインプラットフォームにアクセスする38万人超の顧客基盤をサポートするために、継続的インテグレーション/継続的デプロイメント (CI/CD) パイプラインを通じて毎日多数の Web サーバーを稼働させています。
ユーザーアカウントの安全性を維持する上で、ユーザーアカウントが攻撃を受ける可能性や、攻撃のタイミングと方法を把握することが重要です。Next-Gen WAF を実装する以前、Betterment のエンジニアリングチームとセキュリティチームにとっての最大の懸念は、(従来型の WAF を使用した過去の経験から) 誤検知の多さでした。同チームは、サポートへの問い合わせ件数やエンジニアリング/セキュリティチームの作業負担を増やすことなく、自動的にスケーリングして正確に攻撃をブロックできる WAF を必要としていました。

ソリューション

Next-Gen WAF を導入して以来、デプロイと更新を自動化し、パフォーマンスを損なうことなくデータに基づいたインサイトをすばやく得られるようになり、Betterment のセキュリティチームの作業負荷が軽減されました。

自動的なスケールアップが可能な Web 防御

Next-Gen WAF をプロビジョニングする際に、新しいアプリケーションインスタンスで Next-Gen WAF のモジュールとエージェントが CI/CD パイプラインの一部として自動的にインストールされるようにするために、Betterment の運用チームはシンプルな Ansible の Playbook を作成しました。「インストールや更新のための手動操作は一切不要でした」と、Betterment で Lead Security Engineer を務める Anson Gomes 氏は述べています。元セキュリティコンサルタントの Gomes 氏が以前、ネイティブにスケーリングできない従来型の WAF をテストした際、すべてのアプリケーションサーバーに WAF インスタンスを新たにデプロイする必要があったため、コストと複雑さが増大し、管理する時間の余裕もありませんでした。

サイトのサービス品質保証 (SLA) を維持しながらカバレッジを向上

Betterment のチームは、導入後すぐに利用でき、悪意のあるリクエストをブロックできる Next-Gen WAF の堅牢なセキュリティカバレッジに感銘しました。アプリケーションのパフォーマンスや可用性を損なわず、Betterment の攻撃対象領域を拡大しないことも Next-Gen WAF のメリットです。情報を可視化する使いやすいダッシュボードにより、検出された脆弱性を明確にして各担当チームに報告することで、迅速な修正が可能になります。

また、Next-Gen WAF を通じて、運用チームもさらなる可視性を得ることができました。ダッシュボードに表示された標準スキャンの結果から、アラートシステムの調整とアプリケーションの動作の修正に使用された不明なサービスや誤設定が明らかになりました。

カスタマイズ可能な権限ルールによりセキュリティとコンプライアンスを確保

Betterment は、実装後すぐに悪意のあるトラフィックを自動ブロックする検出機能に加え、Power Rule を利用して同社独自のアプリケーションロジックに対する攻撃を防ぎ、金融データの安全性を維持しています。例えば同社では、API に対する不正アクセスを定義および監視し、リクエストの送信元の情報に基づいてアクセスを制限することで 攻撃をブロックできます。また、ダッシュボードのドロップダウンメニューで
簡単に設定できる、アカウント乗っ取り (ATO) 防止のための Power Rule を活用し、ユーザーアカウントの侵害防止に役立てています。