Chick-fil-A は自動化された Web アプリのセキュリティ対策でデジタルトランスフォーメーションのアセットを保護

課題

Chick-fil-A は、顧客満足度を向上させ、売上収益の成長を促す消費者向けモバイルアプリや Web アプリなど、自社のデジタルトランスフォーメーション戦略の重要なアセットを保護するために、柔軟かつ効果的に Web アプリケーションを保護できるセキュリティソリューションを求めていました。

顧客満足度の向上と Chick-fil-A の成長の両方を実現するには、顧客がモバイルアプリケーションやWebサイトを通じて食事を注文できることが不可欠です。しかし、パターンマッチングのルールセットに依存する従来型の WAF では、分散型ソフトウェアの設計とデプロイが中心となる開発ライフサイクルへの対応は困難でした。つまり、分散型アーキテクチャに簡単にインストール可能で、本番環境の一般向けアプリケーションに対するアカウント乗っ取り (ATO) などの攻撃も効率的に防止できる先進的な Web アプリケーションファイアウォールが必要になったのです。

「特定の SQL インジェクション文字列のようなパターンマッチングを利用したブロックモデルでは、将来的な脅威に対応できないことが明らかでした。Fastly の Next-Gen WAF はアプリケーション層でより多くのコンテキストや可視性を提供してくれるので、これまで以上に精度の高いブロックの判断が可能になり、不正な Web リクエストを阻止できます」 Robert Davis 氏、Director of Cybersecurity

ソリューション

Davis 氏率いるチームは、Web リクエストのブロックの判断に役立つ広範なコンテキストを提供し、デプロイも簡単に行えるという2つの理由から Fastly を選択しました。デプロイされた場所でコードを保護する分散エージェントモデルを採用している Next-Gen WAF はさまざまなインフラやアーキテクチャに対応可能です。さらに、Chick-fil-A のアプリケーションフットプリントは統合され、Amazon Web Services とマネージドデータセンターのハイブリッドになります。Next-Gen WAF は、こうしたハイブリッド環境における Web アセットの保護を可能にします。

Davis 氏は、Next-Gen WAF のデプロイの簡単さや、メンテナンスに必要な手間の少なさ、検出およびブロック機能により、Web アプリケーション攻撃に対する効率的な保護を、アプリケーションのパフォーマンスに悪影響を与えず、またソリューションのメンテナンスに専任スタッフを割り当てる必要なく実現できることに気づきました。

アプリケーションに悪影響を与えずに効果的なアカウント乗っ取り対策を実現
Fastly のエージェントは、Chick-fil-A のモバイルアプリと Web アプリにおける消費者向けユーザー認証フローを計測、観察します。これにより Chick-fil-A のエンジニアリングチームとセキュリティチームは、アプリケーションのパフォーマンスに悪影響を与えることなくアカウント乗っ取りの防止に必要な可視性を獲得でき、しかも従来型 WAF で必要となるルールのメンテナンスやチューニングも不要です。

あらゆるアーキテクチャのネットワークエッジに簡単にデプロイして使用
Fastly の Next-Gen WAF はあらゆるアーキテクチャにデプロイ可能です。さらに Davis 氏のチームは、Power Rules 機能によって、アカウント乗っ取りやその他の Web レイヤー攻撃を防ぐデフォルトの検出やブロック機能だけでなく、高度な保護をセルフサービスで実現できます。

Fastly は Chick-fil-A が運営する Web サーバー上で動作します (Apache、NGINX、Tomcat、IIS)。AWS 内では、Cloudfront CDN を API の前に配置して、Next-Gen WAF をネットワークエッジに導入し、アプリケーションのオリジンに到達する前に Web リクエストを確認して判断します。

あらゆる環境に対応可能な、将来性のある Web アプリケーションセキュリティ
Davis 氏のチームは、Fastly Next-Gen WAF の特許取得済みソリューションが備える分散性を活かすことで、本番環境のコードが動作する場所にエージェントを配置し、質の高い検査や判断を行いながら Web リクエストを計測、監視できるようになりました。Chick-fil-A は現在、AWS とデータセンターで別々にアプリケーションを実行していますが、今後は両方の環境で実行されるアプリケーションや API をデプロイする予定です。Next-Gen WAF は、ハイブリッド環境でこうした Web レイヤーアセットを保護します。

「Next-Gen WAF の実装と運用は素早く簡単に行えます。稼働までに要した時間はわずか5分でした。私たちの認証フローに合わせて Fastly のルールをいくつか変更しただけで、本番環境でアカウント乗っ取り試行を効率的にブロックできるようになりました」 Robert Davis 氏、Director of Cybersecurity