世界トップクラスの無料学習アプリとして名高い Duolingo アプリは35言語のレッスンを提供しています。オンラインで言語を学ぶ方法として非常に人気が高く、世界で最も多くダウンロードされている言語学習アプリとして、現在も成長を続けています。2024年9月の時点で、Duolingo は月間アクティブユーザー数が1億1,310万人、デイリーアクティブユーザー数は3,720万人に達し、それぞれ前年比36％増、54％増となりました。

大手オンライン教育アプリが Fastly を活用してサイトのレジリエンスを構築し、セキュリティを簡素化

課題

Duolingo を利用する月間1億1,300万人のアクティブ受講者は、学習が妨げられたり、連続する学習が途切れたりするダウンタイムが生じることなく言語を簡単に楽しく学べるアプリとして、同社のアプリに信頼を置いています。Duolingo のプラットフォームセキュリティ担当シニアエンジニアリングマネージャーである Matt Brandman 氏が実感したように、DDoS 攻撃が頻繁に発生し、多大なコストがかかっていました。「最初の2週間は、絶え間ない火消し作業に追われました。顧客への影響に加えて、エンジニアリング作業のコストも増加しました。1回の DDoS 攻撃が5つの異なる問題を引き起こし、エンジニアリング作業に数十時間費やされることもありました」と同氏は語ります。

Duolingo での Brandman 氏のセキュリティへのアプローチは、システムレベルのソリューションとチーム教育に重点を置いているため、同氏は開発者の負担を軽減し、サイトのレジリエンスを実現するエッジセキュリティソリューションの導入を求めていました。「エンジニアリングリーダーとして、私は開発者体験とセキュリティ体験の相互作用を非常に重視しています。Fastly のおかげで、開発者との信頼関係をより簡単に築けるようになりました」(Brandman 氏)。

Duolingo は、ベンダーが突然サービスを停止するという苦い経験を何度か経た後、顧客を長期間サポートしてきた実績があり、利便性と応答性の高いコミュニケーションチャネルを提供し、緊急のインシデントの発生時にも安心して頼れるセキュリティ専門家を擁するパートナーを求めていました。

ソリューション

Fastly は、Duolingo が必要とする開発者の生産性強化、信頼性、レジリエンスを提供します。「1週間以内に Next-Gen WAF は本番環境で稼働して多くのトラフィックを遮断し、DDoS 攻撃を大幅に減らすことができました」と Brandman 氏は述べています。

プラットフォームのレジリエンスがイノベーションを生む柔軟性をもたらす

Duolingo の開発者は、Fastly のエッジで稼働する Next-Gen WAF で保護されていることを認識しているため、より迅速にサービスをデプロイできます。「必要に応じてレート制限をかけられることがわかっているので、より早くサーバーを立ち上げることができます。また、Fastly がしっかりと役割を果たし、サービスを保護してくれるので、インシデントによって夜中に起こされることもありません」と Brandman 氏は語っています。

四半期ごとに何百ものテストを実施する DevOps カルチャーを持つ Duolingo は、開発者のテストが予期せぬ事態に陥った場合にも、Next-Gen WAF がレジリエンスを提供することを確認しています。「一部の開発者は、私たちがレート制限をかけていると思ったほどでした。実際には、彼らのテストによって、何万ものリクエストが送信されていたことが判明し、内部のミスでサイトがダウンするのを防ぐことができたのです」(Brandman 氏)。

可視性によりエンジニアリング作業時間を大幅に削減

Fastly によって解決できる Duolingo のもう一つの重要な課題は可視性です。これにより Duolingo は、セキュリティインシデントに迅速に対応できます。「Fastly ダッシュボードにより、あるサービスに一度に500万件のリクエストが集中していることを可視化して把握できるため、障害が発生した理由がすぐにわかります」と Brandman 氏は述べています。「エンジニアリング企業にとって最大のコストは開発時間です。30人のエンジニアが3時間かけて1つの問題のトラブルシューティングを行うコストに比べれば、ツールのコストなど取るに足りません。Fastly を導入したおかげで、問題解決にかかるエンジニアリング作業時間はせいぜい2〜3 時間に抑えられています。1人または2人のエンジニアがすぐに対応にあたり、変更を加えて本番環境へプッシュするだけです。コスト削減効果は目に見えて明らかであり、Fastly の最大のメリットのひとつです」(Brandman 氏)。

きめ細かなコントロールにより、便利な継承機能を活用してセキュリティを微調整

パスによって求められるセキュリティアプローチが異なるため、Brandman 氏のチームはルールを精密にカスタマイズできる機能を高く評価しています。ログインパスにはより強力な保護が必要だと同氏は言います。「1秒あたり2,000件もの不正なログインを許可したくはありません。列挙の試行につながるためです。Next-Gen WAF では、防ぐべき動作を非常に細かく指定できます。たとえば、過去1秒間に30回ログインに失敗した場合、それは実際のユーザーではない可能性が高いため、数分間ペナルティボックスに移します。IP アドレスが頻繁に入れ替わり、数多くのプロキシが存在することを考慮すると、ペナルティボックスはアクセス禁止よりもはるかに優れたアプローチです」(Brandman 氏)。

Brandman 氏はさらに、Next-Gen WAF をモニタリングモードにしてトラフィックに一致するかどうかを確認し、ブロックモードを有効にする前に、すべてのトラフィックをブロックしてしまわないことを確認できるのも非常に便利だと述べています。「ヘッダーのユーザーエージェント情報に基づいて、パスごとにこれを行うことさえ可能です。パス上で特定のユーザーエージェントをブロックすることで、より大規模な修正を実装するための時間を確保できます」(Brandman 氏)。さらに強力なのは、シグナルを組み合わせてより大規模なルールを作成できることです。「Next-Gen WAF で特に気に入っている機能のひとつは、柔軟に組み合わせて構成できる点です」と Brandman 氏は語ります。「時間をかけて、古いユーザーエージェントのような基礎的なシグナルを構築してきました。それ自体は警告シグナルではないかもしれませんが、古いバージョンのアプリから10回のログイン失敗を伴う古いユーザーエージェントが検出された場合、新しいアプリバージョンのユーザーエージェントよりも長いタイムアウトを強制することが望ましいかもしれません。Fastly なら、簡単にこの種のルールを調査して理解し、レビュー済みの変更も容易にできます」(Brandman 氏)。

セキュリティ自動化のメリットとハンズオン管理の柔軟性

Duolingo は、自動化されたセキュリティツールのメリットだけでなく、さまざまな攻撃に直面する顧客を保護する中で Fastly のセキュリティ専門家が培ってきた知見も活用しています (他の顧客がどのような攻撃を経験しているか、特定の業界でどのような傾向が見られるか、どの攻撃ベクトルが増加しているかなど)。Fastly は、Duolingo のログを定期的に確認し、自動機能では把握できないトレンドを、緊急レベルに達する前に特定します。これにより、Duolingo はインシデントを防止できます。また、社内チームに手助けが必要なときは、Response Security Service がサポートに乗り出します。「Next-Gen WAF の導入初期段階において、私たちはサイバー・セキュリティ・オペレーションセンター（CSOC）と実装チームとも連携を図りました。私たちが解決策を見出していく中、彼らは常に歩調を合わせて協力してくれました」と Brandman 氏は述べています。

Brandman 氏は、Fastly が時間をかけて顧客を理解するため、すべてのインタラクションが素晴らしいエクスペリエンスをもたらすと述べています。「Fastly には非常に知識が豊富な技術チームがあり、私たちの技術スタックを実に良く理解してくれています。CSOC 宛にチケットを起票すると、通常、数分で返事が返ってきます。また、彼らは単にダッシュボードを見るだけでなく、スクリプトを作成してトラフィックを分析します。何を試すべきかについて、当社のスタックに特化した的確な質問や貴重なアドバイスをくれます。また、インシデントが発生し、他の全員の手が塞がっているときにも、必要なサポートを提供してくれます」(Brandman 氏)。

重要なポイント

Duolingo は、レジリエンスとイノベーションの両方をサポートする長期的なセキュリティパートナーを見つけました。強力なパートナーシップと専門性の高いアプローチは、保護対策の強化、安心感の醸成、業務への集中、そして開発者のイノベーションにつながります。「セキュリティや CDN のパートナーを検討する際は、一緒に仕事をするチームの質を見極め、長期にわたって自分たちの組織のペースに合わせたサポートを継続できるかどうかを確認する必要があります。彼らはバックボーンであり、防御の最前線で守ってくれます。強い関係を築くことで、何年にもわたってその恩恵を受けられます。私たちが Fastly とのパートナーシップに辿り着いたのは、こうした理由からです」と Brandman 氏は締めくくっています。