The Duolingo app は世界最高の無料学習アプリであり、35言語の学習を提供しています。言語をオンラインで学ぶ方法として最も人気があり、世界中で最もダウンロードされている言語学習アプリで、現在も成長し続けています。2024年9月の時点で、Duolingo は月間アクティブユーザー数が1億1,310万人、デイリーアクティブユーザー数は3,720万人に達し、それぞれ前年比36％増、54％増となりました。

大手オンライン教育アプリが、Fastly を活用してサイトのレジリエンスを構築し、セキュリティを簡素化

課題

Duolingo を利用する月間1億1,300万人のアクティブ受講者は、学習が妨げられたり、連続する学習が途切れたりするダウンタイムが生じることなく言語を簡単に楽しく学べるアプリとして、同社のアプリに信頼を置いています。Duolingo のプラットフォームセキュリティ担当シニアエンジニアリングマネージャーである Matt Brandman 氏が実感したように、頻繁に DDoS 攻撃が発生し、多大なコストがかかっていました。「最初の2週間は、絶え間ない火消し作業に追われてしまいました。顧客への影響に加えて、エンジニアの工数コストも増加していました。1回の DDoS 攻撃が5つの異なる問題を引き起こし、数十時間ものエンジニアリング時間が費やされることもありました」と同氏は語ります。

Duolingo における Brandman 氏のセキュリティへのアプローチは、システムレベルのソリューションとチーム教育に重点を置いているため、同氏は開発者の負担を軽減し、サイトのレジリエンスを実現するエッジセキュリティソリューションの導入を求めていました。「私はエンジニアリングリーダーとして、開発者体験とセキュリティ体験の相互作用を非常に重視しています。Fastly のおかげで、開発者との信頼関係をより容易に築けるようになりました」

Duolingo は、ベンダーが突然サービスを停止するという苦い経験を何度か経た後、顧客を長期間サポートしてきた実績があり、利便性と応答性の高いコミュニケーションチャネルを持ち、緊急のインシデントの発生時にも安心して頼れるセキュリティ専門家を擁するパートナーを求めていました。

ソリューション

Fastly は、Duolingo が必要とする開発者の生産性、信頼性、レジリエンスを提供します。「Next-Gen WAF」は本番環境で稼働し、十分なトラフィックを遮断したため、1週間もかからずに DDoS 攻撃を大幅に減らすことができました」と Brandman 氏は述べています。

プラットフォームのレジリエンスにより、イノベーションを実現する柔軟性が生まれます

Duolingo の開発者は、Fastly のエッジ上の Next-Gen WAF で保護されていることを認識しているため、より迅速にサービスをデプロイできます。「必要に応じてレート制限を設定できることがわかっているので、サーバーをより迅速に立ち上げることができます」と Brandman 氏は述べています。「また、Fastly がしっかりと業務を遂行してサービスを保護するため、インシデントによって夜中に起こされることもありません。」

四半期ごとに何百もの実験を実施する DevOps カルチャーを持つ Duolingo は、開発者の実験が暴走した際にも Next-Gen WAF がレジリエンスを提供することを確認しています。「一部の開発者は、私たちが彼らにレート制限を行っていると思ったほどでした。実際には、彼らの実験によって、私たちに何万ものリクエストが送信されていたことが判明したのです。そのため、内部のミスでサイトがダウンするのを防ぐことができたのです。」

可視性により数時間ものエンジニア工数を削減

Fastly が Duolingo のために解決しているもう一つの重要な課題は可視性です。これにより Duolingo は、セキュリティインシデントに迅速に対応できるようになっています。「Fastly ダッシュボードにより、サービスに一度に500万件のリクエストが集中した状況を可視化して把握できるため、障害が発生した理由がすぐにわかるようになっています」と Brandman 氏は述べています。「エンジニアリング企業にとって最大のコストは開発時間です。30人のエンジニアが3時間にわたって問題のトラブルシューティングを行う手間と比べれば、ツールのコストなどほとんど無視できるほどわずかなものです。Fastly を導入したおかげで、問題解決にかかるエンジニアの工数はせいぜい 2〜3 時間に抑えられています。1 人または 2 人のエンジニアが対応にあたり、変更を加えて本番環境へプッシュするだけです」「コスト削減効果は目に見えて明らかであり、Fastly の最大のメリットの一つです」と彼は述べています。

きめ細かなコントロールにより、便利な継承機能を活用してセキュリティを微調整

パスによって求められるセキュリティアプローチが異なるため、Brandman 氏のチームではルールを詳細にカスタマイズできる機能が高く評価されています。ログインパスにはより強力な保護が必要だと彼は言います。「1秒あたり2,000件もの不正なログインを許可したくはありません。列挙の試行につながるためです。Next-Gen WAF を使用することで、防ぐべき動作を非常に細かく指定できます。たとえば、過去1秒間に30回ログインに失敗した場合、それは実際のユーザーではない可能性が高いため、数分間ペナルティボックスに配置します。IP アドレスが頻繁に入れ替わり、数多くのプロキシが存在することを考慮すると、ペナルティボックスはアクセス禁止よりもはるかに優れたアプローチです。」

Brandman 氏はさらに、Next-Gen WAF をモニタリング状態にしてトラフィックに一致するかどうかを確認し、ブロックモードを有効にする前に、すべてのトラフィックをブロックしてしまわないことを確認できるのも非常に便利だと述べています。「ヘッダーベースのユーザーエージェントに基づいて、パスごとにこれを行うことさえ可能です。パス上で特定のユーザーエージェントをブロックすることで、より大規模な修正を実装するための時間を確保できます。」さらに強力なのは、シグナルを組み合わせてより大規模なルールを作成できることです。「Next-Gen WAF で特に気に入っている機能の1つは、柔軟に組み合わせて構成できる点です」と Brandman 氏は語ります。「時間をかけて、古いユーザーエージェントのような基礎的なシグナルを構築してきました。それ自体は警告シグナルではないかもしれませんが、古いバージョンのアプリから10回のログイン失敗を伴う古いユーザーエージェントが検出された場合、より新しいバージョンのアプリよりも長いタイムアウトを強制することがあります。Fastly なら、この種のルールを簡単に調査、理解し、レビュー済みの変更も容易にします。」

セキュリティ自動化のメリットと柔軟なハンズオン管理

Duolingo は、自動化されたセキュリティツールのメリットだけでなく、さまざまな攻撃に対処する顧客を保護することによって構築された Fastly のセキュリティ専門家の知識 (他の顧客が経験したこと、特定の業種で観測されたこと、増加傾向にある攻撃ベクトルなど) を活用しています。Fastly は、Duolingo のログを定期的に確認し、自動機能では把握できないトレンドを緊急レベルに達する前に特定します。その結果、Duolingo はインシデントを防止します。また、社内チームに手助けが必要なときは、Response Security サービスがサポートに乗り出します。「Next-Gen WAF の導入初期段階において、私たちはサイバーセキュリティオペレーションセンター（CSOC）と実装チームを同時に関与させました。私たちが解決策を見出していく中、彼らは常に歩調を合わせて協力してくれました」と Brandman 氏は述べています。

Brandman 氏は、Fastly が時間をかけてお客様を理解してくれるため、すべてのインタラクションが素晴らしいエクスペリエンスになっていると述べています。「Fastly には非常に知識が豊富な技術チームがあり、私たちの技術スタックを実に良く理解してくれています。CSOC でチケットを開くと通常、レスポンス時間は数分です。また、彼らは単にダッシュボードを見るだけでなく、スクリプトを作成してトラフィックを分析します。当社のスタックに特化した、試すべきことについての的確な質問や貴重なアドバイスを提供してくれます。また、他の全員の手が塞がっているときのインシデントが発生時にも、必要な追加のサポートを提供してくれます。」

重要なポイント

Duolingo は、レジリエンスとイノベーションの両方をサポートする長期的なセキュリティパートナーを見つけました。強力なパートナーシップと専門家によるアプローチは、保護対策の強化、安心感の醸成、業務への集中の実現、そして開発者のイノベーションにつながります。「セキュリティや CDN のパートナーを検討する際は、一緒に仕事を進めるチームの質について考え抜き、長期にわたって自分たちの組織へのサポートを継続できるかどうかを確認する必要があります。彼らが自分たちのバックボーンとなり、最前線の防御を担ってくれるのです。強力な関係性は、長年にわたりさまざまなメリットを生み出してくれます。私たちが Fastly とのパートナーシップに辿り着いたのは、こうした理由からです。」Brandman 氏はこのように締めくくっています。