<4D F736F F F696E74202D A834C A E9197BF5F76325F8E9697E182CC89EF8ED08FEE95F18DED8F9C94C52E >

Size: px

Start display at page:

Download "<4D F736F F F696E74202D A834C A E9197BF5F76325F8E9697E182CC89EF8ED08FEE95F18DED8F9C94C52E >"

うきえさわい
5 years ago
Views:

1 今本当に必要なセキュリティ対策ユニファイドセキュリティの構築を徹底解説!

2 公開アプリケーションはいつも脅威にさらされている 2 アノニマスとは? 国際的なハッカー集団でありその構成員は世界中にいるといわれている正確な人数は明らかになっていないが 1000 名程度と予想されている DDoS 攻撃 / クラッキングといった行為を繰り返す攻撃事例 : チュニジア政府 / WikiLeaks /PayPal / MasterCard / SONY

3 年セキュリティインシデント ( グローバル ) SQL インジェクション,URL タンパリング,DDoS が目立つ

4 4 誤った投資 90% の投資はネットワークが対象しかし攻撃の 75% はアプリケーションを狙っているネットワークレベルの脅威アプリケーションレベルの脅威セキュリティ対策の投資の 90% が集中 75% のセキュリティ攻撃が狙うレイヤ Source: Gartner

5 事実インターネットからの攻撃はウェブアプリケーションへの攻撃が主流なのは明らか by ラックインターネットからの攻撃による重要インシデント 131 件数の内容 5 出典 : 株式会社ラック侵入傾向分析レポート Vol 年 11 月 16 日

6 6 誤解次世代ネットワークファイアウォールやIDS/IPSがあればアプリケーションへの攻撃は防御できる 1,572,652 件の 54% は IDS では検知できなかった出典 : NRI セキュアテクノロジーズサイバーセキュリティ傾向分析レポート 2011

7 7 本日お伝えしたい事 1. セキュリティ課題とF5コンセプト 2. コアテクノロジーと独自性 3. セキュリティ最新事例とポイント - グローバル金融 ( 海外 Webサイト ) - Paypal( ゼロデイアタック ) - 国内大手金融 ( 共通基盤 ) - 国内製造業 ( 認証統合 ) - 国内製造業 (iphone) - PlatfromId(FW 統合 )

8 3 つ変化がセキュリティを複雑に 8 1. 攻撃の巧妙化 2. IT インフラの変化 3. ユーザの変化マルチデバイスアプリ狙いクラウドによるアプリ展開の迅速 / 分散化モバイル / テレワークデバイス多様化巧妙化する攻撃コンシューマライゼーションションユーザの増減 / 多様化セキュリティの複雑化

9 9 課題 : アプリ視点の欠如セキュリティ管理の分散化アクセス環境ネットワーク層ユーザ属性ロケーションデバイス多様化新しい脅威ポリシー管理分散コンテキスト : 低セキュリティ低下迅速性 : 低コスト : 高アプリケーション層アプリケーション環境プライベートパブリックアプリケーションの利用形態アプリケーションロジック認証アプリケーション分散化

10 10 これからのセキュリティに必要な事統合コンテキストコミュニティ柔軟性スケーラビリティ

11 アプリケーション視点のユニファイドセキュリティコントロールネットワーク上に統合化セキュリティコントロールポイントを配置 11 アクセス環境ユーザ属性ロケーションデバイス多様化新しい脅威コンテキストセキュリティ EP チェック可用性信頼性パフォーマンスロジックアプリケーション認証連携アプリケーション環境拡張 / 迅速 / 柔軟オンデマンドプログラマブル認証基盤連携統合化コミュニティデバイスマルチレイヤー管理フレームワークプライベートパブリック DevCentral ユニファイドセキュリティ強固なセキュリティ再利用性が高いセキュリティ低下セキュリティ : 高いポリシー分散統合化コンテキストコンテキストの理解 : 低迅速性素早い対応 : 低コストコスト : 高低アプリケーションの利用形態アプリケーションロジック認証アプリケーション分散化

12 12 本日お伝えしたい事 1. セキュリティ課題とF5コンセプト 2. コアテクノロジーと独自性 3. セキュリティ最新事例とポイント - グローバル金融 ( 海外 Webサイト ) - Paypal( ゼロデイアタック ) - 国内大手金融 ( 共通基盤 ) - 国内製造業 ( 認証統合 ) - 国内製造業 (iphone) - PlatfromId(FW 統合 )

13 F5 TMOS アプリケーション視点のセキュリティを実現するコアテクノロジーリティを実現するコアテクノロジ Intelligent 13 アプリケーションプロキシ TMOS Slow ロードバランサ ADC Fast ファイアウォールルーター L2/L3 スイッチ Dumb

14 特徴 1. フルプロキシアーキテクチャキ驚異的なパフォーマンス全てのトラフィックを管理 14 ディープパケットインスペクション L2 L3 L4 L7 アプリケーションデータ MAC アドレス ( スイッチング ) ポート番号 (L4 負荷分散 ) IPアドレス ( ルーティング ) アプリケーションヘッダ (L7 負荷分散 ) フルプロキシ TMOS

特徴 1 アプリケーションフルプロキシだから実現できる例機密情報の流出を防ぐ ( データガード機能

4541-9096-0953-NNNN メールアドレス : t.hoshi@f5.

dtd"> <html> <head> <meta http-equiv="content-type"

15 特徴 1 アプリケーションフルプロキシだから実現できる例機密情報の流出を防ぐ ( データガード機能 ) データの可視化が有効情報流出の発生時の解析 / 説明個人情報クレジットカード : NNNN メールアドレス : t.hoshi@f5.com 住所 : 悪意のあるユーザ BIG-IPIP アプリケーション IP TCP SSL HTTP ヘッダ <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Frameset//EN" " <html> <head> <meta http-equiv="content-type" content="text/html; charset=shift_jis"> <meta name="keywords" content= f5.com"> <meta name="description" content="hidetox"> <title>notfound@test.com</title> <style> h1#title { padding-left: 45px; background: left url < NNNN> NNNN>. </body> </html>

16 特徴 2. 統合 TMOS 上にアプリケーションに必要なサービスを統合製品名ソリューション主な機能 16 LTM (Local Traffic Manager) サイト内サーバ負荷分散ネットワークファイアウォール各種負荷分散技術 GTM (Global Traffic Manager) データセンタ間負荷分散広域負荷分散 DNS 強化 DNS セキュリティ ASM (Application Security Manager) Web アプリケーションファイアウォール L7 の外部脅威対策 APM (Access Policy Manager) セキュアリモートアクセスアクセス管理 SSL-VPN リモートアクセス WOM (WAN Optimization Module) WANトラフィック最適化データセンタ間 WAN 最適化 WAM (Web Accelerator Module) Web アプリケーション高速化各種高速化技術冗長化セキュリティセキュリティ高速化 iapps LTM GTM ASM APM WOM WAM ネットワークサービスを構成するプラグ型モジュール CLI GUI TMOS Scale N icontrol irules サービスを提供する為のプラットフォーム

17 17 特徴 2. 統合従来型のセキュリティ基盤構築は分散 1. 複数製品が複雑に絡みコスト高や運用効率の低下 2. サービス展開が遅れる 3. 次々と生まれる新しい脅威への対応の限界ファイアウォールネットワーク層の DDoS アプリケーション層の DDoS Web アクセス管理インターネット Web サーバロードバランサロードバランサと SSL 処理 DNS セキュリティ Web Application Firewall (WAF)

18 18 特徴 2. 統合従来型のセキュリティコンセプトからの変革 DDOS 攻撃ネットワーク WEB APP 負荷分散トフファイアウォール対策 WEB APP FIREWALL ラフィック管理 L3~L7 アプリケーションレイヤをインスペクションセキュリティデバイスを統合してコストを削減アクセス管理 DNS セキュリティ

19 19 特徴 2. 統合 BIG-IPが対応する攻撃の種類と比較表 Attack BIG-IP v11.0 A 社 B 社 C 社 IP Attacks Teardrop LTM Y Y Y IP Fragment LTM Y Y N ICMP Attacks ICMP Flood LTM Y Y Y ICMP Fragmentation LTM Y Y Y Ping Flood LTM Y Y Y Smurf Attack LTM Y N Y TCP attacks SYN Flood LTM Y Y Y SYN-ACK Flood LTM Y Y Y ACK and PUSH-ACK Flood LTM Y Y Y Fragmented ACK LTM Y Y Y RST or FIN flood LTM Y Y Y 攻撃の種類と比較表 Smurf Attack LTM Y N Y Synonymous IP (Land Attack) LTM Y Y Y Fake Session LTM Y Y Y TCP Session LTM Y Y Y Redirected Traffic LTM/ASM N N N HTTP attacks HTTP Fragmentation LTM/ASM N N N Excessive GET/POST ASM N N N Multiple Methods Single Request ASM N N N Recursive GET (Web scraping) ASM N N N Slowloris LTM/ASM N N N UDP attacks UDP Flood LTM Y Y Y UDP Fragmentation LTM Y Y Y DNS Attacks DNS Flood GTM N N N DNS Amplification Attack GTM N N N Application Attacks VoIP Flood Y N N N Faulty Application ASM N N N XML DoS ASM N N N ASK F5 :

20 20 高信頼 / ハイパフォーマンスのプラットフォーム製品ラインナッププ VIPRION 2400 VIPRION M - 4M L7 RPS 400K - 1.6M L4 CPS 18G - 72G/40G - 160G L7/L4 TPUT 1.6M - 6.4M L7 RPS 700K - 28ML4CPS 2.8M 18G - 72G L7/L4 TPUT BIG-IP k L7 RPS 60K L4 CPS 1G L7/L4 TPUT BIG-IP k L7 RPS 115K L4 CPS 2G L7/L4 TPUT BIG-IP k L7 RPS 175K L4 CPS 4G L7/L4 TPUT 1 ブレード BIG-IP 6900, 6900F, 6900S 600k L7 RPS 220K L4 CPS 6G L7/L4 TPUT BIG-IP 8900, 8900F, 8950, 8950S 最大 1.9M L7 RPS 最大 800K L4 CPS 最大 20G TPUT BIG-IP 11000, 11000F, 11050, 11050F 25ML7RPS 2.5M 1M L4 CPS 最大 42G TPUT 1G TPUT 200M TPUT

21 21 本日お伝えしたい事 1. セキュリティ課題とF5コンセプト 2. コアテクノロジーと独自性 3. セキュリティ最新事例とポイント - グローバル金融 ( 海外 Webサイト ) - Paypal( ゼロデイアタック ) - 国内大手金融 ( 共通基盤 ) - 国内製造業 ( 認証統合 ) - 国内製造業 (iphone) - PlatfromId(FW 統合 )

22 22 グローバル大手金融機関 BIG-IP ASMによるアプリケーションリリースの迅速化背景 / 要件 / 課題 -アプリケーション : 証券為替取引アプリケーション - 機密情報 ( 個人情報 : 名前住所 TEL/FAX メール取引履歴 ) を守る -アプリケーションのセキュアコーディングによりリリーススケジュールの遅延が慢性化コストが高い -アプリケーションの可用性確保選定ポイント (BIG-IP LTM 6900+ASMモジュール ) - BIG-IP LTM 6900とASMモジュールを単一アプライアンスで動作させることにより機器コスト管理ポイントの削減 - ベンダーからの運用管理ソリューション定期的なポリシーチューニング誤検知インシデント対応の提案導入効果 -アプリケーションリリーススケジュールの迅速化 - 機密情報の漏えい対策 - 不正アクセスの可視化

23 23 海外 Web サイトのセキュリティ対策は困難海外拠点 Web サイトへの攻撃事例海外サイトセキュリティ管理の課題 % セキュリティ対策を現地まかせ % 十分な情報セキュリティ推進体制をとることができない -55.2% 情報セキュリティの教育の実施が難しい % 文化の違いより情報セキュリティ対策の実施に手間がかかる国内サイトと海外サイトの簡易チェック評価出典 : NRI セキュアテクノロジーズサイバーセキュリティ傾向分析レポート 2012

24 24 分散アプリのセキュリティポリシーを一元管理 (iapps) してシステマティックに高いセキュリティレベルを確保東京 DC 北米 DC ロンドン DC TMOS 新しい脅威セキュリティセキュリティセキュリティセキュリティポリシーポリシーポリシーポリシー iapps TMOS TMOS TMOS TMOS アプリケーションアプリケーションアプリケーションアプリケーション

25 25 オンライン決済サービス PayPal アノニマスウィキリークスに敵対的な企業への攻撃を防御アノニマスはボットを使ってウィキリークスを標的に大量のトラフィック攻撃 (DDoS) によりサイトダウン BIG-IP により攻撃を防御 - コネクション管理を改善 - ネットワークレベルのDDoSを軽減 - アプリケーションレベルの DDoS を軽減 - irules により迅速かつ拡張性のある対策を実現 PayPal

$等を利用することにより即時性の高いソリューションを提供可能 Range: bytes=0-,5-0,5-1,5-2,5-3,5-4,5-5,5-6,5-7,5-8, when HTTP_REQUEST { if { [HTTP::header exists$ $"Range"] and ([HTTP::header "Range"] matches_regex {(,.*?){40,}}) } { log local0.$

26 irules ゼロデイ攻撃への対応 Apache Killer 26 Apache Killer の際は F5 は 3 時間程度で対策をコミュニティーサイトの DevCen にアップデート Apache 側は 1 週間以上かかった irules 等を利用することにより即時性の高いソリューションを提供可能 Range: bytes=0-,5-0,5-1,5-2,5-3,5-4,5-5,5-6,5-7,5-8, when HTTP_REQUEST { if { [ exists "Range"] and ([ "Range"] matches_regex {(,.*?){40,}}) } { log local0. "## Range attack CVE detected from [IP::client_addr] on Host [ [llength [split [ "Range"], ","]] ranges requested." remove Range } } return

L3-L7セキュリティを個別 N/W FW SSL+LB L3-L7 共通セキュリティ基盤

(SNS, ホームページ会員サービス ) 背景 / セキュリティ課題ソリューション IT

アプリインフラをサイロ型で構築 Webアプリはセキュアコーディングで対応していたが

27 金融グループプライベートクラウドの共通セキュリティ基盤構築インターネットを活用した多様な金融サービスのプライベートクラウド基盤のセキュリティ機能を統合 27 L3-L7セキュリティを個別 N/W FW SSL+LB L3-L7 共通セキュリティ基盤セキュアコーディングに不安アプリ VM アプリ VM アプリ VM 物理サーバ + アプリ (SNS, ホームページ会員サービス ) 背景 / セキュリティ課題ソリューション IT 投資の約 1 割をセキュリティ対策投資に確保するという方針仮想化技術を利用したクラウド基盤アプリインフラをサイロ型で構築 Webアプリはセキュアコーディングで対応していたがリソースの問題で不安各アプリの共通セキュリティ基盤の位置づけで構築 L3~Webアプリケーションまで VIPRION2400で統合セキュアコーディングとあわせた多重防御

28 28 コンソリデーションに起因する課題に注意アップグレードしたくない一年を通じでメンテナンス時間が確保できない 3 ヶ月に一度しかメンテナンス時間が確保できない最新の BIG-IP の機能と保障されたパフォーマンスが必要人事財務セールス Web 単一のデバイスに統合しリソーススを共有すると新たな課題が 1. 障害範囲の拡大 2. パフォーマンス確保が困難 3. 運用管理が困難共通インフラ担当者

29 29 F5 の vcmp によりコンソリの課題を解決 1. 障害範囲を広げない 2. ハードウェアリソース確保によるパフォーマンス保障 3. 独立した運用管理異なるメンテナンススケジュール人事財務セールス Web 人事財務セールス Web 異なる BIG-IP のサービスを動作 A において処理の増大や障害が発生しても B,C,D には影響がまったく無い WAF WAF 土曜日 7pm 土曜日 7pm 金曜日 3am 金曜日 3am ロードバランスロードバランス WAF WAF 土曜日 7pm 土曜日 7pm 金曜日 3am 金曜日 3am ロードバランスロードバランス

30 背景 / セキリテ課題導入前導入事例国内製造業 ( バラバラな認証基盤 ) 生産管理受発注システムの認証基盤連携 30 アプリ A HTTP Header 社員数千名イントラネットインターネットアプリ B アプリ C Radius B Radius C 背景 / セキュリティ課題アプリ100 以上認証が分散アカウント削除のモレログの分散ユーザビリティ低下パスワード管理増大申請からアプリ利用まで2 週間パートナー日本ヨーロッパインド南米アプリ A 解決策イントラネット ADに統合して一元管理 BIG-IP 6900 アプリB BIG-IPの認証プロキ社員数千名数千名後シを利用して5 個のインターネットアプリ C アプリに対してSSO ユーザビリティ向上パスワード管理負荷軽減申請からアプリ利用まで2 日以内パートナー日本ヨーロッパインド南米 AD

事例国内大手製造業スマートデバイス数万台の活用と irules による運用負荷軽減 iphoneからアクセスし認証に失敗してロックインターネット (3G/Wifi) iphone ID/Passを事前設定 DMZ ActiveSync BIG-IP 6900 LTM+APM コーポレート LAN PC irules を利用して ActiveSync プロトコルを制御一度

31 事例国内大手製造業スマートデバイス数万台の活用と irules による運用負荷軽減 iphoneからアクセスし認証に失敗してロックインターネット (3G/Wifi) iphone ID/Passを事前設定 DMZ ActiveSync BIG-IP 6900 LTM+APM コーポレート LAN PC irules を利用して ActiveSync プロトコルを制御一度認証に失敗したら10 分以上認証しない ID, パスワードタイムスタンプなどをログ出力パスワード変更 SSL VPN MAPI 内部サーバセグメント業務アプリ Exchange サーバパスワード管理ポリシー - 6 ヶ月毎にパスワード変更 -10 分間に3 度認証失敗ロック 31 背景 / 課題 iphoneを従業員数万名に配布し業務効率化 ActiveSyncとSSL VPNと使ってリモートアクセスパスワードを変更するとアカウントロック管理者にロック解除の依頼が多発原因はiPhoneからの ActiveSyncプロトコルの認証失敗対応製品を探したが存在しない開発すると2000 万円ソリューション BIG-IP APMのSSL VPN 機能を使ってアプリケーションに依存なくリモートアクセス ActiveSync プロトコルは認証が失敗した場合一定時間 Exchangeサーバに認証しない様にiRulesを使ってアカウントロックの問題を解決

32 32 リモートアクセスの最大の要件 BYOD に従来よりも多様なモバイルプラットフォーム対応が必要 ios 向け Samsung 向けクライアント 1st ソフトウェアを既に提供業界で最初の Android 4.0 に対応デモ用途としてRoot 権限を持った Android (2.X, 3.X) 向けのクライアントも提供 Linux に対応 Rooted Android Android v4.0 (ICS) Samsung

33 33 ファイアウォールの CPU が 70% に達して危険を感じました ADPLAN 開発部平正時氏

34 ( グループ ) BIG-IP を NW FW+LB として利用コスト削減を実現 34 ファイアウォールの CPU が 70% にロードバランサメモリリークサポートコスト統合 (NW FW+LB) によるコスト削減 NAT が一回サーバメンテナンス作業を分担し管理負荷を軽減 IPv6サービスを提供広告の効果測定アプリ背景 / 課題広告の露出が増えると同時アクセスが集中 F/WのCPU が70% にハイエンドのF/Wはコストが高いサイロ型のインフラ構築を中止して統合によるコスト削減が必要回線も5 2 回線へ統合予定 IPv6ユーザへの対応競合とのサービス差別化 IPv6 Launchを意識ソリューション ICSAのネットワークFW 認定により LBと NW FW をBIG-IP LTM3900 に統合しコストを削減パフォーマンステストで良好な結果 BIG-IPのGUIによりアプリ開発兼運用担当者へサーバの切り離し業務を分担 IPv4 IPv6のデュアルスタック IPv6サーバでサービス提供

35 35 一般的なファイアウォール製品との比較 5~10 倍のコストパフォーマンス F5 BIG-IP ,400,000 他社ファイアウォール製品 19,600,000 スループット値毎秒当たりの接続処理数最大同時接続数インバウンドトラフィックでの活用

36 36 まとめアプリに穴管理の分散化が課題 F5 はネットワーク / アプリのセキュリティを統合数多くの実績

37 2012 F5 Networks, Inc. All rights reserved. F5, F5 Networks, the F5 logo, BIG-IP, ARX, FirePass, icontrol, irules, TMOS, and VIPRION are registered trademarks of F5 Networks, Inc. in the U.S. and in certain other countries

スライド 1

スライド 1 今なぜ WEB アプリケーションファイアウォールが必要なのでしょう? F5 ネットワークスジャパン株式会社シニアソリューションマーケティングマネージャ帆士敏博公開アプリケーションはいつも脅威にさらされているアノニマスとは? 国際的なハッカー集団でありその構成員は世界中にいるといわれている正確な人数は明らかになっていないが 1000 名程度と予想されている DDoS 攻撃 / クラッキングといった行為を繰り返す