例えば、L7 DoS（サービス妨害）攻撃やブルートフォースアタック（総当たり攻撃）への対応では、単純に大量のトラフィックが到着したら帯域を絞る、という機械的な対応ではなく、トラフィックの傾向から好ましくないと判断される発信元からのトラフィックだけを選択的に制限する、といった動作を行う。ユーザー認証を必須とするオンラインコマースサイトなどでは、ユーザーがログインを試みるたびにユーザーアカウントのデータベースを参照して照合し、ログインの可否を判断する、という負荷が発生する。これを悪用すると、無効なID、パスワードの組み合わせによるログイン試行を大量に発生させることで正規のユーザーのログインを妨害するといったDoS攻撃が可能になる。

　単純に帯域を絞ってしまうと、正規のユーザーがログインしにくいことに変わりはない。よって、正規のユーザーのログイン要求は通過させつつ、不正な無効ログインは絞る、という判断が求められる。とはいえ、ログインが無効かどうかは実際にデータベースを参照してみるまでは決定できないというジレンマもある。BIG-IP ASMでは、トラフィックパターンを解析し、発信元のIPアドレスや個別のURLのレスポンスタイムを手掛かりとして不正なログイン要求の可能性が高いアクセスを絞り込み、この発信元に対しては帯域を絞ることで、正規のユーザーに悪影響を与えないように保護することができる。

　同様のトラフィックパターンの解析に基づいた保護手法としては、Webスクレイピング攻撃からの保護というものもある。これは、サイト運営者の意図とは反して、スクリプトなどの自動化手段を用いてWebサーバから情報を引き出そうとするものだ。

　スクリプトなどを用いてWebサーバにアクセスすること自体は必ずしも攻撃とは断定できないが、サイト運営者側のポリシーとして、人間が対話的に操作することを前提としているWebサーバに自動化されたスクリプトが情報を取得することは、迷惑行為となる可能性がある。例えば、数量限定商品を販売するオンラインショッピングサイトやオークションサイトなどでは、こうした自動アクセスが大量に送り付けられ、サイト運営者の意図に反して、別のWebサイトで紹介されるケースなどは一種の営業妨害と判断されることになるだろう。

　BIG-IP ASMでは、トラフィックパターンの解析によって、トラフィックが「プログラムによって自動生成されているものか」「人間が対話的に操作しているのか」を識別できるという。これを利用して、自動生成されたアクセスを遮断すれば、先ほど紹介した営業妨害の例などを防ぐことが可能となる。

　このほか、ユニークな機能としてはネットワーク型DLPとよく似た「データガード」機能も実装されている。これは、アウトバウンドのトラフィックに含まれるデータをチェックし、本来外に出てはいけないはずのデータが含まれている場合にはブロックするというものだ。同様に、Webサーバが生成するエラーページやアプリケーションエラー情報を遮断することで、悪意のあるユーザーに対してWebサーバの種類や構成など、その後の攻撃を有利にしてしまうような情報を与えずに済む。

エンタープライズ向けの高度な運用管理

　BIG-IP ASMでは、運用管理負担の軽減にもさまざまな配慮がなされている。BIG-IP ASMのユーザー層はBIG-IPのユーザー層とほぼ同一であり、大規模な企業がビジネスに直結する重要なWebアプリケーションの保護のために導入している例が多いという。そのため、高度な運用管理機能が必要とされる。

例えば、「ポリシーステージング機能」が挙げられる。WAFを含め、セキュリティソフトウェアでは既知の攻撃手法を効率よく見分けるためのシグネチャデータやユーザーごとに設定されたセキュリティポリシーなどを定期的に更新する必要があるが、こうしたセキュリティにかかわる重要なデータの更新にはリスクも伴う。最悪の場合、シグネチャデータをアップデートしたら誤検知が発生して正常なアクセスを遮断した、ということも考えられないわけではない。

ステージング機能の画面。新しいシグネチャを7日間、ステージング環境に設定した場合

　ポリシーステージング機能は、いわば新旧2つのポリシーを同時に並列的に稼働させておき、動作検証を行うための機能だ。トラフィックの制御自体はこれまで通りのポリシーに従って実行しつつ、同じトラフィックを新しいポリシーを使ってチェックし、その結果を運用管理者にリポートする。

　このリポートから管理者は、新旧2つのポリシーの挙動の違いをチェックできる。旧ポリシーでは通過していたアクセスが新ポリシーで遮断されたり、あるいは逆に従来遮断されていたアクセスが通過するようになったりなど。そうした違いに注目して精査することで、ポリシーが意図通りに機能しているかどうかを実データに基づいて確認できる。

　またこれは、ミッションクリティカルなWebアプリケーションを提供する金融機関のユーザーなどには特に歓迎される機能だという。市場取引など、タイミングが重要なトランザクションでは、セキュリティ設定の不備によって正当なアクセスを遮断してしまうと、ユーザーに経済的な損失を与えてしまうことも考えられる。よって、誤検知を起こさないことが重視される。こうしたシビアなユーザーを多く抱える同社ならではの配慮だといえるだろう。

　さらに、リポートの可視化機能も充実している。アクセスが多いWebサーバの場合は、WAFが出力するリポートも膨大になることが予想されるが、この大量の生データから必要な情報を抽出するのは管理者にとっても負担が大きい。そこでBIG-IP ASMでは、より重要度の高い情報を的確に管理者に通知するためのインテリジェントなリポート機能を実装している。

リポートの例。URL単位のサーバ遅延を監視、可視化し、トラブルシューティングを実施した場合

　例えば、BIG-IP ASMがトラフィックを遮断した場合には、単にどのパケットを遮断したかという低レベルの情報だけを提示するのではなく、どのポリシーに対する違反なのか、なぜ遮断すべきと判断したのかといった理由の部分までを含めたリポートを出力できる。このため、管理者は現在Webアプリケーションに対してどのような攻撃が行われているのかを即座に把握したり、あるいはポリシー設定を修正／改善するための手掛かりを得られる。セキュリティ製品はどれも、運用を続けながら常時ブラッシュアップやメンテナンスを続けていく必要があるが、BIG-IP ASMではそうした作業の負担の軽減まで配慮が行き届いているといえる。

　BIG-IP ASMは、BIG-IPが持つトラフィック制御機能と組み合わせることで高度なセキュリティを実現できる製品だ。BIG-IPのアドインモジュールとして機能追加を行うのに加え、独立したアプライアンス型のスタンドアロンタイプも用意されており、BIG-IP ASMの機能だけを単独で導入したい場合にも対応可能である。