バラクーダネットワークスジャパン システムエンジニア 佐藤栄治氏

　同社 システムエンジニアの佐藤栄治氏は「Barracuda WAF モデル 360は、複数台構成によるロードバランシング機能には対応していない（460以上のモデルでサポート）ため、中小規模の構成向けのモデルだが、競合する同等製品との比較では、価格は半分以下」と、コスト面での優位性を強調した。なお日本国内WAF市場の台数ベースで3年連続トップシェアを記録している同社は、売上金額ベースのシェアでは3位（2009年度）となっている。このことも、同社の製品価格が相対的に安価に設定されていることを物語っている。

　Barracuda WAFは、防御機能も十分高いものを備えているが、何より導入しやすさを重視している。実際の導入ユーザー例でも、何か攻撃を受けているようだ、という兆候をつかみ、一刻も早く保護したい、という緊急対応の場合に選択される例が多いという。これも、迅速に導入でき、即座に十分な保護レベルを実現できる構成になっているからこそ可能になっていることだ。

　例えば、Barracuda WAFでは既知の攻撃に対する攻撃定義シグネチャを活用するブラックリスト型の防御に対応している。もちろん、シグネチャのアップデートはネットワーク経由で随時行われており、自動配信で更新されている。WAF製品では、ユーザーが独自のセキュリティポリシーを定義して「通過してよいトラフィックを選別する」ホワイトリスト型の対応もよく使われるが、これだとポリシー設置に数カ月程度を要することになってしまい、「今すぐ」という要件には対応できない。その上、セキュリティに詳しい技術者による作業が必要となり、構築コストも高くなりがちだ。

　Barracuda WAFの場合、ホワイトリスト型のカスタマイズももちろん可能だが、「まず必要なレベルの保護をブラックリスト型で実装できる」「製品を開梱してネットワークに接続し、電源をオンにする」という30分程度の作業で即Webアプリケーションの保護が実現できる点が強みとなっている。

3段階の導入工程でセキュリティ強度を調整

　同社では、WAFの導入ステージを「Step 1」「Step 2」「Step 3」の3段階に分けて考えている。Step 1は前述の通り設置して電源を入れるだけの30分で完了する作業だ。実はこの段階で「シグネチャによる既知の攻撃からの防御」「Webサイトの詳細を悪意あるユーザーから隠す“クローキング”」「標準的な定義を活用した“データ盗難防止”」の3種類の保護が実現されている。「セキュリティレベルとしてはおおむね『80％のレベル』が実現できている」（佐藤氏）という。

　より高度な保護を必要とする場合は、Step 2の「自動学習によるチューニング」を1～2週間実施することが推奨されている。セキュリティポリシー違反が疑われるトラフィックをログに残しておき、後で管理者がチェックした上で誤検知なのか、遮断すべきなのかを区別すると、その操作をシステムが学習してポリシー定義を自動的にチューニングしてくれる。これにより、ポリシー自体を組み上げるのに比べれば格段に容易な作業で、ユーザーごとの個別の環境に適合した極めて詳細なポリシー定義を運用することも可能になる。

　さらに高度な保護を必要とする場合には、Step 3としてフルカスタマイズを行い、セキュリティポリシーを独自に作成してホワイトリスト型の保護を徹底していく形になる。

Barracuda WAF導入ステージ

　実際には、最初のStep 1だけでも相当に高度な保護が実現できている点が重要なポイントとなる。このため、導入直後に慌ててStep 3までを一気に実行する必要はなく、様子を見ながら順次段階的に対応を考えるだけの時間的な余裕が生まれるのだ。何らかの攻撃の兆候をつかんだ場合、数カ月かけて対応する、という悠長なことは言っていられないわけで、まずは即座に深刻な被害の発生を防ぐ必要がある。Barracuda WAFは、導入が容易であり、かつコスト面での負担も少ないことで、こうした緊急対応の際に特に有効な対策となっているといえる。

オールインワン型で豊富な機能を実装

　Barracuda WAFの大きな特徴として、機能が豊富だという点も挙げられる。低コストということからはむしろ機能を絞ったポイントソリューションをイメージするかもしれないが、実態はむしろ逆で、「この1台だけで必要な機能すべてを網羅的にまかなう」といった発想の設計になっている。

　具体的には、標準的なWebアプリケーションに対する攻撃からの保護機能に加えて、Webアプリケーションの高速化機能としてデータのキャッシングや圧縮、SSLオフロードといった機能が実装されている。また、負荷分散機能としてレイヤー4（L4）、レイヤー7（L7）での負荷分散機能やL7コンテンツルーティングといった機能も搭載されている。一般的なWebロードバランサの機能までを取り込んでいるといえるだろう。

　このように、Barracuda WAFはさまざまな機能にピンポイントで対応する製品を複数組み合わせてシステムを構築するという発想ではなく、「これさえあれば」という発想に基づくデザインになっている。ITの専門知識を備えた専任のIT部門があるような大企業よりもむしろ中小企業での導入の容易さを強く意識した結果だと評価できる。

　接続の形態も、複数のタイプから選択することが可能だ。最も単純な「ブリッジモード」の場合、簡易的なL2ブリッジとして動作するため、設置も物理的にネットワークの途中に割り込ませるだけでよい。サーバやクライアントPC、ファイアウォールやルータといったネットワーク機器にも一切の影響を与えないため、導入の際の作業は最小限で済む。実際に、ネットワークケーブルをつなぎ替えるだけの数秒の作業で済むため、サービスを停止することなく一瞬で導入作業が完了するという点もメリットだ。

　ただし、この形態ではサーバに対するロードバランス機能が利用できないなど、機能面で多少の制約があるのも確かだ。しかし、シンプルな接続であり、特にITに詳しくない担当者でも不安なく作業ができるという点は大きなメリットになるだろう。バラクーダネットワークスでは試用機／評価機の貸し出しにも熱心に取り組んでいるが、そうした一時的なテストの際にもこうした接続形態であれば簡単に試すことができる。

　より高度な機能を利用したい場合には、「リバースプロキシ」や「ワンアームプロキシ」といった接続も可能だ。これらは、既存のネットワーク側でサーバのIPアドレスを変更したりDNSのマッピングを変更したりといった作業が発生してしまうのだが、機能面ではメリットも多い。セキュリティ面を重視する場合は、内外のネットワークを物理的に分離し、WAFで相互接続する形となるリバースプロキシが最良といえる。

　この場合、冗長構成によるHA（高可用性）クラスタでも高速なフェイルオーバーが実現できる点で有利だ。一方、ワンアームプロキシはリバースプロキシに比べるとインフラ側の変更箇所は少なくて済み、導入が比較的容易になる。さらに、ローカルに存在しないサーバに対して保護を提供することができるため、SaaS（Software as a Service）やクラウドといった環境で運用しているWebサーバを保護するような用途で役立つ構成だ。

　導入しやすい安価な製品、ということで機能面でも制約があると考えてしまいがちだが、Barracuda WAFではネットワークでの接続形態でも複数の形式をサポートするなど、ユーザーが必要とする機能は一通りそろえた上で低価格を実現しているため、実用上不便を感じるような場面はまずないだろう。なお、クラウドやSaaS環境を意識した製品として、物理的なアプライアンス製品に加えてさらに仮想アプライアンスの形での製品提供も予定されている。従来型のWebサーバファームの保護はもちろん、仮想化された大規模なWebアプリケーション実行環境に対する保護も効率よく実現できるようになるはずだ。