これからのWebアプリケーションセキュリティ

攻撃ベクトルの進化に伴いセキュリティギャップが浮き彫りに

サイバー攻撃は複雑化・多様化の一途

今なお続くコロナウィルス感染症のパンデミック下で在宅ワークやオンラインアクティビティが増え、Webトラフィックが40%近く急増しました。それに伴って大小さまざまなサイバー攻撃が増加しています。セキュリティインフラストラクチャのギャップを検出してパッチを適用するための十分なツールやリソース、可視性がセキュリティチームになかったために、アプリケーションやネットワークレイヤーへのさまざまな脅威に対して脆弱になってしまったのです。

このような状況下で、大きく2つの傾向が出現しています。

攻撃ベクトルの多様化:攻撃者はDDoS、SQLインジェクション、クロスサイトスクリプティング、クレデンシャルスタッフィングなどの一般的な攻撃を仕掛け、その他の脆弱性もすかさず突いてきました。脆弱な組織を狙い、ランサムベースのDDoS攻撃(RDDoS)、IoTボット攻撃、QUICアンプリフィケーション攻撃、さらにその他の革新的な攻撃戦術を使って、攻撃を仕掛けてきたのです。組織をオフライン状態にして法外な身代金をせしめ、ブランドの評判を落とそうとする者が増え、こういった攻撃がますます頻発するようになりました。

モノのインターネット(IoT)デバイスが普及するにつれて、IoTボットネット攻撃も増加しています。人気商品の発売をオンラインに移行することを余儀なくされた小売業者は、ボット問題に頭を抱えています。ボットが在庫情報のスクレイピングや不正購入を行い、その過程で本物の消費者を締め出してしまうからです。UDPの実行プロトコルを狙う攻撃者もいます。たとえば、TeamSpeakを使うゲーマーに攻撃を仕掛け(TeamSpeak:プレイヤー同士でボイスチャットできるようにするボイスオーバーインターネットプロトコル(VoIP))、パフォーマンスに影響を与えています。

攻撃の複雑化:2020年にサイバー攻撃の頻度が増すにつれて、マルチベクトル攻撃も増加しました。巧妙な攻撃は、必ずしも最長または最大の攻撃とは限りません。むしろ、反復、高度なボット動作、複数の手法を用いて、複数のエントリーポイント(OSI参照モデルの複数の異なるレイヤー上にある場合が多い)から侵入し、脅威検出・防御のテクノロジーをかいくぐってくるのです。そのため、組織のセキュリティチームが攻撃を検出して回復するまでに時間がかかり、結果としてデータ損失、カスタマーエクスペリエンスの低下、コスト増大が起こる可能性があります。

Verizonの2020年データ漏えい調査レポートによると、Webアプリケーションは依然、脆弱性につけこみ、盗んだ認証情報を使ってバックドアやC2サーバー経由で仕掛けられる攻撃のプライマリベクトルの1つです。組織でアプリケーションとデータのクラウド移行が進み、労働力がますます分散化し、Webトラフィックが急増していくことを踏まえると、この傾向は今後も続くと思われます。

アプリケーション攻撃が進化するにつれて、Webセキュリティ戦略も、組織が脅威を予測して発生と同時に軽減できるような堅牢かつプロアクティブなものにしていかなければなりません。

ポイントソリューションの問題点

従来のWebアプリケーションセキュリティのアプローチでは、DDoS軽減、悪意のあるボットの軽減、API保護、Webアプリケーションファイアウォール(WAF)など、それぞれが特定の攻撃ベクトルに対処するように独自に設計された複数のポイントソリューション(通常はクラス最高と評されるもの)が必要でした。

しかし、ソリューションを効果的にレイヤー化してより強力な防御を構築するのではなく、孤立した複数のセキュリティソリューションを実装すれば、すでに多くの負担を強いられているセキュリティ組織に新たに可視性の問題とストレスをもたらすことになりがちです。

  • 可視性:さまざまなベンダーのポイントソリューションを使うと、可視性が損なわれ、セキュリティギャップが生じることがよくあります。WebアプリケーションやAPIに対する攻撃は、単一の製品ではなく、複数のポイントプロダクトに及ぶ可能性があります。たとえば、クレデンシャルスタッフィング攻撃を検出して軽減するには、WAF、ボット軽減ソリューション、およびAPIセキュリティサービスに含まれる機能が必要になる場合があります。セキュリティサービスを容易に管理し、すべてのトラフィック、エンドポイント、ブラウジングアクティビティを一元的に監視することができなければ、セキュリティチームは異常の事前検出もゼロデイ攻撃に対する防御もできないかもしれません。

  • 負担:攻撃の規模と複雑さが増すにつれ、それを阻止するために個別のポイントソリューションを際限なく増やし続ける必要がありますが、その多くは統合できない可能性があります。さらに、複数のサービスをレイヤー化するには、コストと時間がかかります。さまざまなセキュリティツールのメンテナンスは組織に不必要な負担をかけます。ツールの機能が重複している場合はなおさらです。

Webアプリケーションセキュリティに対する包括的なアプローチ

ポイントソリューションの寄せ集めでは、もはや現代企業のニーズを満たすことはできません。新しいベクトルが出現し、攻撃の頻度と巧妙性が高まるにつれて、組織は堅牢で統合的なWebアプリケーションセキュリティプラットフォームを必要とするようになっています。これは、DDoS攻撃対策、Webアプリケーションファイアウォール、API保護、ボット管理のコアサービスをひとつにまとめた、統合型プラットフォームです。

しかし、真の統合とはどういうものなのでしょうか。また、複雑で進化する脅威に対抗するうえで、こうした戦略にはどのようなメリットがあるのでしょうか?

適切に実装された統合型セキュリティプラットフォームは、セキュリティコントロールを相互に強化する形でレイヤー化します。エンドポイントが攻撃対象となるようなギャップを生じさせることはありません。ベンダーは、ツールが互いに連携してさまざまな攻撃ベクトルをシームレスに検出し、それに対して防御し、脅威防止機能の強化に資する情報を共有するようにする必要があります。脅威が発生するたびに、システム全体がより効率的に脅威をブロックできるようにするのです。

統合型プラットフォームには、ポイントソリューションの寄せ集め(たとえクラス最高とされるものでも)に優る点がさらにいくつかあります。

  • ギャップのない包括的なセキュリティ:統合型のWebアプリケーションセキュリティソリューションは、攻撃者がどんな攻撃を仕掛けてきても、連携して攻撃対象領域全体をカバーします。

  • 可視性の向上:真に統合されたWebアプリケーションセキュリティというアプローチでは、ソリューションが統合されて一括管理できるようになっており、セキュリティチームはセキュリティ体制のあらゆる面が完全に可視化された状態で制御することができます。

  • シンプルな管理:レポート作成ツール、ファイアウォールルール、攻撃アラート、ログはすべて、同じ場所で管理・変更し、脅威が発生すればセキュリティチームが確認して軽減できます。

包括的なWeb保護

Frost & Sullivanは最近、統合型Webアプリケーションセキュリティプラットフォームを評価する組織への支援の一環として、クラウドプロバイダー10社のセキュリティ製品を評価しました。各プロバイダーについて、DDoS軽減戦略、Webアプリケーションファイアウォール、ボット管理ソリューションを含め、連携して動作してWebアプリケーション(とそれによって提供されるデータ)の可用性、機密性、安全性を維持する「包括的なWeb保護」の強度が評価されました。

Cloudflareは、200を超えるデータセンターからなるグローバルエッジネットワークでWebアプリケーションのセキュリティを提供するイノベーションリーダーとして、高く評価されました。

この記事は、IT企業の意思決定層のための、最新のトレンドとトピックをお届けするシリーズです。

Key takeaways

After reading this article you will be able to:

  • Takeaway 1

  • Takeaway 2

  • Takeaway 3

  • Takeaway 4

RELATED RESOURCES



Dive deeper on this topic

詳細については、「Frost Radar:Global Holistic Web Protection Market Report」をご覧ください。

Get the report

Follow the Cloudflare Blog