これからのWebアプリケーションセキュリティ
攻撃ベクトルの進化に伴いセキュリティギャップが浮き彫りに
サイバー攻撃は複雑化・多様化の一途
今なお続くコロナウィルス感染症のパンデミック下で在宅ワークやオンラインアクティビティが増え、Webトラフィックが 40%近く急増しました。それに伴って 大小さまざまなサイ バー攻撃が増加しました。セキュリティインフラストラクチャのギャップを検出してパッチを適用するための十分なツールやリソース、可視性がセキュリティチームになかったために、アプリケーションやネットワークレイヤーへのさまざまな脅威に対して脆弱になってしまったのです。
このような状況下で、大きく2つの傾向が出現しています。
攻撃ベクトルの多様化： 攻撃者はDDoS、SQLインジェクション、クロスサイトスクリプティング、クレデンシャルスタッフィングなどの一般的な攻撃を仕掛けるだけでなく、その他の脆弱性もすかさず突いてきました。脆弱な組織を狙い、 ランサム型のDDoS攻撃（RDDoS）、IoTボット攻撃、QUICアンプリフィケーション攻撃、その他の 革新的な攻撃戦略で攻撃したのです。組織をオフライン状態にして法外な身代金をせしめ、ブランドの評判を落とそうとする者が増え、こういった攻撃がますます頻発するようになりました。
モノのインターネット（IoT）デバイスが普及するにつれて、IoTボットネット攻撃も増加しています。人気商品の発売をオンラインに移行することを余儀なくされた小売業者は、ボット問題に頭を抱えています。ボットが在庫情報の スクレイピングや不正購入を行い、その過程で本物の消費者を締め出してしまうからです。UDPの実行プロトコルを狙う攻撃者もいます。たとえば、TeamSpeak（プレイヤー同士でボイスチャットできるようにするボイスオーバーインターネットプロトコル（VoIP））を使うゲーマーを攻撃し、パフォーマンスに影響を与えています。
攻撃の複雑化： 昨年は、サイバー攻撃の頻度が増すにつれてマルチベクトル攻撃も増加しました。巧妙な攻撃は、必ずしも最長または最大の攻撃とは限りません。むしろ、反復、高度なボット動作、複数手法の使用により、複数のエントリーポイント（OSI参照モデルの複数の異なるレイヤー上にある場合が多い）から侵入し、脅威検出・防御のテクノロジーをかいくぐってくるのです。そのため、組織のセキュリティチームが攻撃を検出して回復するまでに時間がかかり、結果としてデータ損失、カスタマーエクスペリエンスの低下、コスト増大が起こる可能性があります。
Verizonの データ漏えい調査レポートによると、Webアプリケーションは依然、脆弱性につけこみ、盗んだ認証情報を使ってバックドアやC2サーバー経由で仕掛けられる攻撃のプライマリ ベクトルの1つです。組織でアプリケーションとデータのクラウド移行が進み、労働力がますます分散し、Webトラフィックが急増していくことを踏まえると、この傾向は今後も続くと思われます。
アプリケーション攻撃が進化するにつれて、Webセキュリティ戦略も、組織が脅威を予測して発生と同時に軽減できるような堅牢かつプロアクティブなものにしていかなければなりません。
ポイントソリューションの問題点
従来の Webアプリケーションセキュリティ のアプローチでは、DDoS軽減、悪意のあるボットの軽減、API保護、Webアプリケーションファイアウォール（WAF）など、それぞれが特定の攻撃ベクトルに対処するように独自に設計された複数のポイントソリューション（通常はクラス最高と評されるもの）が必要でした。
しかし、ソリューションを効果的にレイヤー化してより強力な防御を構築するのではなく、孤立した複数のセキュリティソリューションを実装すれば、すでに多くの負担を強いられているセキュリティ組織に新たに可視性の問題と負荷増大をもたらすことになりがちです。
可視性：さまざまなベンダーのポイントソリューションを使うと、可視性 が損なわれ、セキュリティギャップが生じることがよくあります。WebアプリやAPIに対する攻撃は、単一の製品ではなく、複数のポイント製品に及ぶ可能性があります。たとえば、クレデンシャルスタッフィング攻撃を検出して軽減するには、WAF、ボット軽減ソリューション、およびAPIセキュリティサービスに含まれる機能が必要になる場合があります。セキュリティサービスを容易に管理し、すべてのトラフィック、エンドポイント、ブラウジングアクティビティを一元的に監視することができなければ、セキュリティチームは異常の事前検出もzero-day攻撃に対する防御もできないかもしれません。
負荷増大：攻撃の規模と複雑さが増すにつれ、それを阻止するために個別のポイントソリューションを際限なく増やし続ける必要がありますが、その多くは統合できない可能性があります。さらに、複数のサービスをレイヤー化するには、コストと時間がかかります。さまざまなセキュリティツールのメンテナンスは組織に不必要な負荷をかけます。ツールの機能が重複している場合はなおさらです。
Webアプリケーションセキュリティに対する包括的なアプローチ
ポイントソリューションの寄せ集めでは、もはや現代企業のニーズを満たすことはできません。新しいベクトルが出現し、攻撃の頻度と巧妙性が高まるにつれて、組織は堅牢で統合的な Webアプリケーションセキュリティプラットフォーム を必要とするようになっています。これは、DDoS攻撃対策、Webアプリケーションファイアウォール、API保護、ボット管理のコアサービスをひとつにまとめた、統合型プラットフォームです。
しかし、真の統合とはどういうものなのでしょうか。また、複雑で進化する脅威に対抗するうえで、こうした戦略にはどのようなメリットがあるのでしょうか？
適切に実装された統合型セキュリティプラットフォームは、セキュリティコントロールを相互に強化する形でレイヤー化します。エンドポイントが攻撃対象となるようなギャップを生じさせることはありません。ベンダーは、ツールが互いに連携してさまざまな攻撃ベクトルをシームレスに検出し、それに対して防御し、脅威防止機能の強化に資する情報を共有するようにする必要があります。脅威が発生するたびに、システム全体がより効率的に脅威をブロックできるようにするのです。
統合型プラットフォームには、ポイントソリューションの寄せ集め（たとえクラス最高とされるものでも）に優る点がさらにいくつかあります。
ギャップのない包括的なセキュリティ：統合型のWebアプリセキュリティソリューションは、攻撃者がどんな攻撃を仕掛けてきても、連携して攻撃対象領域全体をカバーします。
可視性の向上：真に統合されたWebアプリケーションセキュリティというアプローチでは、ソリューションが統合されて一括管理できるようになっており、セキュリティチームはセキュリティ体制のあらゆる面が完全に可視化された状態で制御できます。
シンプルな管理：レポート作成ツール、ファイアウォールルール、攻撃アラート、ログはすべて、同じ場所で管理・変更し、脅威が発生すればセキュリティチームが確認して軽減できます。
包括的なWeb保護
Frost & Sullivan は最近、統合型Webアプリケーションセキュリティプラットフォームを評価する組織への支援の一環として、クラウドプロバイダー10社のセキュリティ製品を評価しました。各プロバイダーについて、DDoS軽減戦略、Webアプリケーションファイアウォール、ボッ ト管理ソリューションを含め、連携して動作してWebアプリケーション（とそれによって提供されるデータ）の可用性、機密性、安全性を維持する「包括的なWeb保護」の強度が評価されました。
Cloudflareは、330を超えるデータセンターからなるグローバルエッジネットワークでWebアプリケーションのセキュリティを提供するイノベーションリーダーとして、高く評価されました。
この記事は、技術関連の意思決定者に影響を及ぼす最新のトレンドとトピックについてお伝えするシリーズの一環です。
記事の要点
この記事を読めば、以下が理解できます。
サイバー攻撃の急増につながる要因
２つの攻撃トレンド
Webアプリケーションセキュリティに対す る従来型アプローチの問題点
総合Web保護が新標準になる理由