TMOS によるセキュアな開発とセキュリティの実装 - F5ネットワークス ...

由 のアクセスは、TMMできめ 細 かく 制 御 できます。 管 理 ポート 経 由 のアクセスは 信 頼 できると 見 なされ、アクセス 制 御 は 適 用 しないという 点 に 注 意 してください。これはBIG-IPのネットワーク 設 計 時に 重 要 な 検 討 事 項 となります。 信 頼 できるセキュアな 管 理 専 用 ネットワークがある 場 合 、 管 理 ポートはそのセキュアなネットワークに 接 続 してください。 信 頼 できるセキュアな 管 理 ネットワークがない 場合 は、 管 理 ポートを 使 用 せず、TMMやローカルのシリアルコンソールによって 管 理 されるスイッチポートからのアクセスだけを 許 可 することをお 勧 めします。複 数 のプロトコルスタックハードウェアであるASICとソフトウェアで 管 理 されるTMMのコネクションを 介 して、TMOSでは、 複数 の 機 能 に 複 数 のプロトコルスタックを 使 用 する「マルチスタック」アプローチを 採 用 しています。 前 述のように、fastL4はASICによって 実 装 される 特 定 タイプのプロトコルスタックで、 極 めて 高 速 なハードウェア・アクセラレーションとトラフィック 配 信 を 提 供 します。さらに、fastL4スタックは、ソフトウェアでも扱 えるソフトウェア・プロトコルスタックの1つとして、TMMによるレイヤ4 管 理 を 高 速 化 します。BIG-IPでは、このマルチスタック・アーキテクチャによって、 管 理 者 が 構 成 オプションを 設 定 することにより、 特 定 の 目 的 に 合 った 適 切 なスタックを 選 択 できます。たとえば、SSLアクセラレーションと 圧 縮のためにTCP Expressやフルプロキシを 使 用 したり、HTTP 専 用 の 配 信 を 最 適 化 するためにFastHTTPを 使 用 したり、 純 粋 なTCP/UDPアクセラレーションのためにハードウェア/ソフトウェアによるfastL4を 使 用 できます。このマルチスタック・アーキテクチャは、ジョブに 対 して 適 切 なツールを 提 供 するだけでなく、TMOSによって 管 理 されるすべてのパケットやコネクションに 対 しても、マルチレイヤのセキュリティを 提 供 します。ほとんどのネットワーク・アプライアンスやネットワーク・オペレーティング・システムでは、すべてのコネクションに 対 して1つのプロトコルスタックが 使 用 されています。このアプローチでは、トラフィック 最 適化 のための 選 択 肢 が 制 限 されるだけでなく、アプライアンスのすべての 部 分 が、 単 一 障 害 点(Single Point of Failure)への 攻 撃 、つまり、プロトコルスタックに 存 在 するセキュリティ・ホールを 狙った 攻 撃 やアプライアンス 全 体 へのDoS 攻 撃 にさらされることになります。BIG-IPでは、 複 数 の 独 立した、 独 自 のプロトコルスタック( 各 スタックはそれぞれ 独 自 の 方 法 で 個 別 のセキュリティ 対 策 を 実装 )を 使 用 することによって、 複 数 のレイヤが 相 互 に 依 存 ・ 保 護 し 合 う 極 めて 堅 牢 なセキュリティ・システムが 構 築 されています。 仮 に 外 部 から、BIG-IPのある1 部 のスタックに 存 在 するセキュリティ・ホールを 攻 撃 する 場 合 、 悪 意 のあるコードはその 攻 撃 に 免 疫 のある 他 のスタックを 通 過 しなければならないため、それらがBIG-IPのトラフィック 管 理 システム 全 体 に 影 響 を 及 ぼす 可 能 性 を 最 小 限 に 抑えられます。循 環 スタックからの 取 り 出 しこのような 業 界 をリードする 極 めて 高 度 なテクノロジが 採 用 されたトラフィック 管 理 OS、TMOSのもとで1 台 のアプライアンスに 統 合 されることによって、 完 全 なセキュリティ・ソリューションが 生 み 出 されます。つまり、TMOSへのコネクション1つで、 上 記 のすべてのテクノロジを 利 用 できるようになるのです。 次 の 例 を 考 えてみましょう。スミス 社 では、BIG-IP LTMの 仮 想 サーバ(VIP)の 背 後 に2 台 のSMTPメールサーバが 設 置 され、両 方 のSMTPサーバが1つのプールとして 構 成 されています。このSMTP VIPに 関 する 管 理 者 の 主な 関 心 事 は、メールサーバの 最 適 化 と 安 定 性 です。そこで 管 理 者 は、メールネットワークへの 着 信接 続 用 に 高 速 で 冗 長 性 のあるアクセスを 実 現 したいと 考 え、VIPにfastL4プロファイルを 適 用 しています。また、このVIPでは、インバウンドのSMTP 接 続 要 求 に 対 して、 極 めて 基 本 的 なソースIPによる 識 別 が 行 われ、 不 明 なソースからの 特 定 の 接 続 に 対 しては、SMTPプロキシのロジック(たとえば、SMTP 接 続 がRFCの 要 件 に 合 致 しているかを 確 認 する 基 本 的 な 正 常 性 チェックなど)が 適 用されています。 言 い 換 えれば、VIPは 新 しい 接 続 を 既 知 の「 有 効 な」IPアドレスのリストと 照 合 し、リストにあるアドレスからの 接 続 でない 場 合 は、そのSMTP 接 続 を 無 害 化 (サニタイズ)します。さらに、 最 後 のセキュリティ 対 策 として、 管 理 者 は 一 連 のパケットフィルタを 適 用 し、 内 部 ネットワークからSMTP VIPにアクセスできる 内 部 ホストとVLANを 制 限 しています。- 3-Jun-07

この 例 は 一 見 、 極 めて 一 般 的 に 見 えます。これは、F5の 多 くのお 客 様 が 現 在 、 既 存 のメール 配 信ネットワークでロードバランシング、 基 本 的 な 配 信 ロジック、および 配 信 セキュリティを 実 現 するために使 用 している、 標 準 的 なSMTP 接 続 システムです。しかし、その 中 には 多 くの 歯 車 があり、その 歯車 はスミス 社 のメールネットワークがもっともセキュアで 安 定 した 配 信 を 実 現 できるように、 極 めて 具体 的 な 独 自 の 方 法 で 連 動 しています。 管 理 者 はfastL4プロファイルを 適 用 しながら、VIPにアプリケーション 固 有 のタスクも 実 行 させており、これによってTCP Expressのフルプロキシ・プロファイルが呼 び 出 されます。これらの 一 見 シンプルな 構 成 の1つ1つがお 客 様 、ネットワーク、あるいは 実 装 ごとに 変 化 するのに 伴 って、これらの 歯 車 の1つ1つも、 同 様 に 高 レベルのセキュアで 安 定 した 配 信 を 実現 できるように、それぞれ 独 自 の 方 法 で 連 動 することになります。自 己 を 監 視 する: 内 部 のセキュリティセキュリティの 世 界 では、「システム 全 体 ( 鎖 )のセキュリティ 強 度 はもっとも 弱 い 輪 と 同 じ 程 度 」と 言われています。また 前 に 述 べたように、 大 きな 穴 のあいた 門 は 役 には 立 ちません。TMOSは、セキュリティを 念 頭 に 置 いてまったく 個 別 に 設 計 されたものです。TMOSでは、たとえば、BIG-IP LTMとその 背 後 のデバイスに 対 するユーザレベルのアクセスや、 外 部 接 続 とサブシステム 通 信 に 対 するパケットフィルタなど、 内 部 と 外 部 のコンポーネントに 対 するセキュアな 実 装 に 重 点 を 置 くことによって、プラットフォーム 全 体 を 通 して 同 じレベルの 緊 急 度 でセキュリティに 対 処 します。コードスキャンとクリーニング現 在 セキュアなシステムが 数 多 く 存 在 する 中 で、もっとも 重 要 な2つの 要 素 は、 設 計 とコーディングです。 実 際 、 完 全 にセキュアなソースコードはアプリケーションおよびネットワーク・セキュリティの 至 高の 目 標 であるという 見 解 が、ほぼ 一 般 的 となっています。すべてのアプリケーションが 最 初 からセキュアであるなら、アプリケーション・ファイアウォールなどの 高 度 なセキュリティデバイスは 恐 らく 必 要 ありません。F5は、 多 くのソフトウェア 開 発 会 社 と 同 様 に、セキュアコードの 開 発 に 特 に 重 点 を 置 き、 社 内の 開 発 スタッフにセキュアコードの 開 発 方 法 をトレーニングするために 多 くの 投 資 を 行 っています。しかし、ソフトウェアやネットワークにおけるセキュリティの 脆 弱 性 の 世 界 では、ほんの 小 さなミスが 極 めて 大 きな 問 題 を 引 き 起 こす 可 能 性 があります。このようなことから、F5はセキュアコード 開 発 への 取 り 組 みを 強 化 し、TMOSのソースコードのセキュリティにさらなるレイヤを 追 加 するために、 重 大 な 欠 陥 について 夜 間 にソースコードを 分 析 する、 高度 なサードパーティ 製 スキャン・アプリケーションを 実 装 しています。このコードスキャン・アプリケーションは、コンパイル 時 に、セキュリティ 上 のバグや 不 具 合 などの 欠 陥 、「ビルドを 中 断 」するようなバグ、メモリリークやメモリ 破 壊 といった 深 刻 なバグ、 新 しいコードによって 引 き 起 こされる 予 測 不 能 な 動 作を 探 し 出 します。ソースコードスキャンでは、 重 大 なバグや 欠 陥 のほかに、データの 完 全 性 の 問 題 やパフォーマンスのボトルネックといった 致 命 的 でない 欠 陥 も 見 つけることができます。セキュアなソースコードのスキャンと 評 価 を、セキュアな 設 計 と 実 装 に 伴 うツールとして 使 用 すれば、潜 在 的 な 欠 陥 が 大 惨 事 を 引 き 起 こす 前 に、そして 欠 陥 の 修 正 コストが 比 較 的 少 なくて 済 むうちに、 重 大 な 欠 陥 を 発 見 することができます。セキュアコードの 開 発 とコードの 評 価 は 相 互 に 補 完 し合 うものであり、TMOSの 設 計 および 開 発 段 階 にとって 不 可 欠 な 要 素 です。ソーススキャンのあと:ブラックボックス・テストソースコードの 評 価 のほかに、アプリケーションのブラックボックス・テストも、 市 場 への 一 般 出 荷 に 先立 って、TMOSのセキュリティ 確 保 のために 使 用 されるツールの1つです。ブラックボックス・テストは、アプリケーションやプラットフォームのテストを 実 施 する 手 法 で、(ソースコードスキャンとは 異 なり)システムにアクセスするために、 標 準 的 な 攻 撃 者 が 入 手 できる 程 度 の 知 識 しか 必 要 ありません。ブラックボックス・テストと 分 析 は、リリースまでのソフトウェア 開 発 ライフサイクルのどこにでも 適 用 できます。- 4-Jun-07

このタイプのセキュリティ 評 価 は、ソースコードスキャンで 洗 い 出 せる 範 囲 を 超 えたセキュリティ 影 響 テストを 継 続 することによって、 防 御 のレイヤを 追 加 するものです。 現 在 の 自 動 車 には、それと 同 じ 理由 でエアバッグとシートベルトの 両 方 が 装 備 されています。つまり、それぞれが 異 なる 形 の 防 御 を 提供 するのです。どちらも 重 要 であり、 併 用 すれば、 単 独 で 使 用 した 場 合 よりも 安 全 な 環 境 が 実 現されます。F5は、 自 社 開 発 のツールに 加 えて、 特 定 のアプリケーション・プラットフォームおよびプロトコルに 関 する 極 めて 具 体 的 な 欠 陥 やセキュリティの 脆 弱 性 を 検 出 ・ 除 去 することに 重 点 を 置 いた、 外 部 のサードパーティ 製 ツールを 実 装 しています。これは、ソースコードスキャンと 併 用 して、TMOSがすべての開 発 リリースを 通 じて 受 ける 堅 牢 なセキュリティ 評 価 を 強 化 するものです。ローカル・アプリケーション・レベルのセキュリティセキュリティ・アプライアンスは、 開 発 段 階 のセキュリティと 同 様 に、F5のセキュア・プラットフォーム 戦略 における 重 要 な 要 素 です。TMOSは3つの 独 立 したオペレーティング・システム・プラットフォームをまたがって 動 作 します。そのプラットフォームとは、WebベースのGUIやSSHといった 運 用 アプリケーションの 必 須 機 能 を 提 供 するホスト 管 理 サブシステム(HMS)、 管 理 アプリケーションおよびインターフェイスのためのSCCP、アプリケーション 配 信 ネットワークにおいて、トラフィックを 管 理 するTMMの3つです。これらの 各 環 境 には、BIG-IPによって 管 理 されるアプリケーションとデータをセキュアな 状 態 に保 つために、それぞれ 固 有 のセキュリティシステムが 必 要 となります。 前 に 取 り 上 げたTMMのセキュリティだけでなく、HMSとSCCP 管 理 システムにも、それぞれ 独 自 のセキュリティ・サブシステムが 組 み込 まれています。BIG-IP 上 のすべてのシステムは、 同 じスタックレベルの 防 御 に 依 存 してネットワークレベルのセキュリティを 確 保 していますが、 運 用 管 理 システムには 更 なる 防 御 が 必 要 です。オペレーティング・システムのセキュリティにとって 重 要 な2つ 分 野 は、ユーザ 管 理 とプロセス 管 理 です。これらの 重 要 分 野 はローカルとリモートの 両 方 のユーザおよびプロセスに 適 用 されます。 同 様に、 両 方 のBIG-IP 管 理 システム 用 に 配 備 されたセキュリティ・メカニズムが、それぞれにセキュリティを 提 供 します。BIG-IPは、ローカルおよびネットワークアプリケーション・レベルのセキュリティを 採 用 しています。これは、 一 般 にホスト 型 侵 入 防 御 (HIP)と 呼 ばれるもので、アクセス 制 御 やコンテインメント( 封 じ 込 め)による 制 限 を 実 施 することによって、 標 準 的 なシステムレベルのアクセス 制 限 をバイパスしてユーザやシステムを 攻 撃 するエクスプロイト・コードを 防 御 します。BIG-IPにインストールされたすべてのアプリケーションに 対 するエクスプロイト・コードは、カーネルレベルの 脆 弱 性 を 含 めて 常 に重 大 な 問 題 として 扱 われ、 可 能 な 限 り 早 急 に、ソフトウェアのメジャーリリースのサイクルを 外 れてパッチがリリースされます。これらの 公 開 された 脆 弱 性 とパッチの 間 で、BIG-IPのアプリケーション・セキュリティを 担 うHIPサブシステムは、ユーザとアプリケーションの 両 方 にとってセキュアな 作 業 環 境 を 維持 します。すべてのアプリケーションは 制 限 された 環 境 で 稼 動 し、 動 作 の 制 限 が 守 られているかどうか 常 に 監 視 されます。アプリケーションの 違 反 は、iControlをはじめとするBIG-IPの 多 くの 通 知 システムによって、BIG-IPの 管 理 者 に 直 ちに 通 知 されます。結 論 F5 は、アプリケーション 配 信 ネットワークのセキュリティを 実 現 することによって、もっとも 貴 重 なアプリケーション 資 産 を 保 護 します。F5 は 企 業 アプリケーションへの 信 頼 できるセキュアなアクセスを 提 供 するために、セキュアなアプリケーションの 枠 組 みを BIG-IP の 中 核 的 な 要 素 にまで 持 ち 込 まなければなりません。アプリケーション 配 信 にセキュリティを 提 供 するだけでは 十 分 ではなく、 配 信 するアプライアンスにもセキュアな 環 境 を 提 供 することが 必 要 です。 前 に 述 べたように、アプリケーション 配 信 ネットワークのセキュリティ 強 度 は、「もっとも 弱 い 輪 」と 同 じ 程 度 でしかありません。F5は、BIG-IPのアプリケーション・デリバリ・コントローラがアプリケーション・デリバリ・ネットワーキングの 鎖 の 中 で 極 めてセキュアな 輪 となるように、さまざまな 手 段 を 講 じています。- 5-Jun-07

F5について 米 国 ワシントン 州 シアトルに 本 拠 を 置 く F5 Networks, Inc.は、アプリケーション・デリバリ・ネットワーキングのグローバル・リーダーです。アプリケーションの 安 全 性 ・ 高 速 化 ・ 安 定 感 を 図 り、 企 業 が 行 ったアプリケーション 投 資 を 最 大 限 活 用 するソリューションを 提 供 します。ネットワークにインテリジェンスや 管 理 性 を 持 たせ、アプリケーションの 負 荷 を 下 げることでリソース 消 費 量 を 抑 えながら、アプリケーションの 高 速 化 を 実 現 します。F5 の 拡 張 性 に 富 んだアーキテクチャは、アプリケーションおよびネットワークの 保 護 、アプリケーションの 最 適 化 や 高 い 信 頼 性 、そのすべてを 1 台 の 共 有 プラットフォーム上 に 統 合 します。 世 界 10,000 社 以 上 の 企 業 やサービスプロバイダが、アプリケーションのアベイラビリティを 高 める F5 に 信 頼 を 寄 せています。F5 Networks, Inc.に 関 する 詳 細 は、www.f5.com をご 覧ください。F5 ネットワークスジャパン 株 式 会 社 は、2000 年 の 設 立 以 来 、 日 本 市 場 での 販 売 、サポート、コンサル ティングおよびトレーニングなどのサービスを、ビジネスパートナー 様 を 通 じ 展 開 しています。 国内 3,000 社 を 超 えるお 客 様 が、F5 の 提 供 するアプリケーション・デリバリ・ネットワーキング・ソリューションを 活 用 されています。F5 ネットワークスジャパン 株 式 会 社 に 関 する 詳 細 は、www.f5networks.co.jp をご 覧 ください。※ 本 文 中 に 記 載 の 社 名 、 製 品 名 はすべて 各 社 の 商 標 または 登 録 商 標 です。F5 ネットワークスジャパン 株 式 会 社東 京 都 港 区 赤 坂 4-15-1 赤 坂 ガーデンシティ 19Fhttp://www.f5networks.co.jp/fc/- 6-Jun-07