TMOS によるセキュアな開発とセキュリティの実装 - F5ネットワークス ...

このタイプのセキュリティ 評 価 は、ソースコードスキャンで 洗 い 出 せる 範 囲 を 超 えたセキュリティ 影 響 テストを 継 続 することによって、 防 御 のレイヤを 追 加 するものです。 現 在 の 自 動 車 には、それと 同 じ 理由 でエアバッグとシートベルトの 両 方 が 装 備 されています。つまり、それぞれが 異 なる 形 の 防 御 を 提供 するのです。どちらも 重 要 であり、 併 用 すれば、 単 独 で 使 用 した 場 合 よりも 安 全 な 環 境 が 実 現されます。F5は、 自 社 開 発 のツールに 加 えて、 特 定 のアプリケーション・プラットフォームおよびプロトコルに 関 する 極 めて 具 体 的 な 欠 陥 やセキュリティの 脆 弱 性 を 検 出 ・ 除 去 することに 重 点 を 置 いた、 外 部 のサードパーティ 製 ツールを 実 装 しています。これは、ソースコードスキャンと 併 用 して、TMOSがすべての開 発 リリースを 通 じて 受 ける 堅 牢 なセキュリティ 評 価 を 強 化 するものです。ローカル・アプリケーション・レベルのセキュリティセキュリティ・アプライアンスは、 開 発 段 階 のセキュリティと 同 様 に、F5のセキュア・プラットフォーム 戦略 における 重 要 な 要 素 です。TMOSは3つの 独 立 したオペレーティング・システム・プラットフォームをまたがって 動 作 します。そのプラットフォームとは、WebベースのGUIやSSHといった 運 用 アプリケーションの 必 須 機 能 を 提 供 するホスト 管 理 サブシステム(HMS)、 管 理 アプリケーションおよびインターフェイスのためのSCCP、アプリケーション 配 信 ネットワークにおいて、トラフィックを 管 理 するTMMの3つです。これらの 各 環 境 には、BIG-IPによって 管 理 されるアプリケーションとデータをセキュアな 状 態 に保 つために、それぞれ 固 有 のセキュリティシステムが 必 要 となります。 前 に 取 り 上 げたTMMのセキュリティだけでなく、HMSとSCCP 管 理 システムにも、それぞれ 独 自 のセキュリティ・サブシステムが 組 み込 まれています。BIG-IP 上 のすべてのシステムは、 同 じスタックレベルの 防 御 に 依 存 してネットワークレベルのセキュリティを 確 保 していますが、 運 用 管 理 システムには 更 なる 防 御 が 必 要 です。オペレーティング・システムのセキュリティにとって 重 要 な2つ 分 野 は、ユーザ 管 理 とプロセス 管 理 です。これらの 重 要 分 野 はローカルとリモートの 両 方 のユーザおよびプロセスに 適 用 されます。 同 様に、 両 方 のBIG-IP 管 理 システム 用 に 配 備 されたセキュリティ・メカニズムが、それぞれにセキュリティを 提 供 します。BIG-IPは、ローカルおよびネットワークアプリケーション・レベルのセキュリティを 採 用 しています。これは、 一 般 にホスト 型 侵 入 防 御 (HIP)と 呼 ばれるもので、アクセス 制 御 やコンテインメント( 封 じ 込 め)による 制 限 を 実 施 することによって、 標 準 的 なシステムレベルのアクセス 制 限 をバイパスしてユーザやシステムを 攻 撃 するエクスプロイト・コードを 防 御 します。BIG-IPにインストールされたすべてのアプリケーションに 対 するエクスプロイト・コードは、カーネルレベルの 脆 弱 性 を 含 めて 常 に重 大 な 問 題 として 扱 われ、 可 能 な 限 り 早 急 に、ソフトウェアのメジャーリリースのサイクルを 外 れてパッチがリリースされます。これらの 公 開 された 脆 弱 性 とパッチの 間 で、BIG-IPのアプリケーション・セキュリティを 担 うHIPサブシステムは、ユーザとアプリケーションの 両 方 にとってセキュアな 作 業 環 境 を 維持 します。すべてのアプリケーションは 制 限 された 環 境 で 稼 動 し、 動 作 の 制 限 が 守 られているかどうか 常 に 監 視 されます。アプリケーションの 違 反 は、iControlをはじめとするBIG-IPの 多 くの 通 知 システムによって、BIG-IPの 管 理 者 に 直 ちに 通 知 されます。結 論 F5 は、アプリケーション 配 信 ネットワークのセキュリティを 実 現 することによって、もっとも 貴 重 なアプリケーション 資 産 を 保 護 します。F5 は 企 業 アプリケーションへの 信 頼 できるセキュアなアクセスを 提 供 するために、セキュアなアプリケーションの 枠 組 みを BIG-IP の 中 核 的 な 要 素 にまで 持 ち 込 まなければなりません。アプリケーション 配 信 にセキュリティを 提 供 するだけでは 十 分 ではなく、 配 信 するアプライアンスにもセキュアな 環 境 を 提 供 することが 必 要 です。 前 に 述 べたように、アプリケーション 配 信 ネットワークのセキュリティ 強 度 は、「もっとも 弱 い 輪 」と 同 じ 程 度 でしかありません。F5は、BIG-IPのアプリケーション・デリバリ・コントローラがアプリケーション・デリバリ・ネットワーキングの 鎖 の 中 で 極 めてセキュアな 輪 となるように、さまざまな 手 段 を 講 じています。- 5-Jun-07