Web Application Firewall (WAF) Best Practices

データベースとデータアクセスの問題

多くの企業では、機密データは多数のバックエンド データベースに保存され、Web アプリケーションや API を介してアクセスされます。 このデータは関連するチーム間で共有されますが、チームのアーキテクチャが時間の経過とともに拡大するにつれて、データにアクセスするデバイスの数と種類が手動での追跡をはるかに超えて拡大し始めました。

アプリケーション層で行われるオンライン トランザクションを監視する方法がなければ、アプリケーションは脆弱性を悪用して貴重なデータにアクセスしようとする攻撃者の主要な標的になることになります。

WAFのベストプラクティス

基本原則として、すべての Web アプリケーションは開発全体を通じて可能な限り安全である必要があります。 しかし、脆弱性は静的なものではありません。

• デプロイメント後の脆弱性は、特にオープンソース コンポーネントに依存するアプリの場合、警告なしに現れることがあります。

また、アプリケーション コードが安全でないことが判明した場合、それをオフラインにしてコア ソース コードの問題を修正するには、コストがかかりすぎたり、ダウンタイムが長すぎたりする可能性があります。

ここでは、潜在的なリスクにもかかわらず、WAF が Web アプリケーションのセキュリティを維持するのにどのように役立つかを説明します。

1: 既存の中央インフラストラクチャとの統合

セキュリティを確保するには、WAF を既存のインフラストラクチャにスムーズに統合する必要があります。WAF は柔軟性が高く、大規模な変更を必要とせずに簡単に適合し、アプリケーションとユーザーを保護する必要があります。

これは、WAF を慎重な監視なしにインストールする必要があるという意味ではありません。

ハブアンドスポークモデル

たとえば、企業がハブアンドスポーク モデルを採用しており、多数のユーザーとデータベースが 1 か所で管理されている場合、WAF をインストールできる場所は実際には 1 か所だけです。ハードウェア アプライアンスのような、インフラストラクチャの安定した中心部分にインストールする必要があります。

これにより、パフォーマンスの信頼性の基盤が提供され、セキュリティ ルールがそれに適合できるようになります。

分散型または急成長するインフラストラクチャ

対照的に、オンライン電子商取引ストアのように、組織が分散型または急成長中のインフラストラクチャを備えている場合は、分散型 WAF の方が適しています。

WAF製品が複数のアプリケーションに展開されているからといって、管理が複雑になる必要はありません。Check Point WAFのような最新のセキュリティツールを使えば、中央プラットフォームからすべてを管理できるため、管理が簡単になります。

＃2：パフォーマンス基準を定める

WAF のパフォーマンスを追跡することは、長期的な管理に不可欠であり、WAF の寿命の早い段階で確立することが最適です。

技術的なスループットに関しては、WAF の実際のスループットと同じくらい基本的なものになります。次の点に注意してください。

• アプリケーションの同時ユーザー数
• 平均およびピーク負荷時の単位時間あたりのHTTP リクエスト数

これをサポートするには、WAF 内でログ記録を有効にし、それを中央ログ管理システムに接続します (統合のベスト プラクティスについては、以下をお読みください)。これらのメトリクスにより、ルールのパフォーマンスをリアルタイムで把握できるため、WAF を成功に導くことができます。

3: WAF固有のロールを導入する

WAF のアプリケーション保護能力は、ほぼすべて、正しい実装とルールの継続的なメンテナンスに由来するため、誰が責任を負うのか明確にすることが重要です。新しい WAF の 1 回限りの導入を担当する請負業者を導入する場合、その請負業者の WAF 機能に関する理解が、お客様のインフラストラクチャ要件と一致している必要があります。

WAF ルールセットを長期的に維持するために、誰がどのくらいの頻度でレビューするかを明確にします。これを支援するには、WAF と企業内のより広範なメカニズムとの間のリンクを確立することが重要です。

セキュリティ面では、より広範な SOC には次のものが必要です。

• アラートを管理するためのワークフローを設定する
• アラート管理のタイムスケールに適したKPI

アプリケーション開発側では、特定のアプリケーションのプロトコルと要件に合わせてルールを開発する必要があります。WAF チームとDevOpsの連携が不可欠です。

アプリケーションドキュメントにサービス所有者が含まれている場合、このプロセスははるかに高速になります。

#4: WAFのルールセットを調整する

安全な WAF ツールには、すぐに起動して実行できる事前構成済みのリストが付属しています。ルールセットの種類も自由に選択できます。ブラックリストは悪意のあるトラフィックのみを識別してブロックします。ホワイトリストは、検証可能なセキュリティのトラフィック以外をすべてブロックします。

ホワイトリスト登録はより安全なアプローチですが、WAF の正確な展開には必ずしも適しているわけではありません。

WAF のルールセットを独自のアプリケーション デプロイメントに合わせて調整することは、誤検知を防止し、ルールの複雑さを軽減するために不可欠です。 これを実現するには、次のことが可能です。

• WAFツールに入る
• ダッシュボードで例外を定義する

ただし、更新プログラムのインストール時に WAF プロバイダーがこれらのルールをどのように処理するかに注意してください。

通常、PowerShell または CLI を介して WAF ルールの除外をコードとして定義した場合は、ルールセットを更新した後でもルールの調整を維持できます。

#5: 他のセキュリティツールとの統合

侵入防止システム (IPS) は、ファイアウォールをバイパスする可能性のある悪意のあるアクティビティを識別して軽減するためにネットワーク内にさらに配置されるセキュリティ ソリューションです。

侵入防止システム

同様の方法で疑わしいトラフィックを報告、ブロック、またはドロップするように構成できますが、これら 2 つのソリューションを統合することで、IPS が提供するコンテキスト アプリケーションの理解の一部を WAF の拒否または許可アプローチに組み込むことが可能になります。

保護を強化するために、分散型サービス拒否(DDoS) 攻撃から防御するように設計されたクラウドベースのソリューションを統合することもできます。統合された WAF が DDoS 攻撃を検出すると、大規模なリソースを大量に消費する攻撃を適切に処理できる DDoS 保護プラットフォームにトラフィックを再ルーティングして、ネットワークを安全に保ちます。

さらにアップグレードも可能です…

コンテンツ配信ネットワーク

WAF はネットワーク エッジに配置されるため、クラウドでホストされる WAF には、Web サイト データをキャッシュし、読み込み時間を短縮するコンテンツ デリバリー ネットワーク (CDN) 機能を組み込むこともできます。 CDN は、世界中に分散された複数の Point of Presence (PoP) を使用するため、最も近い場所からユーザーにサービスを提供することで、より優れたパフォーマンスを保証します。

セキュリティ情報およびイベント管理

最後に、セキュリティ情報およびイベント管理(SIEM) システムと統合すると、セキュリティ イベントの集中的な監視と分析が可能になります。WAF は、ルールがトリガーされるたびに SIEM プラットフォームにログとアラートを送信し、そこで次のような他のセキュリティ ツールからのデータと集約することができます。

• ファイアウォール
• 侵入防止システム（IPS）
• ウイルス対策ソフトウェア

これにより、セキュリティ チームはパターンを検出し、イベントを相関させ、インシデントをリスク別にランク付けできるようになります。

これらの統合により、リクエストごとのルールセットを拡張して、セキュリティ体制全体を包括的に可視化できるようになり、リアルタイムの脅威検出や、コンプライアンスおよび監査の目的で詳細なレポートを生成する機能も得られます。