シグナルシリーズ第1回 : カスタムシグナルのご紹介

Fastly が2020年に Signal Sciences を買収した当時、業界で高い評価を受けている同社のセキュリティソリューションと、それを Fastly の配信/ネットワークサービスに統合することで得られるメリットについて、多くが語られました。

ただし、これまでに深く踏み込んだ説明をしてこなかった「あるもの」があります。その「あるもの」は、素晴らしいインサイトを提供し、時代の先を行く組織が必要とするセキュリティ対策をカスタマイズする上で重要な役割を担っています。

Fastly 次世代 WAF は Signal Sciences が基盤になっていますが、この「シグナル」とは一体何を指すのでしょうか。

「シグナル」は、リクエストにアサインされるタグ/ラベルのことを言います。Fastly 次世代 WAF では、このシグナルとルールを組み合わせることで、より正確でカスタマイズされたレスポンスをリクエストに対して実行することができます。今回の連続シリーズでは、Fastly のプラットフォームが提供するさまざまな種類のシグナルについて、お客様の実際のユースケースを交えながら簡単に分かりやすく解説していきます。今回は、カスタムシグナルの使用方法と、このパワフルな機能により、これまでにない方法で受信リクエストを活用できるようになる理由をご説明します。

カスタムシグナルの優れたパワー

従来型の Web アプリケーションファイアウォール (WAF) は、悪質なトラフィックがオリジンサーバーに達するのを防ぐことを目的に設計されています。これは、HTML や PNG が全盛期の頃のインターネットでは有効な対策でした。しかしこの10年間、動的コンテンツを扱うアプリケーションや API、マイクロサービスなどの普及により、レイヤー7のトラフィックが急激に増加しています。さらに、最先端の DevOps プラクティスや CI/CD を導入する組織も増え、従来型の WAF では現在の脅威やセキュリティのニーズに対応するのが困難になっています。

従来型の WAF では、悪質なリクエストが検出されると、セキュリティチームの選択肢は「ブロック」または「許可」のどちらかしかありません。例えば、郵便局での仕分け作業を思い浮かべてみてください。手紙や小荷物などを仕分けする際、機械が故障しないように、破損している郵便物は取り除く必要があります。

しかしそれ以外にも、サンフランシスコから発送された封書の数や、バイオハザードの警告ラベルが貼られた荷物の数の追跡など、郵便物に関するデータの収集もする必要があるとします。このような情報が正しくタグ付けされると、仕分けセンターでの郵便物の仕分けと流れを管理するポリシーに報告することができます。バイオハザードの危険がある荷物の数を追跡することで、そのような荷物を仕分けセンターの安全な場所に送ることができます。

カスタムシグナルは、興味のあるリクエストや異常なリクエストにタグ付けし、より精密なブロック/許可の決定を可能にする非常に効果的な機能です。より具体的に説明するため、組織がカスタムシグナルをアプリケーションに使用している2つの例をご紹介します。

シグナルの2つの活用例

acmecorp.com の経営者は、脆弱性スキャンでさまざまなインターネットソースから送信された異常なリクエストの増加に気付きました。これらのリクエストに共通しているのは、リクエストが同社の適切なホスト名「acmecorp.com」ではなく、同社の Web サイトの IP アドレスに送信されているということでした。ご存知のとおり、「acmecorp.com」を閲覧しているユーザーや顧客は、通常 IP アドレスの「192.168.1.10」ではなく、サイトのホスト名にリクエストを送信します。このような悪質な Web クローラーは、無駄なノイズやデータ転送、リソースの消費を引き起こし、結果的にクラウド費用の増加につながります。さらに同社は、使い捨て/匿名のメールアドレスを生成するツールを使用して不正なアカウントが作成されていることにも注目しました。

セキュリティチームは、カスタムシグナルを作成して以下の2つの方法で悪質なトラフィックにタグ付けし、ブロックすることができます。

Web クローラーをブロックするカスタムシグナル

まず、ドメイン名のacmecorp.com や acmecorp.net を含むトラフィックに Organization Domains というシグナルをタグ付けするルールを作成します。

次に、Organization Domains シグナルを含まないすべてのリクエストがブロックされるルールを追加します。

これでシグナルとルールが設定されたので、受信したトラフィックをチェックして状況を見てみましょう。ダッシュボードでは、サイトのドメイン名を知らないランダムなボットクローラーから受信したリクエストがブロックされていることが確認できます。

匿名のメールドメインにタグ付けされるカスタムシグナル

匿名のメールアドレスを使って作成されたアカウントの数を追跡するため、まず特定のドメインを使用して問題なく登録され、登録フォームにログインするリクエストを特定するルールを作成します。次に、使い捨ての匿名メールアドレスが使用されているリクエストにタグ付けされる Disposable Email という名前のシグナルを追加します。さらに、上述の例と同じように、Disposable Email シグナルを含むすべてのリクエストをブロックするルールを作成します。

「Disposable Email」シグナルを含むトラフィックを見てみると、ブロックされていることが確認できます。この方法で不正なアカウント登録を減らし、リソースの消費を抑えることができます。

シリーズ第2回もご期待ください

今回はカスタムシグナルの優れた機能と活用方法についてご説明しました。ぜひ皆さんの組織でもご利用ください。他のアイディアやユースケースに興味がおありの方は、担当のテクニカルアカウントマネージャーまでご連絡ください。

このブログシリーズでは今後、システムシグナルや異常シグナルについても解説します。ご期待ください！

まだ Fastly 次世代 WAF をご利用でないお客様はぜひお問い合わせください。