Fastly によって AWS 上で Bambora を保護

Bambora はオンライン支払いの受け入れを可能にする柔軟性の高いソリューションを企業に提供しています。顧客データは Bambora の API を通じて AWS に送信され、決済処理されます。Bambora は当初、ある CDN WAF を使用していましたが、運用コストが高すぎたため、大規模な DDoS 攻撃からの保護に AWS Shield を、アプリケーションレイヤーの可視化と保護に Fastly の Next-Gen WAF を使用することにしました。

Bambora は OWASP が警告するインジェクション攻撃以外の脅威にも対処できる柔軟なソリューションを求めていました。Fastly の Next-Gen WAF は、クレデンシャルスタッフィングやビジネスロジックの悪用など、機密性やリスクの高いデータのやり取りを狙った攻撃から保護する機能を備えています。一方　Bambora は、他の従来型 WAF ソリューションと同様に AWS WAF も保護の範囲が限られており、管理コストも高くつくことに気づきました。Next-Gen WAF は高いスケーラビリティを備えているうえ、リアルタイムでアプリケーション特有のリスクや悪用をモニタリングしてブロックできます。

課題

Amazon Web Services Web Application Firewall (AWS WAF) をデプロイして AWS 上のアプリケーションを保護するのは、シンプルな選択肢のように思えるかもしれません。しかし現実には、正規表現 (regex) ルールに依存している AWS WAF で企業独自のアプリケーションを保護するのは、正確なブロック機能とスケールできる柔軟性を必要としている組織にとって容易ではありません。

最先端の攻撃検出メソッドの欠如
AWS WAF の Managed Rules は攻撃の検出に正規表現ベースのルールを使用しています。このシンプルなマッチング手法は、シンプルなクエリやトラフィックリクエストに対して誤検知を発生させる可能性があるため、今日の巧妙な攻撃への対処に適していません。また AWS WAF は、大規模な攻撃を緩和するうえで重要となる高度なしきい値ベースの機能を備えていません。

高いメンテナンスコスト
AWS WAF のルールは WAF 内に単独で存在していません。ルールを定義するには、Web ACL やマネージドルールグループを設定する必要があります。Web ACL やルールグループ内でルールを設定する際、異なるレートや要件が適用されるため、ルールの作成や管理によって総保有コストが増加します。また、料金請求が複雑化し、予測不可能になります (特に突然トラフィックが急増した場合)。アプリケーションやサービスがスケールアップするにつれ、これは大きな負担となります。

エコシステムとサードパーティとの依存関係
ツールや環境に関して柔軟性を必要とする組織は、AWS のエコシステム内では不自由に感じることがあります。このエコシステムでは、業界標準のソフトウェアに加えて人気の高い DevOps ツールの独自バージョンが推奨されているためです。さらに、AWS WAF には基本のルールセットが存在し、ルールを追加するたびに、AWS 内またはサードパーティのセット (マネージドルールグループ) を通じて購入しなければなりません。

マルチクラウドやハイブリッドクラウド全体を統合管理できない
すべてのプロパティが AWS で運用されていない場合、AWS の外にあるアプリケーションやサービスのセキュリティに関する統合されたビューが提供されません。AWS はネイティブコントロールを求めるアプリケーションチームにとって、適した選択肢のひとつですが (単一クラウドのユースケースの場合)、ハイブリッド環境やマルチクラウド環境を使用しているネットワークセキュリティチームやエンタープライズにとっては可視性が不足しています。

ソリューション

クラウド環境にアプリケーションをデプロイすることで、組織はビジネスの俊敏性とデータの可用性を強化しながら、コストを削減できます。しかし、依然としてセキュリティが主な懸念材料のひとつとなっています。クラウドネイティブのアプリケーションを運用している組織の73%が、脅威や進行中の攻撃に対する実用的かつ詳細なリアルタイムのインサイトが得られないと語っています。

Fastly の Next-Gen WAF によって、クラウドチームと DevOps チームは AWS で運用しているアプリケーションや API、マイクロサービスを容易に保護することができます。簡単にインストールできる Fastly のソフトウェアはパフォーマンスに大きな影響を及ぼすことなくあらゆるアプリケーションをサポートします。すべての攻撃から保護し、任意の DevOps ツールチェーンと統合してチーム間で共有できる可視性を提供します。