※WAFサービスの新規受付は終了いたしました(2018年3月時点)
はじめましてみなさん、河田です。
おもにIDCフロンティアのコーポレートサイトの運営を担当しています。
当社のことをみなさんに知っていただく看板サイトとして、日々、新サービスの紹介やイベント、キャンペーン情報などを発信し続けています。
本日は、IDCFクラウド上で稼働しているコーポレートサイトを運用し続けるための仕組みを次のポイントに分けてわかりやすくご紹介していきたいと思います。
はじめに
今回お伝えしたい内容がこちらです。
- 24時間365日運営できるサイト作り
- サイトを守るために必要な３つの対策
- GSLBによる広域負荷分散
- DDoS対策サービスの導入
- WAFの活用
- 実際に障害が起こってしまったら
- 最後に
前提となるWeb上の脅威のお話から、具体的な対策方法、障害発生時への備えまで一連の流れでご紹介したいと思います。では早速、本題に入りましょう。
24時間365日運営できるサイト作り
Webの世界にはリアル社会のように年末年始の休業期間などはありません。
基本的に24時間365日、サイトを運用し続けることが前提となります。
そしてWeb上でサービスを提供しているかぎり尽きないのがサイバー攻撃の脅威です。
中でもコーポレートサイトのような会社のブランディングに直結するサービスには
DDoS攻撃などが猛威を振るってきます。
TCP・SYNフラッド、UDPフラッド、DNSアンプ、Low and Slow攻撃など、その種類は上げればきりがないくらい存在します。
また、それぞれの攻撃が狙うターゲットレイヤーも異なり、その規模もどんどん大きくなってきています。
こうした悪意のある攻撃からサイトを守るためには、単純にサーバーを強化するだけでは対策不足です。ネットワークインフラからサーバーまで一貫した対策が必要になります。
サイトを守るために必要な３つの対策
IDCFのコーポレートサイトは、これからご説明する3つのサービスを用いてセキュリティ対策を実現しています。
では、実際にどのような取り組みをしているのか簡単にご紹介していきます。
1)GSLBによる広域負荷分散
サイバー攻撃に関わらず、人為的なミスや大規模災害などが起きて、サーバーに何らかの障害が発生した場合、ただちにGSLBは登録されているディザスタリカバリ（DR）サイトへ自動でアクセスを切り替え、ダウンタイムを
最小限に抑えてくれます。
通常のロードバランサーと違い、東西の拠点でロードバランシングを行うため、より一層可用性が担保されます。アクセス数の多い都心部からのレイテンシを考慮し、プライマリサイトを東日本に構築していることもポイントです。
そして、拠点間でのコンテンツ同期やバックアップを行い、さらにプライベートコネクト接続で
セキュアな通信網を利用すればベストです。
▲GSLBによるDRサイトへの自動切り替わりイメージ
2)DDoS対策サービスの導入
このDDoS対策サービスというのは、トラフィックがサーバーに届くより前の段階のネットワーク領域でDDoS攻撃を緩和、防御してくれます。
もう少し詳しく説明すると、以下のフローを自動で行います。
1. ネットワーク上の振る舞いから悪意のあるトラフィックを検知する
2. そのトラフィックを遮断するためのシグネチャを自動生成（動的シグネチャ※）
3. フィルタリングを実行
既知の攻撃手法に対しての防御は不正侵入検知/防御サービス（IDS/IPS）で対応可能ですが（静的シグネチャ）、未知の攻撃や巧妙に細工された攻撃にはこのDDoS対策サービスが特に効果を発揮します。
※静的シグネチャとは、既知の攻撃パターンをデータベース化して管理した上で、該当する攻撃をフィルタリングする方式です。
3)WAFの活用
WAFとはWeb Application Firewallの略称で、一般的によく知られているFirewallがポート、IP制限などのネットワークレイヤーの不正アクセスを防ぐのに対して、WAFは「SQLインジェクション」や「XSS」などのWebアプリケーションを狙った攻撃を防御してくれます。
例えば、お問い合わせなどのフォームからサーバーへ送られる入力データのチェックを行い、不正なデータが渡されないようにします。つまりサーバーとクライアントの間に立って通信を遮断し、Webアプリケーションを防御してくれます。
しかしながら、WAFを導入すればすべてのWebアプリケーションの脆弱性対策ができるかというと、答えはNOです。 あくまで暗号化された通信（SSL）上でのセキュアなプログラミングや適切なサーバー設定の漏れを補完することが目的です。
▲各レイヤーによりサイバー攻撃を防御する対象が異なる
こうしたネットワークサービスを導入することで、一定のサイバー攻撃からサイトを守ることができます。
しかもその負荷を専用機器でまかなうことができるため、Webサーバーに無駄な負荷をかけずに済みます。
SSLの暗号化・復号処理をサーバーではなく、ロードバランサーで行っていることもポイントの一つです（SSLアクセラレーション）。
普段何気なくアクセスしているコーポレートサイトも、コンテンツへ到達するまでには
上図のような様々なサービスを通過して閲覧できているワケですね。
実際に障害が起こってしまったら
ここからは人や組織の対策です。
あまり考えたくないことですが、実際に問題や障害が発生してしまった時の行動を緊急時対応マニュアルとしてフローチャート形式でまとめることや、エスカレーション先を決めた表を作成する必要があります。
この時、自分ひとりですべての作業を差配している人は少ないと思います。複数の部署をまたいだ連携が必要になってくるハズです。そのため、物事の決定権が誰にあるのかを事前に決めておくことは非常に重要です。できれば担当部署だけでなく、担当者名まで決めておくことができれば安心です。
またその代理や、最悪、誰とも連絡がつかなかった場合などその条件は多岐に渡りますが、まずは自分の上司など身近なところから決めて行き、表を完成させていきましょう。
まとめ
今回は少し駆け足でコーポレートサイトの全体像をお伝えしました。
以上のことを踏まえてIDCFのコーポレートサイトはざっくりと下図のような構成になっています。
普段は個々のサービスとして独立して説明する機会が多いと思いますが、このように一連の流れで説明することで、それぞれのサービスが担当する守備範囲がわかりやすくなったのではないでしょうか。
要点をまとめてみます。
- GSLBによるDRサイト構築
- DDoS対策サービスを含むネットワークサービス（FW、IDS/IPS、WAF、LB）の導入
- SSLによる通信の暗号化
- セキュアなプログラミングや適切なサーバー設定
- コンテンツの同期とバックアップ
- 障害時の対応マニュアルの作成
これらがすべて揃って初めて24時間365日運営できるサイト作りが実現することになります。
最後に、今回取り上げたこれらのサービスを実際使ってみたいという方へのお知らせです。
中でもIDCFクラウド上で導入可能なGSLB（DNS）やプライベートコネクト、ILBならすぐにでも対策を始めることができます。
また、お申込みベースでDDoS対策サービスを含むIDCFネットワークサービスも利用可能です。
これを機にみなさんが運営されているサイトのリスクマネジメント対策を見直してみてはいかがでしょうか？
