匿名の米国研究大学

米国中西部に所在するこの研究大学では、100人のスタッフから成るIT組織内の少人数のチームが、メール、シングルサインオン、管理アプリケーションなどの共有サービスを管理しています。あるITチームメンバーは次のように述べています。「常にセキュリティを気にかけています。この大学には250のアプリケーションがありますが、新規の攻撃があれば、少なくともこれらのアプリのどれか1つは確実に影響を受けます。1つのサーバーが攻撃によって侵害されても、その攻撃が他のサーバーに移動しないようにすることも私たちの任務です。これによってリスクを抑制できます」。

このITチームは、定期的なパッチ適用、侵入検知、Webアプリケーションファイアウォールなどのセキュリティ手法を組み合わせて脅威を排除しています。これらすべての防御を通過した攻撃に対しては、マイクロセグメンテーションと呼ばれる手法でその拡散を抑制します。この手法の目的は、Webアプリケーションがデータベースに接続する場合など、絶対的に必要な場合にのみサーバー間の通信を許可することです。

これまで、ITチームはファイアウォールルールを作成することでネットワークをセグメントに分割していました。たとえば、アプリケーションAはアプリケーションBおよびCからのトラフィックを受け入れることができますが、他のすべてのアプリケーションからのトラフィックはブロックするといったルールです。このアプローチは、すべてのアプリケーションがキャンパスのデータセンターで稼働している時には良好に機能していました。しかし、この大学がAWSとAzureのクラウドにアプリケーションを移行し始めると、ファイアウォールルールが複雑化し、管理が困難になりました。 

たとえば、Admissionsのようなアプリケーションは、AWSリレーショナル・データベース・サービスに接続しますが、このサービスでは多数のIPアドレスが継続的に変化します。ファイアウォールルールに新しいIPアドレスを絶え間なく再入力する時間はないため、この大学のITチームはより効果的で管理しやすいセグメンテーションソリューションを探すことにしました。

Akamai Guardicore Segmentationで課題を解決できることがわかり、同大学のITチームは、大学のオンプレミスとクラウドのサーバーにこのソフトウェアをインストールしました。クラウドサービスで使用されるIPアドレスは頻繁に変更されますが、変更されると即座にAkamaiがルールを調整し、新しいIPアドレスが反映されます。 

大学関係者はこのソリューションの効果をすぐに実感しました。たとえば、これまでITチームは、新たに発見されたセキュリティ脆弱性を修正するために、250台すべてのサーバーの設定をできる限り迅速に更新する必要がありました。しかし、サーバーは多数のIPアドレスを持つクラウドリポジトリから新しい設定を取得し、それらのアドレスは変更されているのです。 

あるITスタッフメンバーは次のように話します。「今もセグメンテーションにファイアウォールを使用していたとしたら、サーバーは脆弱なままで、私たちは新しいIPアドレスによるルール更新で混乱していたと思います。Akamaiのおかげで脆弱性の露出機会が減り、私たちの手間も大きく軽減しました」。

現在、セグメンテーションは管理を容易にするだけでなく、さらに大きな効果をもたらしています。ファイアウォールはサーバーへのインバウンドトラフィックを制御しますが、Akamai Guardicore Segmentationはサーバーからのアウトバウンドトラフィックも制御できます。つまり、「イーグレスブロッキング（内→外方向のブロック）」と呼ばれる防御が可能なのです。これは、サーバーにソフトウェアがインストールされていることで実現する機能です。 

前述のITスタッフメンバーは次のように述べています。「ファイアウォールで内→外方向のルールを作成するのは悪夢のようなものですから、以前はしていませんでした。Akamaiなら簡単です。これは感染の拡散を防ぐもう1つの手段となります」。 

ITチームは、ルールが機能しているかどうかの確認に役立つという点でもAkamaiを高く評価しています。視覚的なマップを見れば、どの接続が確立していて、どの接続がブロックされているのかが一目でわかります。以前は、同じことを確認するのに、250台のサーバーすべてにログインしてファイアウォールのヒットカウンターを調べる必要がありました。このような作業に対応できる時間はありません。

ITチームは、セキュリティを強化しながらユーザー体験を向上させたことで、大学の名声を高めています。たとえば、ある入学志望者が午後8時にAdmissionsアプリケーションにログインして、アプリケーションのステータスと学資援助の資格を確認しようとしたとします。一方、AWSが午後7時59分に基盤となるデータベースを別のサーバーに移動していたとします。アプリケーションとデータベースの間の通信がファイアウォールルールに依存している場合、この入学志望者には後で再試行するように伝えるメッセージが表示されると考えられます。Akamai Guardicore Segmentationを使用していれば、この入学志望者は、クラウドでのIPアドレスのシャッフルに関係なく、最新の情報を確認できるため、大学の第一印象は大きく向上します。

現在、ITチームはAkamaiソリューションにサーバーを追加し、サーバー1台あたり5分にまでプロセスを短縮しています。チームは、Akamai Guardicore Segmentationによって節約された時間を使って新しいクラウドテクノロジーを学び、技術的な負債の削減に取り組んでいます。また、Akamaiを使用してランサムウェア攻撃の影響範囲を縮小することも検討しています。

前述のITスタッフメンバーは最後に次のように締めくくっています。「Akamaiを使用すればサーバー間の脅威の拡散を制限できることは知っていました。驚いたのは本当に簡単にできるという点です。特に、Akamai Guardicore Segmentationを使えば、当大学のルールを適用して、クラウドサービスで絶えず変化するIPアドレスに対応できます。しかも、これらすべてがセキュリティの強化に役立ち、在校生、入学志望者、教職員の体験の向上にもつながるのです」。