CIRA、Akamai Secure Internet Access Businessを活用し、手頃な価格のきわめて効果的なDNSファイアウォールサービスを開始

Canadian Internet Registration Authority（カナダのインターネット登録局、略称CIRA）は、すべてのカナダ人のために安全でセキュア、かつ信頼性の高い「.CA」ドメインを運用するという任務に基づいて運営されています。西暦2000年に設立され、管理するドメイン数は280万件以上にのぼっています。

CIRAは数年前、レジストリとしての収益を補完できる新たなサービス機会を見出しました。2015年、CIRAはD-Zone Anycast DNSを導入することで、初めてDNSベースのサイバーセキュリティに移行しました。このサービスは現在、プロバイダー（ISP）数社、カナダ政府、および多くの教育機関に使用されています。カナダの包括的なセカンダリDNSサービスのリリース後に、多くのCIRAのお客様がキャッシュDNSサービスを依頼しました。教育分野の組織は、コンテンツフィルタリング機能を提供するサービスに特に関心を持っていました。

「マルウェア、ランサムウェア、フィッシング攻撃から組織を保護する、クラウドベースのサイバーセキュリティサービスというコンセプトに基づいて、提供するオプションについて模索し始めました」と、CIRAのBusiness Development and Product Manager、Mark Gaudet氏は説明します。

CIRAは、社内でキャッシュDNSサービスソリューションの構築を検討しました。「DNS RPZを使用してそのようなソリューションを実装することも可能でしたが、実際に価値があるのは脅威フィードだと考えており、それを独自に開発することはできませんでした」とGaudet氏は述べています。

そこでCIRAは、再帰サーバーを備えたDNSベースのセキュリティソリューションを大規模ISPに提供していた当時の業界リーダー、Nominum（現在はAkamaiの傘下）に注目しました。「私たちはNominumが世界中のDNSデータにアクセスできることを知っていたため、リアルタイムの脅威フィードを開発できるのではないかと考えました」と、Gaudet氏は話しています。

この提携により、CIRAは6か月以内にD-Zone DNS Firewallのトライアルを開始することができ、その3か月後には実稼働を開始しました。このソリューションでは、毎日1,000億以上のDNSクエリーを評価して悪性かどうかを判断する、カナダ全体に展開されたスマートリゾルバを使用します。脅威カバレッジをクラウドサービスによって継続的かつ自動的に更新することで、きわめて動的なエクスプロイトを阻止しています。

CIRAは、カナダの自社インフラを活用して、Akamaiがサポートするクラウドベースのサービスを展開することで、大規模な設備投資の必要なくお客様を引き付けることができます。それと同様に重要なのは、このサービスによってCIRAはカナダ人向けに注力したサービスを構築できるということです。つまり、データ主権の維持を目的として、すべてのDNSクエリーデータをカナダ国内に保持することが可能になります。「グローバルにホストされているDNSサービスではカナダ国内でのデータ保持が保証されません。しかし、このサービスではそれが可能になります。つまり、カナダ国内にデータを保持するという要件に対処できるよう、カナダの組織を支援して、CIRAの任務を果たすことができるのです」と、Gaudet氏は説明します。

さらに、CIRAはAkamaiのSecure Internet Access Businessソリューションを使用しており、パフォーマンスに影響を与えることなく、グローバルなスケールとキャパシティを実現しています。さらに、ネットワークベースで防御するため、お客様は従来のクライアントベースのセキュリティ製品で要求されるようなソフトウェアのインストールや更新の必要はなく、技術的専門知識をオンプレミスで保持している必要もありません。このサービスは基本的にはターンキーソリューションであり、必要なのはお客様のDNSリゾルバーをCIRAクラウドに指定することだけです。

2017年のリリース以降、D-Zone DNS Firewallは小規模企業から大規模な大学組織に至るまで、150万人を超えるカナダ人を保護してきました。CIRAは自治体部門で特に成功を収めており、現在までに70を超えるカナダの自治体をD-Zone DNS Firewallで保護しています。

「D-Zone DNS Firewallを使用することで、私たちは基本的なセキュリティレイヤーを広範な組織に提供しています。保護を実装する余裕がない、またはそれを活用できる技術的リソースがないために、保護サービスの利用が難しいと思われていた組織に、当社ならご提供できます」と、Gaudet氏は述べています。また、このサービスにより、スピアフィッシング攻撃の影響を受けるデスクトップの数が90%減少しました。実際、ある教育分野のお客様は、CIRAのサービスを使用して迅速に新たな攻撃をブロックし、IT部門の時間と労力を大幅に削減しています。「このような事例は、私たちのサービスがカナダ市場において非常に役立っていることを実感させてくれます」と、Gaudet氏は述べています。

また、CIRAはAkamai DNSi Big Data Connectorを使用して、すべてのDNSクエリーデータと、Akamaiのリゾルバーから収集したボットおよびフィッシングのブロックデータを、Elasticスタックに統合しています。このスタックには、検索および分析エンジン、データ収集およびログ分析エンジンが含まれています。また、分析および可視化プラットフォームも含まれているため、CIRAはネットワークで収集されたすべての種類のDNSおよびセキュリティ関連データを検索し、表示することができます。これにより、CIRAは、より簡単に調査を実行し、お客様の問題をデバッグできます。

CIRAはAkamaiのカスタマーポータルから開始しましたが、最終的にはD-Zone DNS Firewallサービス上に独自のカスタマーポータルを構築しました。複数の場所で事業を運営しているお客様は、このポータルを使用することで、作成したポリシーをきめ細かい制御で中央から設定して適用できます。またCIRAは、お客様およびパートナー向けにAPIも提供しています。お客様はそれを使用して、たとえば、セキュリティ情報およびイベント管理ソリューションにクエリーを取得、およびブロックし、問題を特定のユーザーおよびデバイスに関連付けます。セキュリティベンダーおよびISPはこのサービスを統合することで、カナダのお客様にDNS保護を追加できます。

CIRAは2019年末までに、DZone DNSファイアウォールサービスが新製品の収益の50%を占めると予想しています。CIRAの次の戦略的計画は、強力なサイバーセキュリティに焦点を当てたものになる予定です。

「DZone DNSファイアウォールを導入したことで、サポートしやすい製品を使用して、非常に迅速かつ容易にサイバーセキュリティ市場に参入できるようになりました。これによって当機関の事業に新たな方向性が生まれ、異なる市場に参入することができました。今後は補完的なサービスと製品を提供する予定です」と、Gaudet氏はまとめています。

Canadian Internet Registration Authority（CIRA）は、会員ベースのNPOです。すべてのカナダ人のためにインターネット上の .CAドメインを管理しています。また、カナダのインターネットコミュニティーをサポートするポリシーを開発および実装しており、国際的には .CAのレジストリとなっています。カナダのオンライン環境をより良いものにするために、インターネットを最大限に活用したプログラム、製品、サービスを構築するとともに、すべてのカナダ人に安全でセキュア、かつ信頼できるオンライン体験を提供しています。詳細については、https://cira.ca/をご覧ください。