ソリューションブリーフ

SSLインサイト機能搭載
セキュアWebゲートウェイ
Web アクセスの保護とSSL の盲点の排除

攻撃や侵入、マルウェアへの感染を防止するために、企業は送受信するトラフィックに脅威が含まれているかどうかを検査する必要があります。残念なことに、攻撃者が検知を逃れるためにSSL 暗号を利用するケースが増加しています。SSL をサポートするアプリケーションがますます増加する中で（2016 年までに SSL 通信はインターネットトラフィックの 67% を占めると予測されています 1 ）、SSL 暗号は単に企業の防御壁でよく知られた抜け穴であるというより、悪質な攻撃者に悪用される巨大な穴を意味しています。

課題

セキュリティデバイスによる検知を回避するために SSL が多用されつつある状況は、企業防御のすきを露呈させます。組織では、トラフィックの検査、侵入のブロック、マルウェアの阻止、ユーザーがアクセスするアプリケーションの制御のために、非常に多くのセキュリティ製品群を活用しています。組織内のユーザーを保護するために、これらの製品はプレーンテキストのトラフィックだけでなく、すべての通信を検査しなければなりません。残念ながら、多くのファイ課題悪質なユーザーが SSL 暗号化を使用して攻 撃を隠 匿するた め、組 織 には SSLトラフィックを復号化するための強力でハイパフォーマンスなプラットフォームが必要です。
これにより、悪意ある Web サイトへのアクセスを制限できます。

ソリューション

A10 Networks のセキュア Web ゲートウェイ
機能は、SSL インサイト技術を搭載しています。組織は、SSL 通信をインターセプトアウォールや侵入防止製品、脅威阻止プラットフォームは、増大する SSL 暗号化の要求に追随して、ファイアウォールや脅威阻止プラット

NSS Labs は、発行したレポート『SSL Performance Problems』で、次世代ファイアウォールティデバイスに転送し、検査することにより、できていません。

ベンダーの主要 8 社が 2048 ビット暗号化トラフィックの復号化の際に大幅なパフォーマンス低下を経験したことを発表しました。そのため NSS Labs は、「専用 SSL 復号化デバイスを使用しない企業ネットワークの SSL 検査の実行可能性を懸念する」と論じています。2

企業では、電子メール、CRM、ビジネスインテリジェンス、ファイルストレージなどの重要なアプリケーションをクラウドに移行していますが、社内で運用しているアプリケーションと同様にこれらのアプリケーションを監視して保護する必要があります。このようなクラウドベースアプリケーションの多くは SSL を使用しており、その結果として組織の防御の大きな穴が露呈されています。エンドツーエンドのセキュリティを確保するために、組織では内部ユーザーからの送フォームなどのサードパーティー製セキュリ望ましくないサイトへのアクセスをブロックしたり、暗号化されたデータを分析することが可能です。

利点• SSLトラフィックの高速な復号化により、企業防衛における盲点を排除

信 SSLトラフィックと、外部ユーザーから企業所有のアプリケーションサーバーへの受信 SSLト

• 悪意あるWebサイトのブロックにより、

A10 Networks の SSL インサイト機能付きセキュア Web ゲートウェイソリューション

• 高度な脅威の検出により、大きな損失をもラフィックを検査し、企業防御の盲点を排除しなければなりません。

高速な SSL 復号化

A10 Networks® の SSL インサイト機能を包含したセキュア Web ゲートウェイは、SSL 暗号化によって生じる盲点を排除して、CPU を集中的に使用する SSL 復号化機能を代わりに実行します。この機能によって、セキュリティデバイスはプレーンテキストだけでなく、暗号化されたトラフィックも検査することが可能になります。A10 Networks Thunder® CFW 製品ラインに標準装備されているセキュア Web ゲートウェイ機能は、SSL 暗号化トラフィックを復号化して、ファイアウォールなどのサードパーティー製セキュリティデバイスに DPI（ディープパケットインスペクション）のために転送します。トラフィックの分析とクリーンアップが終了すると、セキュア Web ゲートウェイはそのトラフィックを再び暗号化して目的の宛先に転送します。
1
2「Sandvine Global Internet Phenomena Spotlight: Encrypted Internet Traﬃc report」、2015 年 5 月
NSS Labs、「SSL Performance Problems」、https://www.nsslabs.com/reports/ssl-performance-problems© 2024 A10 Networks, Inc. All rights reserved.

マルウェア感染とフィッシング攻撃を防止

たらすデータ漏えいや知的財産の喪失を阻止• 複数のサードパーティーセキュリティアプ

ライアンスの負荷分散により、アップタイ
ムを最大化

SSLインサイト機能搭載セキュアWebゲートウェイ | SOLUTION BRIEF

サーバー

SSLインサイトのトラフィックフロー
1Webサーバー
4によって復号化される。
2

てい な いデ ー タを セキュリ

5検査/
保護

3暗号化

その他

暗号化されたSSL

セキュリティデバイス

スト形式のデータを検査する。
外部のThunder CFWがデータを再度暗号化し、サーバーにセキュリティデバイスサーバーが暗号化された応答復号化されたSSL送信する。

UTM
IDS

インターネット

アプライアンスがプレーンテキ

A10 ThunderCFW

42を外 部 のThunder CFW に送

A10 Thunder
CFW
暗号化されたSSL信する。

A10 Thunder
CFW

1Thunder CFW が 暗 号 化されティアプライアンスに送信し、3DLP

暗号化トラフィックが、内部のクライアント側 Thunder CFW

暗号化

インターネット

クライアントから送信された

6

5

Thunder CFW が応答を復号化し、検査のためセキュリティデバイスへ転送する。

暗号化
6

内部のThunder CFWがセキュリティデバイスからトラフィック

クライアント1

クライアント2

図2：Thunder CFWは、トラフィックを復号化し、非インラインにパッシブモードで導入されているセキュリティデバイスに転送可能を受信し、再度暗号化してクライアントに送信する。

クライアント

図1：Thunder CFWを利用したWebからの脅威に対する内部ユーザーの保護

SSLトラフィックを完全に可視化

専用セキュリティデバイスはネットワークトラフィックの詳細な検査や分析機能を提供しますが、そのほとんどは高速で SSLトラフィックを復号化と分析の一元管理ポイント

組織の多くは、アプリケーションの分析とフィルタリングを行うために複数のセキュリティソリューションを導入しています。セキュア Web

暗号化できるように設計されていません。実際には、セキュリティ製ゲートウェイとSSL インサイトの組み合わせは、SSLトラフィックを復セキュア Web ゲートウェイは、CPU を集 中 的に使 用する暗 号 化とトを提供するため、トラフィックを何度も復号化する必要がなくなります。

アプリケーションのパフォーマンスを高めます。

動作可能です。

品の中には、SSLトラフィックを一切復号化できないものもあります。
復号化の処理を専用セキュリティデバイスに代わって実行することで、セキュア Web ゲートウェイは、SSLトラフィックをインターセプトする明示的プロキシまたは SSL フォワードプロキシとして機能します。
組織は Thunder CFW アプライアンスを導入するだけで、通信を効率的に保護できます。

組織では、インラインへの導入に加え、侵入検知システムやフォレンジックツールなどのセキュリティデバイスをパッシブモードで導入できます。セキュア Web ゲートウェイとSSL インサイトの組み合わせは、SSLトラフィックを復号化し、暗号化されていないトラフィックのコピーを非インラインのセキュリティデバイスに転送して検査します。

パッシブモードでは、ネットワークに変更を加えたりネットワークに号化してプレーンテキストで複数のデバイスに送信する一元管理ポイン

セキュア Web ゲートウェイは以下のセキュリティデバイスと連携して• ファイアウォール• 侵入防止システム（IPS）• 統合脅威管理（UTM）
プラットフォーム
• データ損失防止（DLP）製品• 脅威阻止プラットフォーム• ネットワークフォレンジックおよび Web 監視ツール

多くのセキュリティデバイスは、インラインでの導入や高速な SSL 復号化を考慮して設計されていません。Thunder CFW のセキュア Web

ゲートウェイとSSL インサイトの組み合わせを導入することによって、SPOF（Single Point of Failure：単 一 障 害 点）を生じさせたりする

これらのデバイスは、多大なコンピューティング能力を消費する SSL 処

攻撃をアクティブにブロックするのではなく、イベントの検査、アラート、トラフィックは、Thunder CFW で一度復号化されたあと、多くのインライことなく、セキュリティデバイスを本番環境に簡単に統合できます。
レポート作成を行うセキュリティデバイスについては、非インラインの導入が理想的です。

2© 2024 A10 Networks, Inc. All rights reserved.

理を負担することなく、SSL 暗号化データを検査できるようになります。

ンおよび非インラインのセキュリティデバイスに転送することができます。

SSLインサイト機能搭載セキュアWebゲートウェイ | SOLUTION BRIEF

包括的で拡張性の高い管理管理を効率化および自動化するために、Thunder CFW は、業界標

準の CLI、Web ユーザーインターフェイス、およびサードパーティー製またはカスタムの管理コンソールと統合できる A10 Networks aXAPI®

• どの種類のトラフィックを復号化するかを制御してセキュリティイン
フラストラクチャーへの負荷を低減

Thunder CFW は、アプリケーションの種類に基づくきめ細かいポリシーに従い、トラフィックを選択的にセキュリティデバイスとセキュリ

REST ベースAPI を備えています。大規模な導入の場合は A10 Networks

ティサービスチェーンにリダイレクトできます。たとえば、Thunderにかかわらず、複数の Thunder CFWアプライアンスで日常的なタスクを威阻止プラットフォームに転送する一方で、他のタイプのトラフィックの Defend Orchestrator 集中管理システムを使用して、物理的な場所広範囲にわたって実行できます。

ロギングおよびレポート作成

Thunder CFW は、トラフィック分析のための高速 syslog ロギングに加えて、電子メールによるアラートや、トラフィック分析のための NetFlowとsFlow の統計情報をサポートしています。Thunder CFW の Web ユー

ザーインターフェイス上のダッシュボードには、システム情報、メモリーとCPU の使用率、ネットワークステータスがリアルタイムに表示されます。

機能と利点

CFW は電子メールトラフィックとWebトラフィックを復号化して脅の負荷がこのデバイスにかかることを防止できます。

• aFleX ポリシーによるきめ細かいトラフィック制御

A10 Networks aFleX® TCL スクリプティングテクノロジーにより、リクエストの検査、更新、変更、破棄が可能です。aFleX スクリプティングを使用すると、どのトラフィックをインターセプトしてサードパーティー製セキュリティデバイスに転送するのか、どのトラフィックをクリーンアップしてから目的の宛先に転送するのかを完全に制御できます。aFleX TCL スクリプティングによってアプリケーショントラフィックの完全な制御が可能になるため、ほぼすべての種類のアプリケーションの課題を解決できます。

利点

Thunder CFW のセキュア Web ゲートウェイを使用すると、組織では以下のことが可能になります。

• SSL 高速化ハードウェアによるハイパフォーマンスの実現

A10 Thunder CFW に搭載されている強力な専用 SSL セキュリティプロセッサーは、1 秒あたり数十万件の SSL ハンドシェークを処理できる拡張性を備えています。Thunder CFW は SSL 高速化ハードウェアを搭載しており、1024 ビットと2048 ビットの鍵長でほぼ同等のパフォーマンスを発揮し、本番環境レベルで 4096 ビット鍵を高性能に処理できる非常に強力なパワーを有しています。

• 悪質なWeb サイトのブロックと機密性の高いアプリケーションのバイパス

コンプライアンス要件の遵守やデータプライバシーの確保のため、金融アプリケーションや医療アプリケーションなどに送信されるトラフィックなど信頼できる通信は SSL 通信可視化の対象外とすることができます。オプションの URL 分類サブスクリプションを利用することで、Thunder CFW は 4 億 6000 万ドメインのトラフィックを分類できるようになり、機密データを確実に暗号化した状態に維持することができます。この URL 分類サブスクリプションにより、従業員の生産性を最大限に高めることができるとともに、マルウェアサイト、スパムサイト、フィッシングサイトなどの悪質な Web サイトへのアク機能

3SSL インサイト機能付きセキュア Web ゲートウェイ：• Webroot をベースにした URL 分類サービスにより、特定の Web サイ
トを監視、ブロック、または選択的にバイパス（URL 分類サービスを使用するにはサブスクリプションライセンスが必要 4 ）• ホスト名による SSL インサイトのバイパスにより、バイパスリストは最大 100 万の Server Name Indication（SNI）値まで拡張可能• マルチバイパスリストのサポート• HTTPS、SMTP、XMPP の復号化

（TLS 1.0、TLS 1.1、TLS• 幅広い暗号化方式とプロトコルのサポート

1.2、SSLv3）。Perfect Forward Secrecy（PFS）をサポートした RSA、DHE、ECDHE 暗号化方式。SHA、SHA-2、MD5ハッシングアルゴリズム• クライアント証明書の検知と迂回（オプション）• 信 頼 されてい な い 証 明 書 をOnline Certificate Status Protocol（OCSP）
で処理• SSLインサイトイベントからのフロー情報を記録するTLSアラートロギング• フォワードプロキシフェイルセーフにより、ハンドシェークが失敗した場合にトラフィックを迂回セスをブロックしてセキュリティリスクを低減することができます。

• TCPの上位層で動作しているプロトコルに関係なく、SSLまたはTLSのSSL 暗号処理のオフロードに加え、Thunder CFW は複数のファイ• SSL セッション ID の再利用

3

• 負荷分散によるセキュリティ機能の拡張

アウォールやその他のセキュリティデバイスの負荷を分散できます。

トラフィックを検知およびインターセプトする動的ポート復号化

Thunder CFW を高可用性（HA）構成で導入すると、複数のセキュアプリケーション配信：応答を確実に同一のデバイスに送信できます。

• aFleX TCL スクリプティング - カスタマイズ可能なアプリケーション

リティデバイスの負荷を分散できるほか、各接続を追跡して、要求と• 高度なレイヤー 4/レイヤー 7 サーバーロードバランシング

対応スイッチングのためのディープパケットインスペクションと変換をサポート
34

利用可能な機能はアプライアンスモデルによって異なります。機能と認定の完全なリストについては、Thunder CFW のデータシートを参照してください。

URL 分類サブスクリプションによる機密性の高いWeb サイトのバイパス機能は、Advance Core Operating System（ACOS®）4.0.1で利用可能です。URLフィルタリングは、ACOS 4.1.0でサポートされています。

© 2024 A10 Networks, Inc. All rights reserved.

3

SSLインサイト機能搭載セキュアWebゲートウェイ | SOLUTION BRIEF• アクティブ- アクティブ構成とアクティブ- スタンバイ構成をサポート

認定：• ファイアウォールロードバランシング（FWLB）• FIPS 140-2 Level 2する高可用性

導入：• パッシブな非インラインサードパーティーデバイスとともにインラインの透過的プロキシまたは明示的プロキシとして導入• Common Criteria EAL 2+（JITC：Joint Interoperability Test Command）• 統合運用テストコマンド

ソリューションのコンポーネント：• SSL インサイト機能を含む Thunder CFW のセキュア Web ゲート• アクティブなインラインサードパーティーデバイスとともにインラインのウェイ機能透過的プロキシまたは明示的プロキシとして導入• Defend Orchestrator 集中管理システム• ICAP 接続デバイスとともに、インラインの透過的なプロキシまたは• aFleX TCL スクリプティングテクノロジー

明示的なプロキシとして導入

管理：• aXAPI® REST ベース API• 専用管理インターフェイス（コンソール、SSH、telnet、HTTPS）

まとめ - Webアクセスの保護とSSL の盲点の排除• 業界標準のコマンドラインインターフェイス（CLI）

機能を包含し、強力なロードバランシング、URLフィルタリング、および• 日本語対応 Web ベース GUI• SNMP、システムロギング、電子メールアラート、NetFlow v9 およびv10（IPFIX）、sFlow

Thunder CFW のセキュア Web ゲートウェイ機能は、SSL インサイト
SSL 復号化を実現するソリューションを提供します。SSL インサイト機
能によって、次のことが可能です。

• 暗号化データを含むすべてのネットワークデータの分析と、徹底した• ポートミラーリング

脅威対策の実施• REST スタイル XMLyAPI（aXAPI）• 84 以上の URL 分類カテゴリーに基づくWebアクセスの監視および制御• LDAP、TACACS+、RADIUS のサポート• 業界最高レベルのコンテンツ検査ソリューションによる、サイバー攻キャリアグレードハードウェア：• ハイパフォーマンスを実現する専用 SSL セキュリティプロセッサー• 40 GbE ポートと100 GbE ポート

撃の回避

Thunder CFW を使用すると、次のことが可能です。

プラット• A10 の 64 ビットACOS（Advanced Core Operating System）
フォーム、Flexible Traffic Acceleration（FTA）テクノロジー、専用• 改ざん検知

セキュリティプロセッサーを活用した、企業ネットワークのパフォー• 非インラインの導入では、トラフィックフローをトラフィックタイプごマンス、可用性、拡張性の最大化とにセグメント化し、最大 4 つのネットワークインターフェイスにブロードキャストできるため、関連するトラフィックのフィルタリングや• SSL 利用の拡大や 2048 ビットおよび 4096 ビットSSL 鍵を含むより• インライン導入では、A10 Thunder CFW は SSL 復号化機能をオフ• トラフィックを復号化して複数の検査デバイスに転送する、復号化と• セキュリティおよび機能の保証

次のステップ

高度な暗号化標準の利用を視野に入れた、将来を見据えた投資セキュリティ環境のスケールアウトが可能

ロードし、複数のセキュリティデバイスの負荷を分散可能

セキュリティの一元管理ポイントの提供

詳細については、A10 の営業窓口にお問い合わせいただくか、http://www.a10networks.co.jp/lp_thunder-cfw/ を参照してください。

A10 Networks / A10 ネットワークス株式会社について

A10 Networks は、オンプレミス、ハイブリッドクラウド、エッジクラウド環境における、セキュリティ、インフラストラクチャの課題を解決するソリューションを提供しています。

大手グローバル企業や通信、クラウド、Web サービス事業者まで 7000 社以上のお客様に導入いただいており、ビジネスに不可欠なアプリケーションやネットワークの安全性、可用性、効率性を高めています。A10 ネットワークスは 2004 年に設立されました。米国カリフォルニア州サンノゼに本社を置き、世界中のお客様にサービスを提供しています。

A10 ネットワークス株式会社は A10 Networks の日本子会社であり、お客様の意見や要望を積極的に取り入れ、革新的なアプリケーションネットワーキングソリューションをご提供することを使命としています。 詳しくはホームページをご覧ください。

• URL：https://www.a10networks.co.jp/ • X（旧 Twitter）：https://twitter.com/a10networksjp • Facebook：https://www.facebook.com/A10networksjapan

A10ネットワークス株式会社

Learn More
About A10 Networks
お問い合わせA10networks.co.jp/contact

www.a10networks.co.jp©2024 A10 Networks, Inc. All rights reserved. A10 ロゴ、A10 Networks は 米 国およびその他 各 国 における A10 Networks, Inc. の商 標または登録商標です。その他上記の全ての商品およびサービスの名称はそれら各社の商標です。 A10 Networks は本書の誤りに関して責任を負いません。
A10 Networks は、予告なく本書を変更、修正、譲渡、および改訂する権利を留保します。製品の仕様や機能は、変更する場合がございますので、ご注意ください。 商標について詳しくはホームページをご覧ください。 www.a10networks.com/a10-trademarks
Part Number: A10-SB-19154-JA-02 JUN 2024