ソリューションブリーフ

HTTPS 通信の可視化による高精度な脅威 URL へのアクセス防止とコンテンツフィルタリングによる情報漏洩の防止

キヤノンマーケティングジャパンGUARDIANWALL WebFilter とA10 の SSL インサイトの連携
常時 HTTPS 化の流れとHTTPS 通信に潜む脅威

近年、多様化するサイバー犯罪への対処や情報機関からの盗聴、スヌーピングや改ざん、データの窃盗を防ぐために、主に Web サイトへのアクセスを中心に通信データの常時 HTTPS 化の流れが進んでいます。当初はクレジットカードでの取引やユーザーログイン情報など、機密性の高いデータ通信のみを暗号化していましたが、サーバー証明書の発行が容易になり、Web サイトの HTTPS 化への対応度合

いが検索サイトでのランキングに影響したり、ブラウザの表示に Web サイトの暗号化への対応状況が表示されるようになっていたり、多くのクラウドサービスが HTTPS での接続を前提としていることから、すでに通信プラットフォームを流れる大部分の Webリクエストとレスポンスが HTTPS 化されています。
その一方で、悪意のあるWeb サイトが HTTPS 化されていたり、HTTPS のポータルサイトに表示される広告にマルウェアが仕込まれたり、感染した端末からHTTPS 通信を利用するSNS やクラウドストレージ経由で機密情報をアップロードさせるなど、HTTPS 通信がサイバー攻撃の隠れ蓑や情報漏洩の抜け道として悪用されることも増えてきています。日々新しくなるサイバー攻撃の手法に追従し、組織のセキュリティを担保するには HTTPS 通信に隠れた脅威の対策が必須となっています。

課題：• HTTPS通信の宛先URLに応じた適切 なアクセス制御• HTTPS通信を悪用した脅威を検知するための高速なHTTPS通信の可視化とセキュリティの強化• 組織内の機密情報のHTTPS通信を通じた漏洩の防止

解決策：

A10 ThunderのSSLインサイトソリューション

によりHTTPS通信を高速に可視化（復号）し、しかし、多くのセキュリティ機器は HTTPS 通信量の増加に追いつく性能を持っていません。既存のキヤノンマーケティングジャパン株式会社のパフォーマンスが低下し、所望のネットワーク性能を得るためには多くの機器を利用する必要があります。

WebFilterと連携することで、HTTPS通信の高精セキュリティ機器で HTTPS 通信の復号と検査を行う場合、HTTP を検査する場合と比較して大幅にまた、複数の機器で HTTPS 通信の検査を行うことで、その処理による通信遅延も大きくなります。

HTTPS 通信の可視化：SSL インサイトソリューション

A10 ネットワークスの A10 Thunder シリーズにより提供される SSL インサイトソリューションにより、HTTPS 通信に隠れた脅威を可視化し、通信プラットフォームのパフォーマンスを落とすことなくセキュリティ機器での脅威検知と防御を実現できます。SSLインサイトを利用すると、A10 Thunder がクライアン

トとインターネット間の HTTPS 通信をはじめとするTLS/SSL 通信をインターセプトし高速に復号します。
復号したトラフィックをセキュリティ機器に送ることで、通信データに含まれる脅威の検査と分析を実現

Webフィルタリング製品GUARDIANWALL

度なWebフィルタリングによる脅威URLへのアクセス防止とHTTPS通信に含まれるコンテンツに対するフィルタリングを実現

メリット：• 高いカテゴリヒット率 を持つU R Lデータ
ベースを持ち、脅威情報との連携が可能なできます。トラフィックの分析が終了した通信データは再暗号化され、目的のアドレスに転送されます。

GUARDIANWALL WebFilterをHTTPS通信の（1 台で最大 25Gbps、2 台で最大 50Gbps）を持ち、高速な SSL/TLS 通信の可視化を実現できます。

URLへのアクセスを自動ブロック

A10 の SSL インサイトソリューションは格段に優れた HTTPSコネクション数の処理能力とスループット
SSL インサイトを導入する際には、A10 Thunder を自組織の内部にあるクライアントとインターネットの間に設置します。平文化した通信データはインライン型・パッシブ型のセキュリティ機器で検査できるとともに、ICAP を通じて外部の ICAP サーバーとの連携を行うことができます。トラフィックを一度復号すれば複数の機器で検査でき、SSL/TLS 通信の復号と再暗号化に伴う通信遅延を最小に抑えられます。

Webフィルタリングに適用することで、脅威• GUARDIANWALL WebFilterの独自技術によるコンテンツフィルタリングにより、アップロードされるファイルに含まれるキーワードや個人情報を検査して情報漏洩を防止

HTTPS 通信に隠れた脅威に対するWebフィルタリングとコンテンツフィルタリング• 大規模なセッションを処理可能なA10 Thunder

A10 Thunder シリーズの提供するSSL インサイトソリューションにより復号した HTTPS 通信をキヤノンにより高い通信パフォーマンスを維持

SSL インサイトとGUARDIANWALL WebFilter の連携

マーケティングジャパン株式会社の GUARDIANWALL WebFilterで検査することで、HTTPS 通信に対するWebフィルタリングとコンテンツフィルタリングを実現できます。これによりHTTPS 通信に含まれる脅威
URL へのアクセスのブロックや、個人情報や機密情報の HTTPS 通信を通じた漏洩を防止できます。

GUARDIANWALL WebFilter の Webフィルタリングは、高いカテゴリヒット率を持つ CYREN 社の URL

データベースを採用しており、収集された世界各国の脅威情報に基づきURLデータベースをリアルタイムに更新します。未知の脅威は脅威情報と連携して自動でブロックします。偽メールによってフィッシングサ

イトへ誘導された場合も、これらの機能によりサイトへのアクセスを遮断でき、フィッシング対策の軸となる「意図しないアクセス」を阻止し、個人情報を守ります。また、コンテンツフィルタリングの機能も持ち、添付されるファイルの種類（拡張子）だけでなく、その内容も検査できます。コンテンツフィルタリングのによるHTTPS通信の高速な復号/再暗号化

サーバーとして動作しているため、ユーザー認証をA10 Thunder 上で行う形を取ります。A10 Thunder は認証サーバーと連携した各種認証方式にICAP連携クライアント

A10 Thunder CFW

対 応しています。認 証したユーザー 情 報やクライアントIP の情 報 はGUARDIANWALL WebFilter に送信でき、ユーザーに応じた Webフィルタ暗号化通信リングのルールを適用できます。

平文通信

上記に加え、負荷分散機能を利用することで、複数の GUARDIANWALLWebFilter サーバーの利用も可能です。あるサーバーに障害が発生した場

インターネット合には、冗長化された別のサーバーに通信データを送信でき、高可用性とスケーラビリティをともに実現できます。

図 1：A10 Thunder による SSL インサイトソリューションとキヤノンマーケティングジャパン GUARDIANWALL WebFilter との連携

その他の特長A10 ネットワークスの SSL インサイトソリューションでは、一度復号した対象として「キーワード検査」や「個人情報検査」などを指定することがTLS 通信をGUARDIANWALL WebFilter に ICAP で連携するだけでなく、可能で、機密情報や個人情報の情報漏洩を阻止できます。個人情報検査ではパッシブ型・インライン型の複数のセキュリティ機器に送信して検査できマイナンバーや個人情報を独自技術で解析し検知できます。サイトアクセス

るため、復号し平文化された HTTPS 通信をサンドボックス機器や次世代ログの収集や外部送信データのアーカイブにも標準対応しており、統計

ファイアウォール、IPS/IDS、SIEM 製品やフォレンジック製品に渡すことで、情報から問題のある端末を特定し管理者へ通知するなど、運用を支援する

クライアントとサーバー間で送受信されるHTTPSトラフィックをともに検機能も豊富に備えています。

査でき、多層防御を実現できます。これにより、特定サイトからのダウン

A10 の SSL インサイトソリューションとGUARDIANWALL WebFilter とのロードに含まれるマルウェアなどの脅威も検知できます。

クライアントとインターネットの間に設置し、クライアントからはプロキシ既存のネットワーク環境に合わせた柔軟な導入が可能です。ポート443 に連携ソリューションを図 1 に示します。A10 Thunder を企業の内部にあるSSLインサイトソリューションは L2/L3 の多様なネットワーク構成に対応でき、サーバーとして指定する形になります（透過型での構成も可能です）。

限らず全てのポートでの SSL/TLSトラフィックの復号もできます。必要な

A10 Thunder は HTTP/HTTPS 通信のフォワードプロキシとして動作し、性能に応じ単一アプライアンスおよび複数アプライアンスでの導入ができ、HTTP/HTTPS 通信をインターセプトします。GUARDIANWALL WebFilter は冗長構成をとることで可用性も担保できます。また、詳細なポリシー設ICAP サーバーとして動作し、A10 Thunder が ICAP クライアントとして動定により、トラフィックの種類、発信元 / 宛先 IP アドレスや利用者の情報、作することで、GUARDIANWALL WebFilter との通信を行います。この時のその他の属性に応じてどの暗号化セッションを復号して検査対象とするか、

1. A10 ThunderがクライアントからWebサーバーに向けたHTTP/HTTPS制御することもできます。

通信の流れは以下のようになります。

どのセッションを暗号化されたままにして検査対象から除外しておくかをトラフィックをインターセプトし、HTTPの場合はそのまま、HTTPSのキヤノンマーケティングジャパン株式会社について場合はトラフィックを復号して平文化したトラフィックをICAPによりGUARDIANWALL WebFilterに送信し、GUARDIANWALL WebFilterでキヤノングループは、グローバル企業として世界中で幅広い事業を展開

HTTP/HTTPS通信のWebフィルタリングとコンテンツフィルタリングを実施しています。その一員として、日本国内を中心にマーケティング活動や

2. GUARDIANWALL WebFilterからHTTP/HTTPSリクエストの送信可否をICAPでA10 Thunderに通知。アクセスをブロックする場合はソリューション提案を担っているのが、キヤノンマーケティングジャパング

ループです。私たちは、社員一人ひとりがお客さまに最も近い存在として、GUARDIANWALL WebFilterの規制画面をクライアントに転送「顧客主語」と「ものづくりへの参画」を実践し、お客さまの価値を最大化された場合、平文化されたHTTPSトラフィックをA10 Thunderが再暗号

私たちは、イメージング分野におけるキヤノンの開発力と幅広い製品群、3. HTTP/HTTPSリクエストの送信がGUARDIANWALL WebFilterに許可化しWebサーバーにフォワード。
HTTPトラフィックはそのままフォワード

4. Webサーバーはリクエストを受信し、レスポンスをクライアントに送信

5. HTTPS通信の場合はA10 Thunderが暗号化されたサーバーからのレスポンスをインターセプトし、一旦復号した後再暗号化しクライアントに送信

SSL/TLS 通信の特性上、リクエストの復号とレスポンスの再暗号化のためにはクライアントが A10 Thunder を信頼できる必要があるため、A10 Thunder とクライアントには共通の証明書がインストールされている必要があります。A10 Thunder には自組織の持つ任意の証明書をインストールして利用できます。

HTTPSトラフィックに含まれるリクエスト内容を平文で GUARDIANWALLWebFilter に渡すことで、HTTP だけでなくHTTPS 通信に対しても高度なWebフィルタリングを実現できます。クライアントとA10 Thunder の間、および A10 Thunder とWeb サーバーとの間のコネクションは暗号化したまま保持されるため、なりすましやデータ窃盗は防止されます。

この構成でユーザー認証が必要な場合は、A10 Thunder がプロキシ

Learn More
About A10 Networks
お問い合わせa10networks.co.jp/contactするお手伝いをしていきます。

IT の技術力など、さまざまな強みを生かし、お客さまに最適なソリューションを提供します。 https://canon.jp/

A10 Networks / A10 ネットワークス株式会社について

A10 Networks（NYSE: ATEN）は、サービス事業者やクラウド事業者および企業で利用される 5G ネットワークやマルチクラウドアプリケーションのセキュリティを確保します。高度な分析や機械学習、インテリジェントな自動化機能により、ミッションクリティカルなアプリケーションを保護し、信頼性と可用性を担保します。A10 Networks は 2004 年に設立されました。
米国カリフォルニア州サンノゼに本拠地を置き、世界 117 か国のお客様にサービスを提供しています。

A10ネットワークス株式会社は A10 Networksの日本子会社であり、お客様の意見や要望を積極的に取り入れ、革新的なアプリケーションネットワーキングソリューションをご提供することを使命としています。

www.a10networks.co.jp/
Facebook：http://www.facebook.com/A10networksjapan

A10ネットワークス株式会社
www.a10networks.co.jp
a10networks.co.jp/contact©2020 A10 Networks, Inc. All rights reserved. A10 ロゴ、
A10 Networksは米国およびその他各国におけるA10 Networks, Inc. の商標または登録商標です。
その他上記の全ての商品およびサービスの名称はそれら各社の商標です。A10 Networks は本書の誤りに関して責任を負いません。A10 Networks は、予告なく本書を変更、修正、譲渡、および改訂する権利を留保します。
製品の仕様や機能は、変更する場合がございますので、ご注意ください。商標について詳しくはホームページをご覧ください。
www.a10networks.com/a10-trademarks
Part Number: A10_SB_CMJ_GWWF_and_A10 Nov 2020