ソリューションブリーフ

自治体情報セキュリティ対策向けソリューション

インターネット通信の監視とインシデントの予防

新たな自治体情報セキュリティ対策の要件とA10 ネットワークスのソリューション

自治体の情報資産を保護するためのセキュリティとして、自治体の内部ではインターネット接続セグメ

ント・LG-WAN 接続セグメント・マイナンバー接続セグメントの三層分離による対策、インターネット向けのアクセスや自治体の Web サーバのセキュリティには自治体セキュリティクラウドの整備による対策がこれまで取られてきましたが、近年のサイバー攻撃の増加や新たな脅威に対応するために新たなセキュリティ対策が必要とされています。それに合わせて自治体向けのセキュリティガイドラインの見直しが行われており、セキュリティ専門人材による監視機能の強化、近年増加する HTTPS 通信を始めとするSSL/TLS による暗号化通信に対する監視機能や、災害時の Web サーバへのアクセス集中を想定した負荷分散の機能、自治体事務の効率化に資するメールやファイルの無害化機能などが新たな要件として挙げられています。主にネットワークレベルで自治体情報セキュリティ対策に求められる要件には、以下の 3 点があります。

• インターネット通信に対する通信の監視• 暗号化通信の復号対策とセキュリティ• Webサーバに対するセキュリティ

また、上記に加え、今後自治体においてクラウドサービスの活用による業務効率化も求められています。

クラウドサービスを快適に利用して活用するためには、そのトラフィック特性に合わせたネットワーク構成が必要となります。

A10 ネットワークスの Thunder CFW シリーズが持つ機能を利用すると、以下のようにこれらの要件に対応できます。

• プロキシサーバ機能によるインターネット通信監視とクラウドサービス向けトラフィックの最適化• SSL/TLS可視化機能（SSLインサイトソリューション）による暗号化通信の復号対策とセキュリティ強化• アプリケーションデリバリコントローラ（ADC）機能によるWebサーバに対するセキュリティ強化

次節からは、この 3 つのソリューションの詳細を示します。

プロキシサーバ機能によるインターネット通信監視とクラウドサービス向けトラフィックの最適化

A10 Thunder CFW はプロキシサーバの機能を有しており、アクセス管理とアクセス制御、アクセスログの取得、各種セキュリティ機能を用いることで、自治体内からのインターネットアクセスの監視とセキュリティ強化に利用できます。大規模な通信セッションを処理できる高い性能を持ち、コストパフォーマンスに優れます。Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙなどを始めとした各種認証基盤と連携でき、ユーザーやグループを指定してのアクセス制御を行うことができます。インターネットへのアクセスログを記録でき、後述する SSL/TLS 通信可視化の機能を併せて利用することで、URL に含まれるサブディレクトリも含めたより詳細なログの取得を行うことができます。

動的にアップデートされる情報に基づいた URL カテゴリフィルタリングや脅威インテリジェンスによるセキュリティにより、不正サーバへのアクセスや悪意のあるアクセスを防ぐこともできます。ファイアウォールの機能を統合しており、レイヤ 4 でのステートフルファイアウォールによる不正通信への防御やアプリケーション識別を利用してのアプリケーションの可視化と通信制御を行うこともできます。
IaaS や各拠点、クライアントとの IPsec-VPN 接続による暗号化通信も可能です。上位プロキシへのプロキシチェインもできます。

また、近年自治体で必要とされているクラウドサービスの活用のための、クラウドサービス向けのトラフィック最適化の機能も有しています。

一 般 に Microsoft 365 な どの グル ープ ウェア を始 め とするクラウドサ ー ビスを利 用 すると大規 模 な 通 信 セッションとインター ネット向 けトラフィックが 生じ、プ ロキシサーバやファイアウォールを始 めとする既 存のセキュリティ機 器やインターネット回 線・WA Ｎ回 線 などがひっ迫

課題：• 自治体の情報セキュリティ対策とクラウドサービス活用の両立• インターネット通信に対する通信の監視• 暗号化通信の復号対応とセキュリティ• Webサーバに対するセキュリティ

解決策：• A10 Thunder CFWシリーズの利用による多様なセキュリティ要件への対応• プロキシサーバ機能の利用によるインターネット向け通信のアクセス制御とアクセスログの取得、およびクラウドサービス向け通信のトラフィック振り分けによる通信ボトルネックの回避• 高速なSSL/TLS通信の復号と多様なセキュリティ機器との連携による高度なセキュリティ対策の実現• リバースプロキシ・ファイアウォール・WAF・
広域負荷分散の機能によるWebサービスの可用性とセキュリティの強化

メリット：• プロキシサーバ・SS L / T LS 通 信 可 視 化・Webサービス向け機能のオールインワン

ライセンスによる提供• クラウドサービス活用により生じる大規模な通信を高速に処理可能なアーキテクチャ• URLフィルタやコンテンツ無害化・マルウェ
アスキャン製品、次世代ファイアウォールやIPS/IDS、標的型攻撃防御製品やフォレン
ジック製品などの多様なセキュリティ機器と連携ができ、高速・低遅延な処理が可能なSSL/TLS通信の可視化機能します。クラウドサ ー ビス 自 体 は 基 本 的 にドメイン 名 で 規 定 されサーバがダウンしたりした場合にクラウド（IaaS）上のサーバに自動的にており、コンテンツ配 信 ネットワー クな どを利 用していることからIP アドレスが頻繁に更新され、トラフィックの制御を既存のルーティングで行うことは困難です。

A10 Thunder CFW のプロキシサーバ機能を利用することで、ドメイン名負荷分散したり切り替えたりすることができます。

また、A10 Thunder CFW には Web アプリケーションファイアウォール（WAF）の機能や、前述した L4ファイアウォールの機能、DDoS 攻撃防に基づく通信トラフィックの制御が可能になります。これにより、クラウドサービス活用のボトルネックとなりやすい既存のプロキシサーバなどをバイパスしたり、クラウドサービス向けトラフィックを増設した通信回線に適切に分散させたりするなどの処理が容易になり、少ない運用コストで御の機能が統合されており、Web サーバに対する高度なセキュリティを提供します。認証基盤と連携することで Web サーバへのアクセスに対する認証・認可を行うこともできます。これらの機能を活用することで、自治体の Web サービスに求められる多様なセキュリティ要件を満たせます。

快適なクラウドサービスの活用が実現されます。また、通常の Web アククラウドサービス

セスに関してはこれまで通りプロキシサーバにチェインしたりその他のセキュリティ機器に向けたりするなどの柔軟な処理が可能です。

SSL/TLS 通信の可視化による暗号化通信の復号対策

インターネット

・DDOS対策
・FW・WAF

専用線やIPsec-VPNなど

A10 Thunder CFW は、クライアントとインターネット間の HTTPS 通信を・WEBサーバ負荷分散と災害時対応・プロキシ機能・トラフィックの振り分けと回線分散始めとする SSL/TLS 通信を高速に復号しセキュリティ機器での検査を実現する SSL/TLS 通信可視化（SSL インサイト）の機能を有します。セキュリティ機器での検査を行った通信データは再度 SSL/TLS により暗号化され、目的のアドレスに転送されます。復号し平文化したデータは、ファイアウォール・UTM・IPS のようなインライン型のセキュリティ機器、標的自治体

住基ネット

HTTPS SMTPSなど暗号化通信への対応

LGWAN型攻撃対策製品・IDS・フォレンジック製品のようなパッシブ型のセキュリティ機器、URLフィルタ・アンチウィルス・データ損失防止・コンテンツ
無害化のような ICAP を通じて利用できるセキュリティ機器との連携を行うことができます。A10 の SSL インサイトソリューションは格段に優れた
SSL/TLS 通信の処理能力とスループットを持ち、既存のセキュリティ機器の性能を十分に発揮させることが可能です。一度復号した通信を複数の機器で検査できることから SSL/TLS 通信の復号と再暗号化に伴う通信遅延は最小に抑えられます。前述したフォワードプロキシ機能と併せて利用できたり、L2/L3 での導入が柔軟に選択できたりするなど、多様なネットワーク構成に合わせた導入ができます。

SSL/TLS 復号を行うことで、前述したように詳細なアクセスログを取得しネットワーク監視の能力を強化できるだけでなく、自治体セキュリティに求められる、暗号化通信に対する URLフィルタリングの強化やマルウェア対策の強化や、ファイル等のコンテンツを無害化する対策の実現が可能となります。また、IPS/IDS や標的型攻撃対策製品との連携により、エンドポイントセキュリティだけでは捉えられない通信の振る舞いを検知し、暗号化通信に隠れた攻撃を検知し防御するだけでなく、フォレンジック製品との連携によって、自治体内部への高度な侵入を詳細に追跡できるようになります。

上記に加え、SSL インサイトの機能を使うことで、クラウドサービスを利用するアカウントの制御も可能になります。自治体内部から許可されていないドメインやアカウントでのクラウドサービス利用を制限することができ、情報資産の外部アカウントへの漏洩を防ぐことができます。

ADC 機能による Web サーバセキュリティ

A10 Thunder CFW の持つ ADC 機能を利用することで、サーバ負荷分散によりWebサーバなどのアプリケーションサーバの可用性を高めると共に、個人番号
利用事務系

LGWAN
接続系

次期自治体情報セキュリティクラウド

インターネット
接続系

URLフィルタリング
無害化・DLP
マルウェア対策・セキュリティクラウドに接続するためのプロキシ
・自治体拠点内でのアクセス制御とファイアウォール・URLフィルタや無害化製品との連携・クラウドとのIPSEC-VPN接続による通信暗号化・クラウドトラフィックの振り分けとアクセス制御

図 1：自治体セキュリティにおける A10 Thunder CFW のユースケース

まとめ

ここまで述べてきた A10 Thunder CFW を自治体のセキュリティに活用する場合の一連のユースケースについて、図 1 に示します。図 1 にあるように、自治体の各拠点、および自治体セキュリティクラウドにおいて多様な機能を利用でき、様々な要件を満たすことが可能です。A10 Thunder CFWには多くの機能が統合されており、プロキシサーバ機能・SSL/TLS 可視化機能・ADC 機能がオールインワンライセンスで提供されています（URL

クラシフィケーションや脅威インテリジェンス、アプリケーションファイアウォール機能には筐体単位での追加ライセンスが必要です）。内部を論理分割して利用することができるため、多様な利用シーンに対応できます。
前述したようにクラウドサービスの活用に適した機能も有していることから、自治体セキュリティの強化だけでなく、クラウドサービス活用による業務の効率化にも寄与します。

A10 Networks / A10 ネットワークス株式会社について

A10 Networks（NYSE: ATEN）は、サービス事業者やクラウド事業者および企業で利用される 5G ネットワークやマルチクラウドアプリケーションのセキュリティを確保します。高度な分析や機械学習、インテリジェントな自動化機能により、ミッションクリティカルなアプリケーションを保護し、信頼性と可用性を担保します。A10 Networks は 2004 年に設立されました。
米国カリフォルニア州サンノゼに本拠地を置き、世界 117 か国のお客様に高速なアプリケーション配信や Web アプリケーションに対するセキュリサービスを提供しています。

チャを採用することにより高い通信処理能力を有し、TCP 通信の最適化や様の意見や要望を積極的に取り入れ、革新的なアプリケーションネットティの強化を実現できます。A10 Thunder シリーズは独自のアーキテク
コンテンツキャッシング、SSL/TLS のオフロードにより、高速な Web アプリケーションの配信を可能にします。また、サーバ負荷分散とともに広域負荷分散の機能を有し、オンプレミスの Web サーバへの負荷が集中したり、

Learn More
About A10 Networks
お問い合わせa10networks.co.jp/contact

A10 ネットワークス株式会社は A10 Networks の日本子会社であり、お客ワーキングソリューションをご提供することを使命としています。

www.a10networks.co.jp/
Facebook：http://www.facebook.com/A10networksjapan

A10ネットワークス株式会社
www.a10networks.co.jp
a10networks.co.jp/contact©2021 A10 Networks, Inc. All rights reserved. A10 ロゴ、
A10 Networksは米国およびその他各国におけるA10 Networks, Inc. の商標または登録商標です。
その他上記の全ての商品およびサービスの名称はそれら各社の商標です。A10 Networks は本書の誤りに関して責任を負いません。A10 Networks は、予告なく本書を変更、修正、譲渡、および改訂する権利を留保します。
製品の仕様や機能は、変更する場合がございますので、ご注意ください。商標について詳しくはホームページをご覧ください。
www.a10networks.com/a10-trademarks
Part Number: A10_SB_Solutions_for_Local_Government Feb 2021