ソリューションブリーフ

HTTPS 通信を高精度に Web フィルタリング

デジタルアーツi-FILTER とA10 の SSL インサイトソリューションの連携
課題：

近年、多様化するサイバー犯罪への対処や情報機関からの盗聴を防ぐ目的で、Web サイトをHTTPS 化（SSL/TLS 化）する常時 HTTPS 化が主流となってきています。常時 HTTPS 化に• 増大する HTTPS 通信に対する適切なよりWeb サイトの信頼性と通信の安全性を高められる一方、HTTPS 通信が情報漏えいの• HTTPS 通信を悪用した脅威を検知するを担保するには HTTPS 通信に隠れた脅威の対策が必須となっています。しかし、既存のセキュリティの強化の復号を行って通信の検査を行った場合、膨大な CPU リソースが必要になり、これまで通りアクセス制御ための高速な HTTPS 通信の可視化と解決策：

A10 ThunderのSSLインサイトソリュー

ションによりHTTPS通信を高速に可視化（復号）し、デジタルアーツのWebフィルタ
リングソフトウェアi-FILTERと連携することで、HTTPS通信の高精度なWebフィル

タリングを実現

メリット：• 業界最高水準の i-FILTER のデータベースをHTTPS 通信の Webフィルタリング

抜け道やサイバー攻撃の隠れ蓑として悪用されることも増えてきており、企業のセキュリティWeb フィルターやプロキシサーバー、サンドボックス、ファイアウォールなどで HTTPS 通信の十分な性能が得られない問題があります。

A10 ネットワークスの Thunder シリーズが提供する SSL インサイトソリューションを利用することで、SSL/TLS の高速な処理が可能になります。Thunder シリーズによって HTTPS通信を高速に復号し、平文の検査を行った後、再暗号化して通信を行うことが可能になり、HTTPS 通信に隠れた脅威を検出できます。復号した HTTPS リクエストをデジタルアーツ社の Web フィルタリングソフトウェアである i-FILTER で検査することで、HTTPS 通信に対する高精度の Web フィルタリングが可能になります。

カテゴリ数、登録件数そして精度ともに業界最高水準の Web フィルタリング製品である

i-FILTER のデータベースとA10 ネットワークスの高速な SSL/TLS 通信可視化ソリューションとの連携により、HTTPS 通信に隠れた脅威に対する有効な防御が実現できます。に利用し、高精度に脅威を検知

常時 HTTPS 化の流れとHTTPS 通信に潜む脅威

復号 / 再暗号化により高い通信パフォー（HTTP over SSL/TLS）を用いてデータを暗号化する Web アプリケーションが増加してい• A10 ThunderによるHTTPS通信の高速なマンスを維持• FireEye NX、Trend Micro DDI との連携により未知の脅威に対するセキュリティの強化も可能

近 年、多 様 化するサイバー犯 罪 への対 処や情 報 機 関からの盗 聴を防ぐ目 的で、HTTPSます。多くの Web アプリケーションは当初、クレジットカードでの取引やユーザーログイン情報など、機密性の高いデータ通信のみを HTTPS により暗号化していましたが、近年は全ての Web リクエストとレスポンスを暗号化する常時 HTTPS 化の流れが加速しています。

クラウドサービス等の利用が拡大してサーバー証明書の発行が容易になったり、検索サイト等でも HTTPS 化されたサイトが上位の検索結果に表れるようになったり、スマートフォンから HTTPS 化されていないサイトへのアクセスをあえて遅延させたりするような動きもあることから、NSS Labs の調査では 2019 年までに 75% のエンタープライズのトラフィックが暗号化されると予測されています。*1

その一方で、ポータルサイトに表示される広告にマルウェアが仕込まれたり、HTTPS 通信を利用する SNS やクラウドストレージ経由でボット化したクライアントへの指令を行ったりするなど、HTTPS 通信が情報漏えいの抜け道やサイバー攻撃の隠れ蓑として悪用されることも増えてきています。日々継続して新しくなるサイバー攻撃の手法に追従し、企業のセキュリティを担保するには HTTPS 通信に隠れた脅威の対策が必須となっています。
*1https://www.nsslabs.com/company/news/press-releases/nss-labs-predicts-75-of-web-traffic-will-be-encrypted-by-2019/1

社内ユーザーを保護するためには、企業は暗号化通信を含む全てのトラフィックを検査しなくてはなりません。その一方で、多くのセキュリティデバイスは暗号化トラフィックを検査できず、HTTPS 通信を復号し検査できる数少ないデバイスも、急増するHTTPS 通信量のペース復号した通信をi-FILERで検査しWebフィルタリングに追いつく性能を持っておらず、企業の防御に深刻なギャップがあります。

HTTPS 通信の高精度な Web フィルタリング

A10 ネットワークスの SSL インサイトとデジタルアーツ i-FILTER との連携

Thunder CFW

A10 ネットワークスは、HTTPS 通信の高精度な Web フィルタリングを実現するために、デジタルアーツ社と提携しました。A10 Thunderシリーズによる SSL インサイトソリューションを利 用することで、HTTPS 通信を終端し高速に復号することが可能になります。復号したトラフィックをデジタルアーツ社の提供する Web フィルタリング製品である i-FILTER で検査することで、HTTPS 通信に対する高精度なWeb フィルタリングが実現できます。

i-FILTER は、情 報 漏 洩 対 策と Web の有 効 利 用のための企 業 向け
Web フィルタリング製品として、多くの企業で採用されており、業界最大級の Web フィルタリングデータベースと高度なフィルタリング技術により、不適切な Web サイトの閲覧を高精度で遮断することができ、情報漏洩を防ぐとともに、そのアクセス内容を記録・確認・保存することを可能にします。セキュリティ機関と連携した脅威情報サイトのデータベースも内包することで、情報窃取目的の通信も遮断します。また、同じデジタルアーツ社のメールセキュリティ製品である

暗号化通信
平文通信

インターネット

図 1：Thunder CFW による HTTPS 通信の可視化とデジタルアーツ i-FILTER との連携

FireEye NXまたはTrend Micro
DDI C A Pで
2. i - F I LT E RからH T T P/ H T T PSリクエストの送信 可 否をIThunderに通知。
アクセスをブロックする場合はi-FILTERから転通知送されたブロック画面をThunderからクライアントに転送

3. HTTP/HTTPS リクエストの送信が i-FILTER に許可された場合、悪意のあるサイトへの平文化された HTTPSトラフィックを Thunder が再暗号化しWebアクセスをブロックサーバーにフォワード。HTTPトラフィックはそのままフォワード
4. Web サーバーはリクエストを受信し、レスポンスをクライアントに送信

インターネット

Thunder CFW
5. HTTPS 通信の場合は Thunder が暗号化されたサーバーからのレスポンスをインターセプトし、一旦復号した後再暗号化しクラ平文通信
暗号化通信
イアントに送信m-FILTER と連携 *2 し、隔離された標的型メールなどに記述されたクライアントとサーバーとの間のコネクションは暗号化したまま保標的型攻撃に対する包括的なソリューションを提供しています。

ラフィックに含まれるリクエスト内容を平文で i-FILTER に渡すこと

ンでは、A10 Thunder が HTTP/HTTPS 通信のフォワードプロキシとi-FILTER は HTTP 通 信、HTTPS 通 信 のいずれ にも対 応した Webリンクへのアクセスを i-FILTER でブロックすることなども可能となり、A10 の SSL インサイトソリューションとi-FILTER との連携ソリューショ持されるため、なりすましやデータ窃盗を防止できます。HTTPSト

で、HTTPS 通信に対しても高度な Web フィルタリングを実現します。

して動作し HTTP/HTTPS 通信をインターセプトします。Thunder ア

フィルタリングのデータベースを保持しており、通信に応じて最適なに設置し、クライアントからはプロキシサーバーとして指定する形にこの構成でユーザー認証が必要な場合は、Thunder アプライアンスがアプライアンスが ICAP クライアントとして動作することで、i-FILTER上で行う形を取ります。Thunder アプライアンスは認証サーバーと連プライアンスは企業の内部にあるクライアントとインターネットの間なります（図 1）。i-FILTER は ICAP サーバーとして動作し、Thunderとの通信を行います。

この時の通信の流れは以下のようになります。

1. Thunder が クライアントから Web サ ー バ ー に 向 け た HTTP/HTTPSトラフィックをインターセプトし、HTTP の場合はそのまま、HTTPS の場合はトラフィックを復号して平文化したトラフィックをICAP によりi-FILTER に送信し、i-FILTER で HTTP/HTTPS 通信のWeb フィルタリングを実施*22

i-FILTER Ver.10 以上とm-FILTER Ver.5 以上の組合せでのみ連携可能です。

Webフィルタリングを実現します。

プロキシサーバーとして動作しているため、ユーザー認証も Thunder

携した各種認証方式に対応しています。認証したユーザー情報やクライアントIP の情報は i-FILTER に送信されるため、i-FILTER 側でユーザーやクライアントIP、ユーザーグループに応じた個別の Webフィルタリングのルールを適用できます。

上記に加え、負荷分散機能を利用することより、複数の i-FILTER サーバーの利用も可能です。i-FILTER サーバーの障害時には、平文化された通信データを利用可能な i-FILTER サーバーに送信することができ、高可用性とスケーラビリティをともに実現できます。

インターネット

Thunder CFW

FireEye NX や Trend Micro DDIとの連携による未知の脅威に対するセキュリティの強化

FireEye NXまたはTrend Micro DDI
通知

i-FILTER では、近年増加するゼロデイ攻撃などの未知の脅威に対しての防御策として、FireEye 社のサンドボックス製品である NX シ
リーズや Trend Micro 社のネットワーク可視化製品 Deep Discovery

Inspector（ DDI）シリーズとも連携するソリューションを提供しています。この連 携ソリューションを利 用すると、FireEye NX や Trend

悪意のあるサイトへのアクセスをブロック

Micro DDI で脅威を検知した際の Web サイト情報が動的に i-FILTERに通知され、そのサイトへのアクセスを i-FILTER でブロックできるようになります。ただし、FireEye NX や Trend Micro DDI はそのままでThunder CFW

は HTTPS 通信を検査できないため、HTTPS 通信に隠れた脅威の検暗号化通信知は困難な問題がありました。

動的な脅威サイトへのアクセスブロック

た SSL/TLS 通信を複数のデバイスに送信して検査することが可能なや Trend Micro DDI にミラーポートを経由して渡すことで、クライアントとサーバー間で送受信される HTTPSトラフィックをともに検査できるようになります。この結果、特定サイトからのダウンロードなどでマルウェアなどの脅威が検知されれば、その情報が動的に i-FILTERと連携され、悪意のあるサイトへのアクセスを遮断することが出来るようになります。

これにより、HTTPS 通信に対しても未知の脅威に対する防御を実現でき、更なるセキュリティの強化を実現できます。

特長とメリット

A10 ネットワークスの Thunder シリーズによる SSL インサイトソリュー

ションとデジタルアーツ i-FILTER の連携ソリューションのメリットは以下になります。

• 格段に優れた HTTPSコネクション数とスループット（最大 40Gbps）• 全てのポートに渡るHTTPSトラフィックの復号• 業界最高水準の Webフィルタリング製品であるi-FILTER のデータベースを利用した HTTP/HTTPS 通信の Webフィルタリングの実現

i-FILTER や FireEye NX、Trend Micro DDI などの複数セキュリティ製品への復号データの送信と負荷分散• FireEye NX、Trend Micro DDI での HTTPS 通信の検査と脅威検知、および検知した脅威に基づくi-FILTERでの動的なWebフィルタリング• 多様なネットワーク構成への対応

平文通信

図２：FireEye NX や Trend Micro DDI と連携した

A10 ネットワークスの SSL インサイトソリューションでは、一度復号しため、図 2 のように、復号し平文化された HTTPS 通信を FireEye NX

インターネット

結論

転送中のデータを暗号化する Web アプリケーションが増えるにつれて、HTTPS 通信が企業の防御にとって危険な盲点となりつつあります。高 速 な HTTPS 通 信 の 可 視 化 を実 現できる A10 Thunderシリーズを、カテゴリ数、登録件数そして精度ともに業界最高水準のWeb フィルタリング製品であるデジタルアーツ社の i-FILTER と共に利用することで、HTTPS 通信の高速・高精度な Web フィルタリングを実現し、有効な防御を提供できます。また、SSL インサイトで復号したデータを FireEye NX や Trend Micro DDI で検査することにより、HTTPS 通信に含まれた未知の脅威を検出し、i-FILTER との連携による動的なアクセス制限を実現することが可能になります。

デジタルアーツ株式会社について

デジタルアーツは、フィルタリング技術を核に、情報セキュリティ事業を展開する企業です。製品の企画・開発・販売・サポートまでを一貫して行い、国産初の Web フィルタリングソフトを市場に出したメーカーならではの付加価値を提供しています。また、フィルタリン
グ製品の根幹を支える国内最大級の Web フィルタリングデータベー

スと、世界 27 の国と地域で特許を取得した技術力が高く評価されています。国内でトップシェアを誇る Web フィルタリングソフトとして、家庭及び個人向け「i- フィルター」
・企業向け「i-FILTER」「i-FILTER ブ

ラウザー & クラウド」を提供する他、企業向けとしてゲートウェイ型電子メールセキュリティソフト「m-FILTER」、クライアント型電子メール誤送信防止ソフト「m-FILTER MailAdviser」、セキュア・プロキシ・アプライアンス製品「D-SPA」、ファイル暗号化・追跡ソリューション

「FinalCode」を提供しています。
http://www.daj.jp

デジタルアーツ、DIGITAL ARTS、i-FILTER、m-FILTER、D-SPA はデジタルアーツ株式会社の登録商標です。
FinalCode はデジタルアーツグループの登録商標です。

3

A10 Networks / A10ネットワークス株式会社について
A10 Networks（ NYSE: ATEN）はセキュアアプリケーションサービスにおけるリーディングカンパニーとして、高性能なアプリケーションネットワーキングソリューション群を提供しています。お客様のデータセンターにおいて、アプリケーションとネットワークを高速化し可用性と安全性を確保しています。A10 Networks は 2004 年に設立されました。米国カリフォルニア州サンノゼに本拠地を置き、世界各国の拠点からお客様をサポートしています。

A10 ネットワークス株式会社は A10 Networks の日本子会社であり、お客様の意見や要望を積極的に取り入れ、革新的なアプリケーションネットワーキングソリューションを提供することを使命としています。
詳しくはホームページをご覧ください。
www.a10networks.co.jp

Facebook：http://www.facebook.com/A10networksjapan

A10ネットワークス株式会社〒106-0032
東京都港区六本木三丁目2番1号
住友不動産六本木グランドタワー33階
TEL : 03-4520-5700
FAX: 03-4520-5701
jinfo@a10networks.com
www.a10networks.co.jp

海外拠点

北米（A10 Networks本社）

香港

ヨーロッパ

台湾

sales@a10networks.com

emea_sales@a10networks.com
南米

latam_sales@a10networks.com
中国

china_sales@a10networks.com
Part Number: A10-SB_i-FILTER-JA-01
Mar 2018

HongKong@a10networks.com
taiwan@a10networks.com
韓国

korea@a10networks.com
南アジア

SouthAsia@a10networks.com

オーストラリア/ニュージーランド

anz_sales@a10networks.com©2018 A10 Networks, Inc. All rights reserved. A10 Networks、A10 Networks ロ ゴ、ACOS、Thunder および SSL Insight は 米 国 およびその 他 各 国 に お ける
A10 Networks, Inc. の商標または登録商標です。その他の商標はそれぞれの所有者の資産です。 A10 Networks は本書の誤りに関して責任を負いません。
A10 Networks は、予告なく本書を変更、修正、譲渡、および改訂する権利を留保します。製品の仕様や機能は、変更する場合がございますので、ご注意ください。
商標について詳しくはホームページをご覧ください。www.a10networks.com/a10-trademarks

お客様のビジネスを強化するA10のアプリケーション
サービスゲートウェイ、Thunderの詳細は、A10ネット
ワークスのWebサイトwww.a10networks.co.jpをご覧になるか、A10の営業担当者にご連絡ください。