ソリューションブリーフ

SSL/TLSトラフィックを大規模に収集し可視化、セッションを再現し暗号化通信に隠れた脅威の検知やフォレンジックを実現
RSA NetWitness® Packets とA10 SSL インサイトの連携ソリューション
課題：

脅威を完全に可視化するためには、暗号通信の暗号化により脅威の可視化が困難にサイバー攻撃の脅威は日々継続して拡大しています。攻撃者はターゲットとする組織に大掛か化トラフィックを含む全てのトラフィックをりな偵察を行い、従業員の名前や e-mail アドレス、ビジネスアプリケーションなどを特定してる必要がある。

が、不幸にして、多くのセキュリティチームは攻撃を検知しそこなうか、新しい攻撃手法に対し大規模に蓄積し、検査や調査を可能にす解決策：

A10 Thunder ®シリーズが提供するSSL

インサイトソリューションがSSL/TLS通信をインターセプトし復号されたトラフィックをRSA NetWitness Packetsに送ることにより、暗号化トラフィックの大規模な蓄積と可視化やセッション再現が可能になり、脅威の検知・問題発生時のフォレンジックを実現できる。

メリット：• A10 Thunder が専用ハードウェアを活用して SSL/TLS 通信を高速で復号することで、暗号化通信に隠れた脅威を暴きいます。セキュリティチームは攻撃者の先を行くために新しい状況に適応しなくてはなりませんて追従するための十分な専門性を持ち合わせていません。

これらの脅威を認識した上で、組織は拡大しつつあるSSL/TLS 通信の通信量にも対処しなくてはなりません。スヌーピングや改ざん、データの窃盗を防ぐために、SSL/TLS を用いてデータを暗号化するアプリケーションは増加しています。多くの Web アプリケーションは当初、クレジッ

トカードでの取引やユーザーログイン情報など、機密性の高いデータ通信のみを暗号化していましたが、近年は全ての Webリクエストとレスポンスを暗号化しています。実際、NSS Labs の調査では 2019 年までに 75% のエンタープライズのトラフィックが暗号化されると予測されています。*1

アプリケーションとデータを保護するためには、組織は暗号化通信を含む全てのトラフィックを蓄積し検査しなくてはなりません。その一方で、多くのセキュリティデバイスは暗号化トラフィッ

クを検査できず、SSL/TLS 通信を復号し検査できる数少ないデバイスも、急増する SSL/TLS 通信量のペースに追いつく性能を持っておらず、組織の防御に深刻なギャップがあります。

出すことができる

SSL インサイトとRSA NetWitness Packets

メタデータ付与機能により、これまでにのセキュリティ部門である RSA と提携しました。A10 Thunder シリーズによる SSL インサイ

• RSA NetWitness Packets の持つ高度なない正確さと速さでインシデントの調査・優先度付け・修正を行うことができる• RSA Live が常に最新の解析用パーサーを提供し、最も先進的な攻撃であっても、ビジネスへの影響が及ぶ前に検知し分析することができる• A10 Thunder の提供する負荷分散機能

によりRSA NetWitness Packets のスケールが可能になる

A10 ネットワークスは、SSL/TLS 通信に隠れた不正なアクティビティを検知するために、EMCトソリューションは、SSL/TLS 通信を終端し高速に復号します。復号したトラフィックを RSA

NetWitness Packets に送ることで、データの大規模な蓄積と、トラフィック可視化やセッション再現が可能になり、脅威の検査と分析が実現できます。

A10 Thunder による SSL インサイトではフォワードプロキシとして SSL/TLS 通信をインターセプトします。RSA NetWitness Packets とSSL インサイトソリューションの連携を行う場合、Thunder アプライアンスを組織の内部にあるクライアントとインターネットの間にインストールする必要があります。

図 1 での通信の流れは以下のようになります。

1. Thunder が SSL/TLSトラフィックをインターセプトし、トラフィックを復号して平文のトラフィックのコピーをRSA NetWitness Packets に送信し、データの蓄積および検査と分析を実施

2. Thunder がトラフィックを再暗号化しWeb サーバーにフォワード

3. Web サーバーはリクエストを受信し、暗号化されたレスポンスをクライアントに送信*1

https://www.nsslabs.com/company/news/press-releases/nss-labs-predicts-75-of-web-traffic-will-be-encrypted-by-2019/1

強力なセキュリティプロセッサーによるSSL/TLS 通信の高速処理

NetWitness Packets

負荷がかかります。セッション内でのデータの暗号化 / 復号も CPU に暗号化通信
平文通信

クライアントSSL/TLS 暗号化では最初の SSL ハンドシェイクの部分で最も CPU に復号した通信をミラーしてキャプチャ

Thunder CFW

インターネット

図 1：Thunder CFW による SSL/TLS 通信の可視化とRSA NetWitness Packets との連携

4. Thunder が暗号化されたサーバーからのレスポンスをインターセプトし、復号して平文のトラフィックのコピーをRSA NetWitness
Packets に送信し、データの蓄積および検査と分析を実施

5. Thunder が Web サーバーのレスポンスを再暗号化しクライアントに送信

A10 ネットワークスの SSL インサイトにより、内部のクライアントとサーバーとの間のコネクションは暗号化したまま保持されるため、スヌーピングやデータ窃盗を防止できます。インバウンド/ アウトバウンドのどちらのネットワークトラフィックも適切に RSA NetWitness Packets により検査・分析される状態を保ち、ネットワークアクティビティの完全な可視化を実現します。

ま た、負 荷 分 散 機 能 に よ り、Thunder シ リ ー ズ は 複 数 の RSA

NetWitness Packets の非インラインモードでの利用を可能にし、ハードとっての負荷となりますが、ハンドシェイクと比べると負荷は小さくなります。A10 Thunder シリーズは多数の暗号化コネクションを同時に扱うことが出来るように設計されており、格段に優れた SSL/TLS コネクション数とスループットを得ることができます。

A10 の 64bit の Advanced Core Operating System（ACOS®）に より、Thunder シリーズはセキュリティ専用プロセッサーとスイッチング/ルーティングプロセッサーの能力を最大限活用し、リニアなスケーラビリティと最大限のパフォーマンスを提供することができます。

SSL/TLS コネクションを確立するために既存の CPUリソースを利用した場合、SSL の鍵長が長くなると急激にパフォーマンスが低下します。
次世代のセキュリティプロセッサーを利用することで、Thunder シリー

ズは 1,024 ビット鍵長でも 2,048 ビット鍵長でもほぼ同等の高い性能を示し、膨大な処理能力を要する 4,096 ビット鍵長でも商用レベルでの高い性能を得ることができます。

Thunder シリーズにより提供される詳細なポリシー設定により、利用者はトラフィックの種類、発信元 / 宛先 IP アドレスやその他の属性に応じてどの暗号化セッションを復号し、どのセッションを暗号化されたままにしておくかを制御することができます。

A10 の Thunder シリーズのその他の特長と利点は以下の通りです。

• 全てのポートとプロトコルにわたる、SSL/TLS 暗号化トラフィックの復号

ウェア障害時にはネットワークデータを利用可能な RSA NetWitness• 最大 40Gbps 以上の SSL/TLSトラフィックに対応できる拡張性

SSL/TLS 通信の課題• SSL/TLS セッションで利用される複数の暗号スイートを制御Packets に送信することで、高可用性とスケーラビリティを実現します。

多数の SSL/TLS セッションを終端し同時に暗号化 / 復号する処理は、CPU に非常に大きな負荷がかかります。また、SSL/TLS 通信のセキュリティ強度の強化には、CPU の処理能力の大幅な増強が求められます。

SSL の鍵長は暗号強度に関連します。一般的に、2,048 ビットの SSL 証明書は 1,024 ビットの証明書と比べ、暗号化時におよそ3.4 倍、復号時には6.3 倍の処理能力を必要とすると言われています。また、4,096 ビットの証

明書は 1,024 ビットの証明書に比べ、復号処理に概算で25 倍の処理能力を必要とします。

米国国立標準技術研究所 (NIST) の SP 800-131A によって推奨された、1,024 ビットから2,048 ビット鍵長への移行は、SSL/TLSトラフィックの暗号化 / 復号を行うデバイスに負荷を与えています。SSL 証明書の鍵長を増やしてセキュリティ強度を上げたい場合、セキュリティアプライアンスの劇的なパフォーマンス向上が求められます。SSLトラフィックをインターセプ

トし検査するデバイスは、複数のセッションを同時に管理し、秒間で多数の SSL/TLSコネクションを扱い、より大きな SSL 鍵サイズを扱えるだけの処理能力を持つ必要があります。

2• 全てのポートで SSL/TLS 通信を動的に検知• SSH および STARTTLS（SMTP や XMPP など）
プロトコルの復号• PFS 暗号のサポート• FIPS 140-2 level 3 のハードウェアセキュリティモジュールのサポート• インライン/ アウトオブバンドのセキュリティアプライアンスに対して復号と負荷分散を同時に実行• 柔軟な導入オプション• URLフィルタリングと復号しない通信を迂回させるための URL クラシフィケーションサービス

SSL インサイトで復号された通信のキャプチャ

暗号化された通信のキャプチャセッションを再現して詳細分析

セッション再現不可！
内容の分析も困難

図 2：SSL/TLS 通信を復号して NetWitness Packets により詳細分析する例と暗号化通信のパケットキャプチャとの比較

RSA NetWitness による可視化と分析

結論提供するセキュリティ監視のプラットフォームです。複数のログ、ネット

SSL/TLS 通 信 は 企 業の防 御にとって危 険 な盲 点となりつつありま

RSA NetWitness Suite は組織が必要とする優れた通信の可視化機能を転送中のデータを暗号化するアプリケーションが増えるにつれて、ワークの情報（パケットとNetFlow）、エンドポイントの状態を結合し、す。A10 Thunder シリーズを RSA NetWitness Packets と共に利用すきます。環境を全体的に俯瞰できることで、分析者はより効率的に攻ルなセキュリティ強化ソリューションを提供することができます。RSAエンタープライズ全体にわたって起こっている事象を確認することがで撃を検知出来るようになります。

RSA NetWitness Suite は以下のいくつかのユースケースに適合するように、柔軟でモジュラーなアプローチをセキュリティチームに提供します。
• ネットワークフォレンジックを通じた完全な可視化と迅速な調査• SIEM（Security Information and Event Management）製品以上の分析のケイパビリティとログ中心のアプローチ• コンプライアンスの必須要件を満たすためのビルトインされた機能

RSA NetWitness Packets は、RSA NetWitness Suite の中で、可視化と分析の元となるネットワークトラフィックの収集と蓄積・メタデータ保管とインデクシング・脅威検知を行います。1 台で最大 10Gbps のパケットキャプチャをサポートし、PB 単位での大容量データの保存に対応しています。RSA Live から配信される最新の解析用パーサーを利用してネットワークセッションを解析し、得られた情報をメタデータとして作成することで、分析者は長期間かつ大容量のデータに対して非常に高速な検索を行うことができます。また、特定のセッションをテキスト・メールビュー・Web ビュー・ファイル抽出など様々な形式で再現することができます。脅威の発見に有用なメタデータや相関的なルールを使用した脅威の発見と通知を実現し、よりプロアクティブな脅威検知を実現します。

A10 の SSLインサイトソリューションを利用することで、通常は検査できなることで、暗号化通信をインターセプトし、導入が容易でスケーラブ
NetWitness Packets とA10 Thunder の相互接続性は検証を通して確認されています。A10 の SSL インサイトソリューションを利用することで、以下が実現されます。

• A10 の 64ビットOSであるACOSと専用のセキュリティプロセッサーを使うことによる、パフォーマンス、可用性、スケーラビリティの最大化• RSA NetWitness などの先進的なセキュリティ監視プラットフォームとの統合により、イベント管理やフォレンジック、コンプライアンスを実現• セキュリティログ、ネットワークのパケットキャプチャ、エンドポイントの状態を組み合わせて、会社全体で発生している事象を確認

A10 の強力な SSL インサイトの機能により、以下が実現されます。

• 攻撃や情報漏えいを暴くための、暗号化通信を含めたネットワーク活動の完全な可視化• Thunder によりインターセプトして復号した SSL/TLS 通信を複数のセキュリティデバイスに転送し、セキュリティ分析や DLP、脅威防御や侵入検知を実施• 金融やヘルスケアの Web サイトとの通信などの機密データを扱う
Web サイトへのトラフィックを迂回させ復号を回避（オプション）• SSL/TLS の鍵長が増大した場合にも対応でき、投資を保護

いSSL/TLS 通信の内容もRSA NetWitness Packets により検査することが可能となり、脅威に対する完全な可視化と分析を実現できます（図 2）。

3

EMC ジャパン株式会社
RSA について

EMC ジャパンは、情報インフラの卓越したテクノロジーとソリューションの提供を通して、日本のお客様の情報インフラの課題解決をご支援し、あらゆる規模のお客様のビジネスの継続と成長、さらにビジネス価値の創造に貢献致します。RSA は、EMC ジャパンでセキュリティ、リスク、コンプライアンス管理ソリューションを提供しています。世界中の企業が抱えている組織のリスク管理やモバイルアクセスの保護と連携、コンプライアンスの証明、仮想環境やクラウド環境でのセキュリティ確保をはじめとする複雑で慎重な対処を要するセキュリティ上の課題を解決し、お客様の事業成長を支援します。
http://japan.rsa.com/

A10 Networks / A10 ネットワークス株式会社について

A10 Networks（ NYSE: ATEN）はセキュアアプリケーションサービスにおけるリーディングカンパニーとして、高性能なアプリケーションネットワーキングソリューション群を提供しています。お客様のデータセンターにおいて、アプリケーションとネットワークを高速化し可用性と安全性を確保しています。A10 Networks は 2004 年に設立されました。
米国カリフォルニア州サンノゼに本拠地を置き、世界各国の拠点からお客様をサポートしています。

A10 ネットワークス株式会社は A10 Networks の日本子会社であり、お客様の意見や要望を積極的に取り入れ、革新的なアプリケーションネットワーキングソリューションをご提供することを使命としています。
詳しくはホームページをご覧ください。

URL：http://www.a10networks.co.jp/

Facebook：http://www.facebook.com/A10networksjapan

A10ネットワークス株式会社〒106-0032
東京都港区六本木三丁目2番1号
住友不動産六本木グランドタワー33階
TEL : 03-4520-5700
FAX: 03-4520-5701
jinfo@a10networks.com
www.a10networks.co.jp

海外拠点

北米（A10 Networks本社）

香港

ヨーロッパ

台湾

sales@a10networks.com

emea_sales@a10networks.com
南米

latam_sales@a10networks.com
中国

china_sales@a10networks.com
Part Number: A10-SB-19125-JA-02
Jan 2018

HongKong@a10networks.com
taiwan@a10networks.com
韓国

korea@a10networks.com
南アジア

SouthAsia@a10networks.com

オーストラリア/ニュージーランド

anz_sales@a10networks.com©2018 A10 Networks, Inc. All rights reserved. A10 Networks、A10 Networks ロ ゴ、ACOS、Thunder および SSL Insight は 米 国 およびその 他 各 国 に お ける
A10 Networks, Inc. の商標または登録商標です。その他の商標はそれぞれの所有者の資産です。 A10 Networks は本書の誤りに関して責任を負いません。
A10 Networks は、予告なく本書を変更、修正、譲渡、および改訂する権利を留保します。製品の仕様や機能は、変更する場合がございますので、ご注意ください。
商標について詳しくはホームページをご覧ください。www.a10networks.com/a10-trademarks

お客様のビジネスを強化するA10のアプリケーション
サービスゲートウェイ、Thunderの詳細は、A10ネット
ワークスのWebサイトwww.a10networks.co.jpをご覧になるか、A10の営業担当者にご連絡ください。