5Gで変わる高速・大容量ネットワークサービスとセキュリティ
A10ネットワークス株式会社
高木 真吾

Always Secure. Always Available.

A10ネットワークスについて
A10 Networks, Inc. (NYSE: ATEN)

A10ネットワークス株式会社• 設立：2004年9 月• 設立：2009年4 月• 代表者：D hr up ad Tr ived i (CEO)• 代表者：川口 亨(日本法人代表兼社 長 米国本社ヴァイスプレジデント兼務 )• 本社所在地：米国カ リフ ォル ニア 州 サン ノゼ• 2014年 ニューヨーク証券取 引 所（ N Y SE ）に 上場• 拠点：東京、大阪、 名古 屋

シリコンバレー発
グローバル企業

世界のリーディング企業で採用拠点のある国製品・サポート提供先の国

27

117+

従業員数

導入社数

800(日本: 70+)

8,000+

ハイパフォーマンスなネットワークアプライアンス製品によりセキュリティ・アプリケーション配信機能等を提供

2

A10のお客様Microsoft社の大規模サービスを支える技術

135,000,000 ユーザー

6,000,000 組織
40データセンター
36グローバルリージョン

48,000,000 ユーザー

圧倒的なスケールでセキュリティを確保
44

A10製品について

Always Secure. Always Available.
55

A10の独自OS：ACOS ＜エイコス＞(Advanced Core Operating System)• マルチコアCPUによる完全並列処理で高いパフォーマンスを実現• 共有メモリアーキテクチャにより大量のセッションを制御可能
共有メモリアーキテクチャ
複数のCPUコアがメモリ空間を共有。
CPU間通信をゼロにすることによりCPUの性能を最大化

OSI参照モデル

共有メモリーアーキテクチャー

アプリケーション
迅速な拡張性への約束 (HW依存関係なし)
汎用CPUを利用したソフトウェアプラットフォームにより、修正や新機能の実装が容易

プレゼンテーション
Ctrl

1

2

3

N

SSL

セッション

CPU制御処理の分離
コントロールとデータ処理を完全分離することによる信頼性向上、データ処理能力の最大化
トランスポート

SSL処理 (CPU負荷軽減)
最新の暗号化処理専用ハードウェアにより、業界最高速のSSL/TLS処理性能を実現し、CPUの負荷をオフロード

ASIC/FPGAによる処理 (CPU処理効率化)
レイヤ2/3/4の処理やDDoS防御等のセキュリティ機能を複数の専用ASIC/FPGAにオフロードし、CPUをアプリケーショントラフィック処理に集中

FTA (Flexible Traffic Accelerator)
Switching and Routing (ACIC)MGT

GE eth

SFP

SFP+

QSFP

100G

ネットワークデータリンク
物理

5Gに必須な「高速大容量」「高信頼・低遅延通信」「多数同時接続」に最適
6

※同価格帯の他社製品と比較

ACOSによる高いパフォーマンス
SSL/TLS CPS（PFS暗号）

スループット (L7)80 Gbps

1.5倍■A10 Thunder 4440S ADC

2.0倍

40 Gbps

25,000 CPS

42,000 CPS

2.6倍

1,100,000
CPS

2,900,000 CPS

L4 CPS■A社

余裕のあるパフォーマンスによりピーク時トラフィックにも対応可能
7

ACOSを搭載したThunderシリーズ
サーバー負荷分散

IPv4枯渇対策(CGNAT)

DDoS防御SSL可視化

サイト間冗長/負荷分散

IPv6 移行機能

WAF

IPレピュテーション

回線負荷分散Gi/SGi FW

Webプロキシ

IPSec VPN

SSLアクセラレーション

GTP FW

ステートフルFW

O365高速化

IPv4 –v6負荷分散

VxLAN/NVGRE GW

URLフィルタリング

認証プロキシThunderシリーズ

豊富なアプリ制御 / ネットワーク / セキュリティ機能を１ボックス・１ライセンスで提供
8

ACOSのAPI機能– プログラマビリティ「フルオープンAPI」
利用可能な機能を外部から操作可能

aXAPI
サードパーティ
アプリケーション/
オーケストレーター

ACOS

API

設定マネージャ

設定反映

各種機能

内部コンソール

より多くの機能を対象に自動化を実装可能・SDN環境に最適
9

A10ソリューションの提供形態
あらゆる
クラウド

プレイベートクラウド

あらゆるプラットフォーム

あらゆるライセンスモデル

サブスクリプション
ライセンス
アプライアンス

仮想アプライアンス

パーペチュアル
ライセンス

ベアメタル

コンテナ

FlexPool™
ライセンス

あらゆる環境・運用に対応できる柔軟な提供形態を実現
10

A10の製品ポートフォリオ
aGalaxy

Harmony Controller(TPSの管理)(マルチクラウド, マルチサービスのトラフィック可視化と管理)セキュリティThunder
TPS

アプリケーション配信

ThunderCFWo DDoS防御o ADC/CGNの全機能

o DDoS検知

o SSL通信の可視化と多様なセキュリティ製品との連携

o 高度なレポーティングo 脅威インテリジェンス
o 機械学習による防御

o URL
フィルタリングo L4/L7
ファイアウォール
o Gi/SGi
ファイアウォール

o GTP/SCTP
ファイアウォール

o 脅威インテリジェンス o IPsec-VPN

ThunderADCo 高度な負荷分散
o SSLオフロード
o 広域負荷分散

ThunderCGNo キャリアグレード
NATo IPv4枯渇対策

o WAF/DNS防御o セキュア
サービスメッシュo 多様なIPv6移行
技術への対応o DNS防御/DoH/DoTo フォワードプロキシ
11通信事業者様向けソリューション

Always Secure. Always Available.
1212

Thunder CFW (Convergent Firewall)
Gi/SGiファイアウォール (Gi/SGi FW)

FWとADCをワンボックスに統合セキュアWebゲートウェイ（SWG）• CGNとFW機能を統合しモバイル通信事業者のNWを防御• 運用を効率化• FWやSSL可視化によりエンタープライズのセキュリティを強化• モバイル通信網とデータセンターを繋ぐ多様なソリューション提供を可能に

GiFW CGN• IPSec VPNによる拠点間接続
DCFW SLBIPSec VPN

• クラウドサービスの利用を円滑化（クラウドプロキシ）

Secure Web
Gateway

セキュリティ機器

EPC
DCFW SLB

モバイル通信プラットフォーム

エンタープライズ/データセンター

エンタープライズ

CGN・ADC・SSL可視化・FW機能を集約したセキュリティプラットフォーム
13

IPv4枯渇対策/IPv6移行
IPv4枯渇対策/IPv6移行を実現するキャリアグレードNATソリューション

Thunder CGN

NAT44
6RD
NAT64/DNS64
DS-Lite
LW-4o6MAP-E
MAP-T
464XLATCGNAT(LSN)• 国内・海外における通信事業者の商用実績• 圧倒的な大容量（最大同時接続数5億1200万）• 多くのIPv6移行技術をサポート• 不足しているIPv4アドレスあたりの加入者集
約率を拡張 (CGNAT)• 全機能標準搭載・同時使用可能• 充実したグローバルIP宛のセキュリティ対策• 高いコストパフォーマンス
• 他社と比べ2倍～4倍の性能と最大8倍の価格アドバンテージ

サービス利用者

豊富な商用実績を持つ信頼性の高いCGNAT/IPv6移行実現
14

モバイルコア向けセキュリティ機能
A10
5G Orion Security SuiteRoaming
Partner

モバイルコアRAN &EVOLVED
PACKET
CORE

S8HSS

Gi/SGi LAN
Transparent Caching,Service Proxies,
Media and TCP optimization,
etc

GTP Firewall

S6a

S1-MMEMME
IPsec VPN

S11

S1-U
Radio AccessNetwork

GTP Firewall

SGSN / SGW

SLB

CGNAT

DDoS
DPI/App Gi/SGi
Visibility Firewall Protection

S5
GGSN / PGWCell Site
RouterInternet

S2B
GTP Firewall

GGSN / PGW

複数機能を集約

ePDG

非3GPP
無線アクセス

セキュリティ・トラフィック制御機能を集約可能
15

Thunder CFWシリーズ（通信事業者様向け）
エントリ

Thunder 3040 | 30 Gbps

Thunder 1040 | 20 Gbps

ミッドレンジハイエンド

Thunder 5840 | 100 Gbps

Thunder 7650 | 370 Gbps, 100GbE

Thunder 5440 | 90 Gbps

Thunder 14045 | 300 Gbps, 100 GbE

Thunder 4440 | 70 Gbps

Thunder 7440-11 |Thunder 940 | 5 Gbps

vThunder| 200M - 100 Gbps

220 Gbps, 100 GbE

Thunder 6440 | 150 Gbps

16

通信事業者の5G用設備を支援

既に複数の5G関連ネットワークプロジェクトで採用
17

5Gの用途低遅延 (>1ms)
高密度(100x)

通信クライアントの主役は人からモノへ

高帯域(20Gbps)
交通交通制御自動運転
公共交通システム

産業

モビリティ

スマート農業
スマートホーム
スマートファクトリー

ウルトラハイスピード
コネクティビティ
イベントエクスペリエンス
AR / VRサービス
ヘルスケア
監視・モニタリング
公衆安全
緊急対応

通信インフラのセキュリティがますます重要になる
18

IoTデバイスのセキュリティリスク
IoTプラットフォーム（クラウド or 顧客DC）

ネットワークM2Mエリアネットワーク（ローカル5Gなど）• 外部からのIoTデバイスへの侵入・DDoS攻撃からの防御• マルウェア感染デバイスなどによる不正サーバへのデータ漏えい• 暗号化通信による不正な活動の隠蔽

IoTデバイス

ゲートウェイ装置によるセキュリティ機能を有効活用
19

IoT機器のセキュリティリスク – IPv6
IPv６ネットワークの場合

IPv4ネットワークの場合

ネットワークアドレス変換用代表アドレス

グローバルアドレス
プライベートアドレス

装置が境界となり収容ユーザ及び設備を保護

境界がないため外部からの悪意のあるトラフィックを通してしまう可能性がある

IPv6 Firewallによるセキュリティの確保が必要
20

IoT機器のセキュリティリスク – IPv6通信制御
IPv6ネットワークの場合

IPv4ネットワークの場合

ネットワークアドレス変換用代表アドレス

グローバルアドレス
プライベートアドレス

装置が境界となり収容ユーザ及び設備を保護

通信状況をモニタし、内部から発信された通信のみ許可

IPv6でもIPv4と同じセキュリティレベルを提供
21

通信データの暗号化によるセキュリティ強化
IoTプラットフォーム（クラウド or 顧客DC）
ネットワーク

暗号化された通信（SSL or IPSec-VPN）
M2Mエリアネットワーク（ローカル5Gなど）

盗聴・（IoTデバイスやプラットフォームの）なりすまし・
中間者攻撃からの防御•
平文での通信

SSL/TLSやIPSec-VPNによる通信データの暗号化

IoTデバイス

IoTデバイスに安全な通信環境を提供
22

暗号化通信に隠れた脅威
IoTプラットフォーム（クラウド or 顧客DC）
ネットワーク

暗号化された通信（SSL/TLS）

通信のほとんどを占める暗号化通信により、隠蔽された脅威

M2Mエリアネットワーク（ローカル5Gなど）

IoTデバイス

暗号化通信の可視化ソリューションの検討
23

政府機関向けのセキュリティ対策として「データの復号」が必要に
内閣サイバーセキュリティセンター(NISC) サイバーセキュリティ戦略本部
政府機関等の情報セキュリティ対策のための統一基準（平成30年度版）
https://www.nisc.go.jp/active/general/pdf/kijyun30.pdf

24

マーケットシェア (SSL可視化市場)
SSL可視化市場売上金額ベース 2016〜2019年度
4年連続マーケットシェア No. 1を獲得

(2016-2018年度実績。2019年度予測。 Thunder SSLi/CFWが対象)

その他
G社

8.8%

10.8%

48.4%

B社
15.1%

K社
17.2%

SSL可視化市場 2019年度予測
Source: ITR「ITR Market View：サイバー・セキュリティ対策市場2020」

25

SSL可視化ソリューション

3

4

1. クライアント側Thunderで外向けSSL/TLS通信を復号（URLカテゴリ等でバイパスも可能）

暗号化通信

2. セキュリティ装置により平文を検査

Thunder（外側）

3. 回線側Thunderにおいて再暗号化し、SSL/TLS通信を外部サーバーへ送信

5

平文

セキュリティ装置

通信の検査/データの防御

2

4. 回線側Thunderでサーバーからの応答トラフィックを復号

Thunder（内側）
1クライアント

6

暗号化通信

物理的には1台で動作

5. セキュリティ装置により平文を検査

6. クライアント側Thunderにおいて通信を再暗号化し、クライアントへ送信
26

IoTデバイスのマルウェア対策
IoTプラットフォーム（クラウド or 顧客DC）
ネットワーク

暗号化された通信（SSL/TLS）

M2Mエリアネットワーク（ローカル5Gなど）

IoTデバイス

エンドポイントにおけるマルウェア対策などが難しい機器類

ゲートウェイ型のマルウェア対策の検討
27

OPSWAT MetaDefenderとの連携

３０種類以上のウイルスソフトによるマルチエンジン型のマルウェア検知を実現
28

重要インフラにおける情報セキュリティ確保のために「マルチスキャン」が重要に
内閣サイバーセキュリティセンター(NISC) サイバーセキュリティ戦略本部
重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第5版；令和元年5月23日改定）
https://www.nisc.go.jp/active/infra/pdf/shishin5rev.pdf

29

マルチエンジン型マルウェア検知の効果

複数ウイルス対策エンジンによる検知率の向上
30

IoTデバイスのマルウェア対策
IoTプラットフォーム（クラウド or 顧客DC）

暗号化された通信（SSL/TLS）
ネットワークMetaDefender

M2Mエリアネットワーク（ローカル5Gなど）• OPSWAT社のMetaDefenderと連携• 暗号化通信を含む全通信のマルウェアを検査

IoTデバイス

ゲートウェイでマルチエンジン型のマルウェア検知を実現
31

SSL/TLS可視化：連携ソリューション一覧
パッシブ型

インライン型
暗号化トラフィック

ミラー

クライアント
証明書配布
・モバイルアクセス制御

平文トラフィックICAP
ICAPサーバ

アカウント利用制御▪ 一筐体でSSLインサイトを提供、明示型・透過型プロキシとしての動作も可能▪ セキュリティ装置の配置形態に柔軟に対応▪ お客様環境に最適なセキュリティ装置・ソリューションの構築に寄与

国内ベンダーを含めて２０社以上のセキュリティ機器と連携・可視化
32

通信事業者様向け連携ソリューション

（A10のSSL可視化とTrend Micro VNFS連携）• Trend Micro VNFS: 通信事業者様向けIPS/IDSソリューション
• Thunder CFW: SSL可視化（複合・最暗号化）してVNFSに転送• SSL/TLS通信の場合は復号してTrend Micro VNFSで検査• 平文の通信はそのままTrend Micro VNFSで検査
詳細はA10 Connect 別セッションでご紹介予定！
暗号化トラフィック

平文トラフィック

クライアント

A10 Thunder CFW

SSL/TLS通信に隠れた問題の検知やブロックもVNFSで実現
33

エッジプラットフォームでのA10活用
••

•
•
•

各種リバースプロキシ機能
アプリケーションセキュリティ機能の提供（DDoS防御、各種FW、脅威インテリジェンス、可視化など）•

セキュアサービスメッシュ：
エッジサービス間のトラフィック制御/暗号化/アクセス制御/負荷分散

エッジプラットフォーム

TLS通信の終端
コンテンツキャッシュとコネクションリユースによるレスポンスタイムの改善
サービストラフィックの制御と可視化••
エッジ
アプリケーション•

CG-NATとネットワークの防御
エッジ・クラウドサービス間のトラフィックの暗号化/トラフィック制御/アクセス制御
クラウド上サーバーの負荷軽減

5GC
•
IoT
デバイス

基地局

•

GTP Director・GTP-FWによるGTPトラフィック制御
IPsec-VPNトンネルの終端

クラウド上のアプリケーション

ローカル5Gなどエッジエリアでのトラフィック制御・セキュリティを提供
34

Thunderのコンテナ対応• 既存のThunderシリーズの機能や操作性をそのままにコンテナ化

機能
操作性
そのまま

• CFWの機能を利用可能• 最大180Gbpsのパフォーマンス
• Dockerコンテナとして動作

CGNAT
IPv6

SLB

Firewall
IPsec

GTP
Firewall• RESTベースのAPIで連携可能• Ansibleとの連携による自動化に対応(RedHat OpenShiftと連携）

API

独自OS(ACOS)

Harmony
Controller• Kubarnetesとの連携も可能• スケールアウト機能を利用することで柔軟な容量拡張が可能

APIでフル機能を操作

従来からの機能や操作性をそのままにコンテナ環境で利用可能
35

A10 KubeCon 2019 5Gコンテナ化PoCに参加• OPNFV / Linux Foundationが協賛する
ライブ5G環境デモに参加• 5G Virtual Central Office デモ(VCO 3.0)• A10：5Gコンテナ型ファイアウォールを5Gコアの中でデモ• L4/7 ステートフルFW＋CGNAT• Kubernetes / OpenShift 環境で連携• Lenovo社製サーバを使用• ポリシ設定でアプリケーションの使用を制御するデモを公開

Kubernetes / Red Hat OpenShiftと連携してセキュリティ機能を提供
36

AnsibleによるA10 Thunder ADCの設定自動化

https://github.com/kishizuka4989/ansible_training_a10_thuner_adc/blob/master/README.ja.md

A10によるハンズオントレーニングもご提供
37

GRX/IPX
ピアネットワーク

ピアリング
ポイントでのDDoS攻撃

vMME
vSGW
vPGW

MEC アプリ,vFW/NAT(エッジクラウド)

仮想EPC(Evol ved Pa cket Core)

Gi-LAN
IPサービス

攻撃ツール化した
5G・IoTデバイスからの攻撃

ボリューム型
DDoS攻撃5Gによりセキュリティ脅威が増加

4X

12M

62%

2年間にわたる
DDoS攻撃サイズの平均*

5Gインフラを攻撃できる
DDoS攻撃ツールの数*

5GにおいてDDoS攻撃防御が最も重要*＊出典: SecurityIntelligence.com, SC Magazine, IHS Markit
38

DDoSによるサイバー攻撃とは？
攻撃者

コマンド・コントロール

攻撃ツール

IoTボットネット

オープンサーバー

感染したゾンビボットネット

攻撃

攻撃者が、様々な攻撃ツールを用いて、攻撃対象のサービスを利用できなくなるようにする
サイバー攻撃被害者
データセンタネットワークアプリケーションユーザー

海外ではライフラインに関わるインフラに対する攻撃も発生
39

A10 脅威インテリジェンスサービスについて• 独自開発の脅威インテリジェンスデータソースによるレピュテーションデータ
• リアルタイムの脅威検知• シグネチャの自動検出• 攻撃エージェントとして繰り返し利用されているIP• 脆弱性のあるIPとホストに関する知見• AS番号毎のDDoS攻撃ツール数に関するデータ• DDoSリスクアセスメントサービス（カスタマイズされた調査が可能）

A10グローバルDDoS脅威インテリジェンスマップ

https://threats.a10networks.com/

攻撃を防御するためのプロアクティブなアプローチを支援
40

アンプ攻撃ツールのデータアンプ攻撃ツール数トップ10（国別）（2020年8月：グローバル）

UDPアンプ攻撃ツールトップ１０（ソースアドレス数）※スライド投影のみ

41

日本における脅威状況の比較
DDoS攻撃ツール化したサーバーの数（2020年９月第一週のデータ）

日本

DNS , 12,146,8%

DDoS Bot,3906, 3%

SNMP, 24,214,17%

グローバル

DNS , 1,994,559,23%

DDoS Bot, 425,322, 5%

SNMP, 1,919,881,
23%

SSDP, 2,377,805,28%

SSDP, 67,878,
46%

Portmap,37,602, 26%

Portmap,1,745,609, 21%
DDoS Bot

SSDP

Portmap

SNMP

DNS

DDoS Bot

SSDP

Portmap

SNMP

DNS

日本は、DNSの割合が少なく、SSDPの割合が多い
42

日本の組織毎の脅威状況※スライド投影のみ

日本の各組織でどのDDoS攻撃ツールが何台あるかのデータ
43

日本の組織毎の脅威状況※スライド投影のみ

日本の各組織の地域毎でどのDDoS攻撃ツールが何台あるかのデータ
44

A10のDDoS防御ソリューション – Thunder TPS
DDoS攻撃防御の効率化
機械学習を用いたゼロデイ攻撃防御

フルオートの自動DDoS緩和ポリシー

Thunder TPS• 自動で攻撃内容に応じた防御ポリシーを適用• 手動による操作、実行に要する時間を削減

シリーズ

プロアクティブに実行可能な
DDoS脅威インテリジェンス
他社と比較して48倍のブラックリストを保有

高い投資効率
他社より2倍マルチコアに最適化された独自OSにより業界最高レベルのパフォーマンス
1台で 300 Gbps/440 Mpps
(仮想アプライアンス：100Gbps)

2倍

省スペース化
1Uで最大220Gbps

10倍

保護対象ホスト収容率

1台あたりの収容率を向上 CAPEXとラックの省スペース化を実現

物理・仮想環境でハイパフォーマンスな防御環境を構築可能
45

Thunder TPS ラインナップ
DDoS攻撃緩和装置 (モード変更で検知装置へ変更可能）
エントリ

ミドルレンジThunder 3040S

Thunder 5845

10 Gbps

100 Gbps

統合管理・DDoS検知

ハイエンド
aGalaxy 5000
ハードウェアアプライアンス

Thunder 14045
300 Gbps, 100 GbE ports

aGalaxy-VA
仮想アプライアンス

Thunder 7445

Thunder 1040
5 Gbps,ハードウェアバイパスオプション

Thunder 5435

220 Gbps, 100 GbE ports

77 Gbps

DDoS検知専用
vThunder TPS
仮想アプライアンス
1~ 5 Gbps

Thunder 4435

Thunder 6635(S)38 Gbps

152 Gbps, 100 GbE ports

Thunder 6435(S)vThunder TPS Detector
仮想アプライアンス

152 Gbps

防御帯域、ポート構成などで様々なモデルを選択可能
46

Thunder TPSのユースケース
ゲーム

サービスプロバイダ

企業

MSSP
NA
ピア

SP
ピア

BGP

エッジ

xFlow
データ

エッジ

EMEA
ピア

xFlow
データエッジ

エッジ

攻撃発生時
通常時
Thunder
TPS

バックボーンaGalaxyThunderTPS

aGalaxy
コア

SecOpsシステム

ゲームサービス
データベースThunderTPS

aGalaxy

Thunder
TPS

ファイアウォール

アプリケーション・
データセンタaGalaxy

コア

テナント

ユーザー
ポータルサイト• 他社フローコレクタと連携可能• ネットワーク全体の防御• 自動経路制御• SecOpsシステムとのAPI連携• リアルタイム防御• インライン構成• マルチベクタ• DDOS、不正トラフィック防御• DDoS攻撃に弱いFWを防御• アプリケーションの可用性確保• テナントの防御• テナント毎のレポーティング• サブスクライバーポータル

インフラの防御プレイヤー体験を向上

FWプロテクション

マルチテナントサービス

あらゆるネットワーク構成に対応
47

A10の機械学習による防御機能（ZAPR）

Zero-day Attack Pattern Recognition (ZAPR)

機械学習によってDDoS攻撃パターンをパケットベースで学習

攻撃を識別しフィルタを作成

攻撃
傾向
学習

未知のパターンによるボリューム攻撃

攻撃
識別

変化し続ける攻撃も対応
継続的に識別、防御

フィルタ

適用

攻撃
防御

継続学習

従来の手動操作では得られない迅速な防御対策を実現
攻撃パターンを学習して防御ポリシを自動生成・攻撃が変化しても再学習して防御ダウンタイムを最小限に抑え、運用コストの削減

48

[従来]未知のDDoS攻撃パターンの防御フロー
検知!
フロー
テレメ
トリ

精度の低い防御

防御

人による調査/解析
人による防御ポリシ適用

aGalaxy
With Detector

aXAPI
Thunder TPS

長期のサービス影響
Thunder TPS

Thunder TPS

数十分~数時間

1. 設定済みのポリシなどで緩和（複数回）
2. 攻撃パターンが変化してポリシで防御不能、ベースラインを超過
3. 最終的にレートリミットが起動してトラフィックを制限

分析結果に基づいたフィルタを設定して防御レートリミットでの防御のため正常トラフィックにも影響あり
49

[ZAPR]未知のDDoS攻撃パターンの防御フロー
検知!
フロー
テレメ
トリ

サービス
影響は限定的

高精度な防御

aGalaxy
With Detector

aXAPI
Thunder TPS

Thunder TPS

数十秒~数分•Thunder TPS

•1.
2.
3.
4.

設定済みのポリシなどで緩和（複数回）
攻撃パターンが変化してポリシで防御不能、ベースラインを超過
レートリミットをトリガとしてZAPRが起動
ZAPRが全体トラフィックから攻撃成分のみをドロップ•フィルタの効果を常時モニタ
一定の効果が得られないと判断した場合は、再学習再作成したフィルタを適用

正常トラフィックへの影響を極力避けた緩和が可能
50

A10のOne-DDoSソリューション
A10 One-DDoS Protection

従来構成

フロー情報
ルート変更（BGP)
検知シグナル
攻撃トラフィック
正常トラフィック

Internet

Internet

DDoS検知CGN/IPv6
DDoS検知aGalaxy-TPS（検知機能）
または他社製
フローコレクタ製品

DDoS検知Thunder TPS(緩和機能)aGalaxy-TPS（検知＋連携機能）

Thunder TPS(緩和機能)

DDoS検知DDoS検知ADC

ADC+FW

保護対象のサービス・アプリケーションに近いポイントで攻撃を検知
51

内部から外部へ向けての攻撃防御
外部のサービス

攻撃発生時
仮想版
vThunderTPS Detector(DDoS検知)
xFlow

攻撃防御時

外部のサービス

仮想版
vThunderTPS Detector
xFlow

API

仮想版
vThunderTPS(DDoS防御)

防御対象リソース

仮想版
aGalaxy TPS(DDoSポリシー管理、レポーティング)

仮想版
vThunderTPS(DDoS防御)

防御対象リソース

API

仮想版
aGalaxy TPS(DDoSポリシー管理、レポーティング)

1インスタンス
最大100Gbps

組織内部から外部に対する攻撃も大容量で防御し、組織のブランドを保護
52

A10 FlexPoolライセンスによる防御帯域制御
帯域ライセンスプール(A10 FlexPoolサービス)
10G 10G 10G 10G 10G 10G 10G 10G 10G

分散

帯域ライセンスプール(A10 FlexPoolサービス)
10G 10G 10G

70G

集中!

移行

移行

移行

通常は各リージョンにvThunder TPSを配置

大規模攻撃時、他のリージョンからvThunder
TPSを移動させて集中的にDDoS防御が可能

防御リソースを効果的に分散/集中配置しつつ迅速なデプロイを実現
53

脅威インテリジェンスサービスの活用

A10 脅威インテリジェンス
レピュテーションリスト
Threat Intel ProxyThunder CFW

Thunder TPS

vThunder TPS• 脅威インテリジェンスを利用した防御• Thunder TPSや他のA10製品でも利用可能• カスタマイズできるデータフィード• プロキシ経由のデータ転送• データのみの提供も可能• サードパーティ製のSIEMデバイスなどで利用可能

脅威情報のアップデート

サードパーティ製
SIEM製品

他社製品でも使用可能・プロアクティブな防御環境を構築
54

まとめ• サービス不能攻撃（DDoS攻撃）が増加する可能性がある
DDoS攻撃対策や脅威情報を活用して対策を検討• IoT機器向けのセキュリティ対策が必要になってくること
ゲートウェイ型のセキュリティソリューションを検討• 暗号化通信についての取り扱いについて見直しが必要
暗号化通信のリスクを検証して対策を検討
ネットワークにおけるセキュリティ対策をご検討ください
お問い合わせ：https://info.a10networks.com/JP-WebContactUs.html

55

Thank You
アンケートにご協力お願いします。
https://business.form-mailer.jp/fms/fef556b3137447

Always Secure. Always Available.