F5 分散クラウド サービスの比較

F5 のコア WAF テクノロジーは、CVE の 8,500 を超えるシグネチャと、F5 Labs と脅威研究者によって特定されたボット シグネチャなどの既知の脆弱性や手法を含む高度なシグネチャ エンジンによってサポートされており、アプリケーションと API の脆弱性を軽減します。

違反、回避、HTTP プロトコル コンプライアンス チェックの組み合わせ。 

誤検知トリガーを抑制する自己学習型の確率モデル。

ユーザーは、http ヘッダー名、Cookie 名、またはクエリ パラメータ名を指定して、リクエスト ログ内の機密データをマスクできます。 値のみがマスクされます。 デフォルトでは、クエリ パラメータ card、pass、pwd、password の値はマスクされます。

リクエストまたは応答が WAF によってブロックされた場合、ユーザーはクライアントに提供されるブロック応答ページをカスタマイズできます。

ユーザーは、許可される HTTP 応答ステータス コードを指定できます。

レート制限は、アプリケーション オリジンに出入りするリクエストのレートを制御します。 アプリのレート制限は、キー識別子 IP アドレス、Cookie 名、HTTP ヘッダー名を使用して制御できます。 

IP の脅威を分析し、F5 が管理する数百万の高リスク IP アドレスの動的なデータセットを公開して、悪意のある IP からの受信トラフィックからアプリのエンドポイントを保護します。 IP 処理カテゴリには、スパムソース、Windows エクスプロイト、Web 攻撃、ボットネット、スキャナーによるサービス拒否、フィッシングなどが含まれます。

Data Guard は、データをマスクすることで、HTTP/HTTPS 応答によってクレジットカード番号や社会保障番号などの機密情報が公開されるのを防ぎます。 

特定の一致基準に基づいて WAF 処理から除外する必要があるシグネチャ ID と違反/攻撃タイプを定義するルール。 具体的な一致基準には、ドメイン、パス、メソッドが含まれます。 クライアント要求がこれらすべての基準に一致する場合、WAF は検出制御で構成された項目の処理を除外します。

ユーザーは適切な許可されたソース ドメインを簡単に構成/指定できます。

Cookie 保護は、SameSite、Secure、および Http Only 属性を追加することで応答 Cookie を変更する機能を提供します。

 WAF エンジンは GraphQL リクエストの脆弱性を検査し、F5 シグネチャ データベースに基づいてトラフィックをブロックします。

ネットワーク ファイアウォール コントロールにより、ユーザーは特定のソースからの入力トラフィックをブロックしたり、特定のソースからのネットワーク トラフィックにレート制限を適用したりできます。 強化された保護により、送信元アドレス、送信元ポート、宛先アドレス、宛先ポート、およびプロトコルに基づいてトラフィックをフィルタリングできます。

事前設定された緩和ルールと自動緩和、および BGP ルート広告または権威 DNS 解決による完全なパケット分析による高度なルーティング DDoS 緩和スクラビングの組み合わせを含む、多層型のボリューム攻撃緩和。

アプリと API エンドポイント全体の異常なトラフィック パターンと傾向に関する異常検出とアラート。高度な機械学習 (ML) を活用して、エンドポイントを拒否またはレート制限する機能を使用して、リクエスト レート、エラー レート、レイテンシ、スループットを分析し、時間の経過に伴うアプリと API の動作の急増、低下、その他の変化を検出します。

機械学習 (ML) ベースの機能により、リクエスト率、エラー率、レイテンシなど、時間の経過に伴う個々のクライアントの動作とアプリのパフォーマンスの分析に基づいて、異常なレイヤー 7 トラフィックに対して自動緩和を構成できるようになります。

「Slow and low」攻撃はサーバーのリソースを占有し、実際のユーザーからのリクエストを処理するために使用できるリソースがなくなる。 この機能により、リクエスト タイムアウトとリクエスト ヘッダー タイムアウト値を構成および適用できます。  

F5 Distributed Cloud App Firewall は、最も人気のある 2 つの API プロトコルである GraphQL と REST の検査をサポートしています。

高度な機械学習により、アプリケーションの API エンドポイント トラフィック (リクエストと応答) のマークアップと分析が可能になり、API エンドポイントを検出して動作分析を実行できます。 これには、リクエストとレスポンスのスキーマ、機密データの検出、認証ステータスが含まれます。 OpenAPI 仕様 (OAS) 生成によるインベントリおよびシャドウ API セットの提供。

コード リポジトリに統合します。 高度な機械学習により、アプリケーション コードを自動的に分析し、API エンドポイントを検出して文書化できます。 これには、自動 OpenAPI 仕様 (OAS) 生成が含まれます。

OpenAPI 仕様ファイルをインポートして API グループを定義し、API へのアクセスを制御して API の動作を強制するためのルールを設定します。

API 仕様の強制機能により、API のポジティブ セキュリティ モデルが有効になり、組織は有効な API リクエストの特性に基づいて必要な API 動作を簡単に強制できるようになります。 これらの特性は、データ型、最小または最大の長さ、許可される文字、有効な値の範囲など、入力データと出力データを検証するために使用されます。

API エンドポイントの認証タイプとステータスを学習および検出する機能と、API リスク スコアリング機能が含まれます。  API エンドポイント リスク スコア機能は、API エンドポイントに関連するリスクの包括的な測定値をユーザーに提供します。 リスク スコアは、脆弱性の検出、攻撃の影響、ビジネス価値、攻撃の可能性、緩和制御などのさまざまな手法を使用して計算されます。 これにより、組織は API の脆弱性を評価して優先順位を付け、追加のセキュリティ対策が必要な API を迅速に特定できるようになります。

組織は、API エンドポイントの接続とリクエスト タイプを細かく制御できます。 特定のクライアントと接続をまとめて識別、監視、ブロックしたり、特定のしきい値を設定したりできます。 これには、IP アドレス、地域/国、ASN、または TLS フィンガープリントに基づく拒否リスト（ブロック）に加えて、HTTP メソッド、パス、クエリ パラメータ、ヘッダー、Cookie など、アプリと API とクライアントのやり取りをガイドする特定の一致基準を定義するより高度なルールが含まれます。 API 接続とリクエストのこのきめ細かい制御は、個々の API またはドメイン全体に対して実行できます。

レート制限は、API エンドポイントに出入りするリクエストのレートを制御します。

API 応答内の一般的な (クレジットカード番号、社会保障番号) またはあまり一般的でないカスタムの PII データ パターン (住所、名前、電話番号) を検出し、機密データをマスクするか、機密情報を送信している API エンドポイントをブロックします。  

特定の規制およびコンプライアンス体制の影響を受ける API エンドポイントを識別し、特定の機密データを検出、タグ付け、レポートします。 API コード内やトラフィックを通じて観察された場合、20 を超えるさまざまなフレームワーク (PCI-DSS、HIPPA、GDPR など) に関連付けられた 400 を超えるデータ タイプが含まれます。

WAF シグネチャ エンジンには、クローラー、DDoS/DoS などの自動化された脅威やボット技術に対する固有のシグネチャが含まれています。

JavaScript と API 呼び出しを活用してテレメトリを収集し、シグナル データの継続的な ML 分析でボットの再構築に迅速に対応して高度な攻撃を軽減し、認証情報の詰め込み、アカウントの乗っ取り、偽アカウントなど、あらゆるボットの使用事例から保護するように設計されたリアルタイム検出モデルの動的な更新により、自動化された攻撃からアプリを保護します。

フォームジャッキング、Magecart、デジタルスキミング、その他の悪意のある JavaScript 攻撃に対する Web アプリケーションの多段階保護を提供します。 この多段階の保護システムには、検出、警告、および軽減が含まれます。

パブリック クラウド、オンプレミス データセンター、分散エッジ サイト間のレイヤー 3 ネットワーク転送。

BIG-IP や Palo Alto Networks などのサードパーティのネットワーク ファイアウォール サービスを複数のクラウド ネットワークに統合します。

きめ細かなネットワーク分離とマイクロセグメンテーションにより、オンプレミスおよびパブリック クラウド ネットワーク全体のネットワーク セグメントを保護します。

ネットワーク全体のすべてのデータ転送にネイティブ TLS 暗号化を使用します。

パブリック クラウド ネットワーク構造の自動プロビジョニングとオーケストレーション。

クラウド全体のアプリ クラスター間の TCP、UDP、HTTPS リクエストに対する分散型ロード バランシング サービス。

分散クラウド環境内の API エンドポイントとクラスターへのアクセスを制御するためのきめ細かいセキュリティ ポリシー。

分散アプリケーション クラスター全体のサービス可用性を特定します。

HTTP および HTTPS トラフィックに対するルート ベースのポリシー適用。

ネットワーク全体のすべてのデータ転送にネイティブ TLS 暗号化を使用します。

AI/ML を活用した悪意のあるユーザーの検出は、ユーザーの行動分析を実行し、各ユーザーのアクティビティに基づいて疑いスコアと脅威レベルを割り当てます。 クライアントのインタラクションは、WAF ルールのヒット数、禁止されたアクセス試行、ログイン失敗、エラー率など、クライアントが他のクライアントとどのように比較されるかに基づいて分析されます。 悪意のあるユーザーの軽減は、適応型の応答とリスクベースのチャレンジ機能であり、ユーザーの脅威レベルに基づいて、Javascript や Captcha チャレンジなどのさまざまなチャレンジを提供したり、一時的にブロックしたりします。

許可/拒否リストの開発、Geo IP フィルタリング、カスタム ルールの作成により、マイクロ セグメンテーションが可能になり、アプリケーション層での高度なセキュリティがサポートされます。これにより、TLS フィンガープリント、地理/国、IP プレフィックス、HTTP メソッド、パス、ヘッダーなど、さまざまな属性/パラメータに基づいて、一致および要求制約基準を含む受信要求に対処できます。

任意のドメインを自動的にスキャンしてマッピングし、サーバーのバージョンやオペレーティング システムなど、公開されているすべてのサービスとインフラストラクチャを見つけるとともに、既知の脆弱性 (CVE) を特定します。 動的アプリケーション セキュリティ テスト (DAST) と組み合わせて、任意のドメインの自動侵入テストを実行し、未知の脆弱性を発見して修復ガイダンスを提供します。

クロスオリジン リソース共有 (CORS) は、ブラウザがデフォルトでクロスオリジン リクエストを許可せず、特に有効にする必要がある状況で役立ちます。 CORS ポリシーは、追加の HTTP ヘッダー情報を使用して、あるオリジン (ドメイン) で実行されている Web アプリケーションが別のオリジンのサーバーから選択されたリソースにアクセスする権限を持つようにブラウザーに通知するメカニズムです。

監視、ログ記録、許可/拒否ポリシーの定義などのための実際のクライアント IP アドレスの識別。 この機能を有効にすると、セキュリティ イベントとリクエスト ログに、この実際のクライアント IP アドレスがソース IP として表示されます。 

ロード バランサ/プロキシでのポリシーベースの承認による認証に TLS と相互 TLS の両方をサポートすることで、アプリケーション トラフィックのエンドツーエンドのセキュリティを強化する機能が提供されます。 相互 TLS は、x-forwarded-client-cert (XFCC) 要求ヘッダーでクライアント証明書の詳細をオリジン サーバーに送信する機能をサポートしています。

コンソール チケット、電子メール、電話サポートなど、さまざまな方法でサポートが提供されます。