要約

  • F5 は9月、アプリケーションごとの分析や脅威情報を用いる実行時保護を拡充した。ただし、異常検知などは段階的な展開であり、全機能の一斉提供ではない。
  • 仮想パッチはコードを書き換えずにリスクの低減を図る仕組みだ。試験結果と適用ルールを結び、修正後に見直せることが重要になる。

セキュリティ部門から開発部門へ報告書が渡っても、公開中のアプリケーションが受け付ける通信は変わらない。発見と修正の間に、何を、どこで遮断するかという運用判断が残る。F5 が広げようとしているのは、その判断を支える製品の役割だ。

9月1日の発表は、F5 WAF for Distributed Cloud の実行時保護を拡充するものだ。アプリケーション固有の異常検知やエージェント型の脅威インテリジェンスが、通過する要求のリスク評価に文脈を加える。仮想パッチは要求の経路上で対象を絞った防御を適用し、コードの恒久修正は開発、試験、変更管理の手順で進める。単に脆弱性の一覧を増やすのではなく、情報から実行までの距離を縮める提案である。

提供状況は分けて読む必要がある。F5 は Distributed Cloud の新たな AI 活用 WAF 機能、仮想パッチ、Web App Scanning と WAF for BIG-IP の連携を提供済みとしている。一方、異常検知とエージェント型の脅威インテリジェンスは展開中で、今後数カ月に対象を広げるという。すべての顧客が同じ日に全機能を使えるという意味ではない。

スキャンからポリシーへつなぐ仕組み自体も新設ではない。6月の実装解説は既に、Web App Scanning の結果を出力して BIG-IP Advanced WAF に取り込み、既存または新規のポリシーを使い、保護する脆弱性の領域を選ぶ流れを説明していた。9月の発表はその基盤を拡張するもので、検出結果がすべて人の選択なしに遮断へ変わることを示してはいない。

その前提となるのが、何を試験したかである。9月の技術・製品説明では、AI がフォームへの入力を助け、より深い処理の流れを調べるとしている。しかし現行のアプリケーション定義は、入口 URL と試験ユーザーの認証情報を一つのアプリケーションの基準に置く。入口以外のホスト名にある必要な資源は許可リストへ追加しなければ、標準では試験対象にならない。ある経路を深く調べることと、すべての利用者権限や関連サービスを調べることは別だ。

購入単位にもこの定義が関わる。Scan は月内に試験したアプリケーション数を基準に課金する。同じアプリケーションを繰り返し試験したり、異なる Test Profiles を使ったりしても、別々のアプリケーションとして利用枠に加算されない。検証の頻度と課金対象の規模は区別できるが、特定顧客の総費用まで分かるわけではない。

F5 自身の6月の説明は、仮想パッチが元の脆弱性を直さず、不完全なルールは回避されうると明記する。ログ、正常な通信への影響、継続的なスキャンを見ながら調整し、恒久修正後に制御を緩められるか判断する必要がある。発表の検知性能は社内試験に基づき、独立した本番環境の実績ではない。