• ユースケース
• SSLOと連携できる製品

BIG-IP SSL Orchestrator 製品概要

BIG-IP SSL Orchestrator（以降、SSLO）は、インバウンド・アウトバウンドのSSL暗号通信を復号して可視化する製品です。サードパーティのセキュリティ・ソリューションと連携することで、暗号化された通信を悪用する脅威から企業のITインフラと重要なデータを守ります。

SSL可視化が必要な背景

WEB通信の約9割がHTTPSの通信になっています。
なりすましや盗聴の対策として通信のSSL化が進む一方で、攻撃者もSSL通信を利用して攻撃をしかけてくるようになりました。
SSL/TLSによる暗号化通信を使ってユーザー端末にマルウェアを送りこんだり、端末に感染したマルウェアがC&Cサーバと暗号化通信を行うなどの悪用が一般的となっています。

＜例＞

• フィッシングサイトのリンク先としてSSLサイトを使用
• ボット化した端末とC&Cサーバ間の指示命令をSSLで隠蔽
• SSLベースのファイル転送アプリケーションによる情報漏えい
• SSLベースのアプリケーションを介してマルウェアが伝搬

これらの攻撃を未然に防ぐために、暗号化された通信を一旦デコードして通信の中身をチェックするSSL復号が注目されています。

セキュリティ製品単体でのSSL復号

セキュリティ製品それぞれで通信を復号→検査→再暗号化した場合、CPUリソースを逼迫してセキュリティチェックの性能が著しく低下します。製品によっては8割近くパフォーマンスがダウンするというデータもあります。ボトルネックを解消して性能を維持するためには、それぞれのセキュリティ製品を上位モデルにアップグレードするなどコストとリプレースに伴う作業の負担が大きくなります。

SSLOを使ったSSL復号

SSLOはSSL通信の復号と再暗号化を処理することに特化した可視化の専用製品です。サードパーティ製のセキュリティ製品と柔軟に連携できるため、すべての通信の可視化をSSLOに集約することができます。

SSLOで復号・再暗号化を行うメリット

• セキュリティ製品の設定変更が不要
• セキュリティ製品に負荷がかからず性能に影響なし
• SSLOは幅広い暗号化スイートに対応しており、柔軟な復号処理が可能

SSLOの「サービスチェーン」

他社のSSL可視化製品は、デイジーチェーン構成が一般的です。 デイジーチェーンでは構成する複数のセキュリティ製品に対して一律でトラフィックを流すか流さないかの制御となり、チェックする対象通信はそれぞれのセキュリティ製品で定義する必要があります。

SSLOはサービスチェーン構成を取ることで、必要なセキュリティ製品に対して任意の順番で復号したトラフィックを流すことができます。また、SSLOの設定で一括した通信制御が可能となります。

また、デイジーチェーンでは経路上のセキュリティ製品が通信不可となった場合、デイジーチェーン上のすべてのセキュリティ製品が使用不可となりますが、サービスチェーンではセキュリティ製品個々に死活監視を行っており、いずれかの製品に障害が発生した場合でも、その製品への通信をバイパスしてサービスを継続することが可能です。これは障害発生時だけでなく、メンテナンス時にも同様のメリットがあります。

ユースケース

課題
セキュリティ製品やWebフィルタリング製品の負荷高騰と性能低下 性能改善のための上位製品へのアップグレード それぞれのセキュリティ製品に対する可視化設定の投入 可視化不要な通信をバイパスするための仕組みの必要性（例：Microsoft365）

ポイント
可視化ゾーンにセキュリティ製品を配置 Webフィルタリング製品（デジタルアーツ社の i-FILTER） 次世代FW サンドボックス アンチウィルス 可視化処理（SSL復号から再暗号化）をSSLOに集約 セキュリティ製品の性能維持とSSLOによる高速な可視化処理 Microsoft365トラフィックを可視化せず自動的にバイパス（※）

※ 参照　Microsoft365(旧Office365/O365）トラフィック制御
https://www.techmatrix.co.jp/product/f5bigip/f5-office365.html

SSLOと連携できる製品

・Palo Alto Network NGFW ・McAfee Network Security Platform ・Check Point Security Gateway ・Cisco Firepower Threat Defense ・FireEye NX ・Gigamon ・Ixia ・TrendMicro Threat Protection System ・Check Point Security Gateway

・Cisco WSA ・Digital Arts i-FILTER ・Forcepoint Secure Web Gateway ・Fortinet Secure Web Gateway ・Menlo Security ・Squid ・Bluecoat ProxySG ・Digital Guardian DLP ・Opswat MetaDefender ・Squid