Akamai Huntでセグメンテーションを強化し続ける（前編：ポリシー最適化）

本記事の3行サマリ

• Akamai Huntサービスでは、セグメンテーションの強化に向けたポリシー最適化を提供している

• ポリシー最適化のユースケースとして3例を紹介：1. 過度に許容範囲が大きい、2. 処理フロー上で到達できない、3. 該当件数が0件

• ルールの許可範囲を限定する、適用されないルールを修正する、といったポリシー最適化を実施することで、セグメンテーションを最適な状態を維持することが可能

はじめに

セキュリティアーキテクトの齊藤です。Akamaiマイクロセグメンテーション製品のAkamai Guardicore Segmentation(AGS)の導入支援をしています。
AGSでは、オプションとして、マネージド脅威ハンティングサービスAkamai Huntを提供しています。Akamai Huntを使用することで、セキュリティ脅威の迅速な検知・対応が可能です。
Akamai Huntでは、お客様のAGS環境を継続的に監視することで、ポリシーギャップを特定し、ポリシーの推奨事項を提供します (Adaptive Segmentation)。これにより、お客様環境のセグメンテーションの最適化をサポートします。
本記事と次回記事で合わせて、お客様の環境での実例をもとに、セグメンテーションを強化できるユースケースご紹介します。本記事では、ポリシー最適化に焦点を当てたユースケース3つをご紹介します。
1. 過度に許容範囲が大きいルール
2. 処理フロー上で到達できないルール
3. 該当件数が0件だったルール
（この記事はAkamai Blog 記事「From Good to Great: Mastering Day-2 Network Security Policy」の主に前半部分を日本語抄訳したものです。）

1.  過度に許容範囲が大きいルール

過度に許容範囲が大きいルール（送信元・宛先が指定されていない、必要以上に広い範囲のIPアドレスやポートを指定している、等）は、必要以上にアクセスが許可されていることで、サイバー攻撃が発生した際に影響範囲も広くなる恐れがあります。こうしたルールに対しては、送信元・宛先IPアドレスを指定する、ポートを必要な種類だけに制限するといった、最小権限の原則に基づいてルールを実装し直す必要があります。
Akamai Huntが対応した例（図 1）では、1) 任意の送信元から特定のラベル、かつ全ポートへの通信を許可するルールと、2) インターネットからその特定のラベルに対する通信を遮断するルールを抽出しました。この場合、1) の許容範囲が過度に大きく、その次に適用されるべき2) が適用されません。その結果、インターネットからの通信が意図せず到達してしまいます。
そこで、Akamai Huntではお客様環境のネットワークトラフィックを分析し、ルールを検証しました。その結果、1)に対して許可範囲を限定することを提案しました。これにより、遮断ルールを適用しつつ、必要な内部通信を維持することが可能となりました。

2. 処理フロー上で到達できないルール

処理フロー上で到達できないルールとは、通信対象を詳細に定義し制限したルールよりも広範囲を許可するルールが優先されるために、前者の詳細なルールが無効となることを指します。Akamai Huntでは、ルール階層と実際のトラフィックを分析してこうしたルールを特定します。特定できたら、ルールの順序を変更する、適用範囲を調整する等して、詳細なルールが有効になるようにします。こうした修正により、ポリシーの精度が向上し、お客様環境内の資産が必要以上にインターネットに露見することを防ぎます。
お客様環境の規模やルールの粒度によって、到達できないルールの発見には時間や手間がかかります。Akamai Huntでは、こうしたルールを独自の検出エンジンにより検出し、レポートにて報告しています（図 2）。

3. 該当件数が0件だったルール

該当件数が0件だったルールとは、適用されていても、該当する通信が存在しなかったルールを指します。こうしたルールの原因は大きく4つに分かれます。以下は該当件数が0件だったルールの原因とその修正例です。

• 処理フロー上到達できない: ルールの順序を調整したり、より広範囲に適用されるルールを修正して、処理フローで到達できるようにする

• ルールの設定ミス: 他のルールに影響が及ばないように注意し、ルールを修正する

• レガシールール: 現在使われていないシステムのために作成したルールで、現行の遮断ルールの一部になっていないものであれば削除する

• 冗長性を持つ（該当件数0件が想定される）: 想定されない通信を遮断できるよう、ルールをアラートから遮断モードに移行する（悪性ドメイン/IPアドレスからの通信や、お客様環境内で存在しない通信を検知する、等のルールが該当）

ルールの改善は、セグメンテーションの適切な維持に重要です。Akamai Huntでは、該当件数が0件だったルールを毎月報告しています（図3）。

まとめ

本記事では、AGS環境のポリシー最適化に焦点を当て、セグメンテーションを強化できるユースケースを3つ紹介しました。
AGS導入後も、ポリシーやルールを継続して分析・改善を行うことで、セキュリティレベルを強化し続けることが重要です。Akamai Huntをご利用頂くことで、セキュリティ専門家によるお客様環境のセグメンテーション最適化の維持が可能です。
次回記事では、お客様環境のトラフィック分析に基づいたセグメンテーション強化に焦点を当てたユースケースをご紹介します。

リンク
Akamai Hunt