IBM Cloud Internet Services について

TLS

サイトを保護し、トランスポート層セキュリティー (TLS) 設定を制御します。 自社サイトへのトラフィックの保護に使用する証明書を管理します。

発信元

起点サーバーとユーザーの間のトラフィックを暗号化する TLS 証明書を管理します。

速度制限

速度制限を使用すると、URL パターンに一致するクライアントの IP アドレスや、定義したしきい値を超えるクライアントの IP アドレスをブロックして、悪意のあるトラフィックからサイトや API を保護できます。

トラフィック消し込み

CIS は、248 Tbps のグローバル・ネットワーク・エッジ容量を提供し、パケットおよび HTTP 要求速度が非常に高い DDoS 攻撃を軽減することができます。

DDoS 攻撃が発生した場合、 CIS はスクラブ・センターを使用しません。アクティビティーはエッジで分析され、送信元に最も近い DDoS 攻撃を軽減するのに役立ちます。

「ダーティー」であると識別されたトラフィック、または攻撃の一部であると識別されたトラフィックは、請求に含まれません。 お客様には 保護されたトラフィックが請求されます。このトラフィックは、起点に転送されるクリーンなトラフィックと、エッジからクライアントに返される応答で構成されます。

Web アプリケーション・ファイアウォール (WAF)

WAF は、OWASP と CIS の 2 つのルール・セットを介して実装されます。

IP ファイアウォール

IBM Cloud Internet Services では、大量のトラフィック、特定の要求者グループ、特定の要求 IP からドメイン、URL、およびディレクトリーを保護できるように、トラフィックを制御するためのいくつかのツールを提供しています。

ファイアウォール規則

一致する要求をブロック、チャレンジ、ログ、許可する一連のフィルターに対して、着信 HTTP トラフィックを検査するルールを作成します。

一般に、ファイアウォール・ルールは、要求ヘッダーや本体コンテンツの特性など、OSI Layer-7 (HTTP) で公開されるプロパティー用に設計されています。 そのため、ファイアウォール・ルールは HTTP/HTTPS の「範囲」のアプリに適用されます。

イベント

アクティブな Web アプリケーション・ファイアウォール・ルールによってトリガーされるイベントを表示します。 各イベントにおいて、要求している IP アドレス、または要求しているリージョン全体に基づいてトリガーされるアクションを変更できます。

範囲

Range アプリケーションを使用して CIS DDoS、TLS、および IP ファイアウォールの機能を Web サーバーおよび TCP ベースのサービスに拡張し、それらをオンラインかつセキュアに保ちます。

高度なセキュリティー

高度なセキュリティー設定には、以下の機能が含まれます。これらの機能は、変更、有効化、または無効化が可能です。

• ブラウザー保全性チェック - ブラウザー保全性チェックでは、スパマーがよく不正使用する HTTP ヘッダーを探します。 ご使用のページに対してそうしたヘッダーを含むトラフィックがアクセスするのを拒否します。 また、ユーザー・エージェントを持たない訪問者、または標準外のユーザー・エージェントを追加する訪問者をブロックまたはチャレンジします。 この手法は、悪用ボット、クローラー、または API でよく使用されます。
• チャレンジ・パッセージ-チャレンジ (または JavaScript チャレンジ) を通過した訪問者が、再度チャレンジされるまでにサイトにアクセスできる期間を制御します。 このチャレンジは訪問者の IP に基づいているため、WAF ルールによって提示されるチャレンジには適用されません。これは、ユーザーがサイトで実行するアクションに基づいているためです。
• セキュリティー・レベル - チャレンジ・ページを受け取る訪問者を決定するために、Web サイトのセキュリティー・レベルを設定します。
• 常に HTTPS を使用 (Always Use HTTPS) - すべての訪問者を HTTPS バージョンにリダイレクトします。
• E メールの難読化 (Email Obfuscation) - ページ上の E メール・アドレスにアクセスしようとするハーベスターやボットによるスパムを防止します。
• HTTPS 自動書き換え (Automatic HTTPS Rewrites) - HTTPS で提供できる Web サイトのすべてのリソース (またはリンク) の http を https に変更して、混合コンテンツの修正を支援します。
• オポチュニティー暗号化-ブラウザーは、暗号化された接続を介してサイトが使用可能であることを通知することにより、 HTTP/2 のパフォーマンスを向上させることができます。
• ユニバーサル SSL - ゾーンからエッジまでユニバーサル SSL 証明書を有効化します。
• True Client IP ヘッダー-True-Client-IP ヘッダーでユーザーの IP アドレスを送信します。

セキュリティー規格とプラットフォーム

• TLS (SHA2 および SHA1)
• IPv4 および IPv6
• HTTP/2

ネットワーク攻撃と緩和

一般に、攻撃は 2 つのカテゴリーに分類されます。

オンデマンドの DDoS 対策

IBM Cloud Internet Services は、発信元サーバーの IP アドレスの実際のレコードではなく、ドメインの DNS ルックアップで CIS IP アドレスを返すことによってトラフィックを取り込みます。 これにより、 CIS は、発信元サーバー宛先にデータを送信する前に、データを取り込み、単一パス検査し、再暗号化することができます。 CIS は、DNS のみのモードで動作し、IP を難読化せずに実際の DNS レコードを返すこともできます。これにより、DDoS や CISのその他の機能が無効になります。 CIS 保護を有効にするには、各 DNS レコードの横にある「プロキシー」スライダーを オンに切り替えます。保護を無効にするには、 オフに切り替えます。

無制限の DDoS 緩和

DDoS 緩和は通常、攻撃されたときにコストが増える可能性があり、費用のかかるサービスと言えます。 CIS には、追加の費用がかからない無制限の DDoS 緩和が用意されています。

レイヤー 7 攻撃の軽減 (構成)

CISでは DDoS がデフォルトで有効になっていますが、以下のようにしてレイヤー 7 セキュリティーをさらに構成することができます。

• WAF ルール・セットの機密性および応答動作の構成
• 速度制限の追加
• ファイアウォール・ルールの追加

これらの機能を使用して、ボリューム・アタックと非ボリューム・アタックの両方のレイヤー 7 の緩和をカスタマイズします。

非ボリューム・アタックの軽減

CIS WAF には、クロスサイト・フォージェリー、クロスサイト・スクリプティング (XSS)、ファイル・インクルージョン、SQL インジェクションなどの非ボリューム攻撃を軽減するためのルール・セットが含まれています。 WAF について詳しくは、 Web アプリケーション・ファイアウォールの概念を参照してください。

コスト保護

CIS は、DDoS 緩和、ファイアウォール、またはレート制限の一部としてブロックされているトラフィックについては、計測も課金もしません。 料金または使用量が発生するのは、 CIS ネットワークを介して起点宛先に渡される要求のみです。

CIS は、発信元が応答する必要がある良好な要求のみを渡すことで、発信元からの出口帯域幅の料金を制御下に維持するのにも役立ちます。 すべての CIS プランで、DDoS 攻撃の緩和策が無制限かつ定額で提供されます。 攻撃トラフィックに対して課金されることはありません。 攻撃トラフィックによるスパイクに対するペナルティーはないため、お客様によるチャージバックはありません。

グローバル・ロード・バランシング機能

グローバル・ロード・バランシング・サービスにより、起点プール、ヘルス・チェック、およびロード・バランサーを組み合わせて、トラフィックを複数のサーバーに分散させることができます。 グローバル・ロード・バランシングには、以下の機能があります。

• ロード・バランシングのためのプロキシーと非プロキシーのオプション
• 起点プールおよびヘルス・チェック

DNS の機能

CIS の DNS には、次の機能があります。

• DNS 管理 - DNS レコードの管理、プロキシーの制御、DNS セキュリティーの有効化を行うことができます。
• DNSSEC-DNS セキュリティーは、ユーザーに提供された DNS レコードが DNS サーバーで公開された DNS レコードと同じであることを確認するために、ゾーンに暗号的に署名します。

gRPC プロトコル・サポート

gRPC プロトコルは、より小さいペイロードで効率的な API を構築します。これにより、帯域幅の要件が軽減され、待ち時間が短縮され、実施時間が増加します。 CIS は、任意のプロキシー gRPC エンドポイントに対して gRPC プロトコルをサポートします。 gRPC サポートを有効または無効にするには、 信頼性 セクションに移動し、 拡張 タブを選択して、gRPC スイッチを切り替えます。

gRPCを使用する前に、以下の要件を満たす必要があります。

• gRPC エンドポイントはポート 443 で検知する必要があります。
• gRPC エンドポイントは TLS および HTTP/2 をサポートしている必要があります。
• HTTP/2 は、Application-Layer Protocol Negotiation (ALPN) を介して公示される必要があります。
• gRPC 要求のコンテンツ・タイプ・ヘッダーは、 application/grpc または application/grpc+<message type> を使用する必要があります。

キャッシング

キャッシュに入れられたアセットを CIS で管理する方法を制御します。

ページ・ルール

キャッシュの動作を微調整してコンテンツの最適化を実現します。

ルーティング

リアルタイム・ネットワーク接続を使用するグローバル・インターネット上での経路指定の判断を分析し最適化することにより、過剰な遅延が発生しないようにします。

高度なパフォーマンス

高度なパフォーマンス・セクションでは、Brotli 圧縮を適用したり、アップロード・サイズを制限したりできます。