「そのBIG-IP、入口が無防備です。」管理インターフェースを"不正アクセスの入口"にしない最短ルート

BIG-IPの脆弱性対策で話題に取り上げられやすいのは管理インターフェースです。本記事では、F5ネットワークス社製BIG-IPのアクセス制御をベースに、不正アクセスを遮断する現実的な対策を解説。読むだけで「守れているつもり」を脱却し、安全な運用基盤へ進化できます。

BIG-IPは管理ポートとサービス用ポート両方からアクセス可能ですが、推奨は管理ポート専用アクセスです。さらに閉域ネットワークに限定することで、そもそも攻撃者が到達できない状態を作ることが最も効果的です。

サービス用ポートから管理インターフェースへのアクセスできる構成は事故の元です。Port Lockdownで必要最小限のみ許可し、特にSSHやGUIの開放は厳禁。インターネット経由での管理インターフェースへのアクセスは原則遮断が鉄則です。

F5社は、管理ポートへのアクセスについて、アクセス可能なIPアドレス、もしくはIPアドレス範囲を制限することを推奨しています。
次ページ以降に、管理ポートへネットワークファイアウォールルールを設定し、アクセス制限を行う方法について説明します。
なお、Configuration Utility（GUI）や、 SSHについては、個別にアクセス制限を設定することも可能です。 

BIG-IP運用で重要なのは3点です。
①管理ポートは閉域化し外部遮断
②サービスポートから管理経路を断つ
③ファイアウォールルールによりアクセス元を最小限に制限
脆弱性リスクを抑えながら、安定した安全運用を実現できます。これだけで完全に守れるわけではないので、自社環境に合わせたチューニングにぜひ活かしてください。