DNSの実装：セキュリティ上の考慮事項
「プラグアンドプレイ」型のソリューションをご希望のお客様向けに、CrowdHandlerではDNS設定の変更を通じて、オリジンの前にCDNをプロビジョニングします。これにより、すべてのトラフィックが当社のアプリケーションを経由してルーティングされ、キューイングやアクセス制御が行われます。ただし、このDNS設定の変更にはセキュリティ上の追加の影響があるため、この機能を有効にする前に、お客様にはその点を十分に理解しておく必要があります。
分離されたAWSリソース
CloudFront ディストリビューションおよび DNS 実装に関連するリソースは、CrowdHandler の専用 AWS アカウント内にデプロイされています。クライアントは、これらのリソースを直接設定することはできません。
データの可視性
当社のLambda@Edge関数は、リクエストとレスポンスをルーティングするためにAPIを呼び出しますが、アクセスできるのはリクエストヘッダーのみで、リクエスト本文やオリジンからのレスポンス本文にはアクセスできません。送信される機密データについては、当社側では確認できません。ただし、AWSリソースが分離されているため、クライアント側ではこれを独自に検証することはできません。
暗号化の利用
エンドユーザー、CloudFront、およびオリジンアプリケーション間のすべての通信は、TLS によって転送中に暗号化されます。また、CloudFront はフィールドレベルの暗号化もサポートしており、機密データをさらに保護します。
PANデータなし
当社のDNS実装では、クレジットカード番号などの個人を特定できる決済情報の送信はサポートされていません。PANデータはすべて、この機能の範囲外で処理する必要があります。これにより、PCIコンプライアンスの要件を満たすため、CrowdHandlerはクライアントのカード会員データ環境の外に留まります。
責任の分担
弊社ではCloudFront、Route 53、およびLambda@Edgeの設定と管理を行いますが、オリジンのセキュリティおよびコンプライアンスに関する責任はお客様が負うものとします。以下の対応をお勧めします：
- 送信元でのTLSを有効にし、証明書を最新の状態に保つ
- 共有秘密鍵を使用した「No-Bypass」ヘッダーを用いて、CrowdHandlerのバイパスを防止する
- インフラのセキュリティ強化と、必要なポート／プロトコルに対してのみファイアウォールを有効にする
- 定期的な脆弱性スキャンを実施し、オリジンシステムにパッチを適用する
- 自社のデータや業界に関連するコンプライアンスおよび規制要件を満たすこと
CrowdHandlerのDNS実装は、クライアントに対してシンプルなアクセス制御と分散機能を提供することを目的としています。ただし、機密データを保護し、コンプライアンス上の義務を履行するためには、オリジン側での適切なセキュリティ対策が不可欠です。クライアントは、この機能の利用状況を評価し、それぞれの固有のニーズに応じた管理措置と責任の所在を明確にする必要があります。