CIRA が Akamai Secure Internet Access Business を使用して DNS を拡張

従来型のサービスを超えて拡張

Canadian Internet Registration Authority（カナダのインターネット登録局、略称 CIRA）は、すべてのカナダ人のために安全でセキュア、かつ信頼性の高い「.CA」ドメインを運用するという任務に基づいて運営されています。西暦 2000 年に設立され、管理するドメイン数は 280 万件以上にのぼっています。

CIRA は数年前、レジストリとしての収益を補完できる新たなサービス機会を見出しました。2015 年、CIRA は D-Zone Anycast DNS を導入することで、初めて DNS ベースのサイバーセキュリティに移行しました。このサービスは現在、プロバイダー（ISP）数社、カナダ政府、および多くの教育機関に使用されています。カナダの包括的なセカンダリ DNS サービスのリリース後に、多くの CIRA のお客様がキャッシュ DNS サービスを依頼しました。教育分野の組織は、コンテンツフィルタリング機能を提供するサービスに特に関心を持っていました。

「マルウェア、ランサムウェア、フィッシング攻撃から組織を保護する、クラウドベースのサイバーセキュリティサービスというコンセプトに基づいて、提供するオプションについて模索し始めました」と、CIRA の Business Development and Product Manager、Mark Gaudet 氏は説明します。

新しいサイバーセキュリティサービスの立ち上げ

CIRA は、社内でキャッシュ DNS サービスソリューションの構築を検討しました。「DNS RPZ を使用してそのようなソリューションを実装することも可能でしたが、実際に価値があるのは脅威フィードだと考えており、それを独自に開発することはできませんでした」と Gaudet 氏は述べています。

そこで CIRA は、再帰サーバーを備えた DNS ベースのセキュリティソリューションを大規模 ISP に提供していた当時の業界リーダー、Nominum（現在は Akamai の傘下）に注目しました。「私たちは Nominum が世界中の DNS データにアクセスできることを知っていたため、リアルタイムの脅威フィードを開発できるのではないかと考えました」と、Gaudet 氏は話しています。

この提携により、CIRA は 6 か月以内に D-Zone DNS Firewall のトライアルを開始することができ、その 3 か月後には実稼働を開始しました。このソリューションでは、毎日 1,000 億以上の DNS クエリーを評価して悪性かどうかを判断する、カナダ全体に展開されたスマートリゾルバを使用します。脅威カバレッジをクラウドサービスによって継続的かつ自動的に更新することで、きわめて動的なエクスプロイトを阻止しています。

CIRA は、カナダの自社インフラを活用して、Akamai がサポートするクラウドベースのサービスを展開することで、大規模な設備投資の必要なくお客様を引き付けることができます。それと同様に重要なのは、このサービスによって CIRA はカナダ人向けに注力したサービスを構築できるということです。つまり、データ主権の維持を目的として、すべての DNS クエリーデータをカナダ国内に保持することが可能になります。「グローバルにホストされている DNS サービスではカナダ国内でのデータ保持が保証されません。しかし、このサービスではそれが可能になります。つまり、カナダ国内にデータを保持するという要件に対処できるよう、カナダの組織を支援して、CIRA の任務を果たすことができるのです」と、Gaudet 氏は説明します。

さらに、CIRA は Akamai の Secure Internet Access Business ソリューションを使用しており、パフォーマンスに影響を与えることなく、グローバルなスケールとキャパシティを実現しています。さらに、ネットワークベースで防御するため、お客様は従来のクライアントベースのセキュリティ製品で要求されるようなソフトウェアのインストールや更新の必要はなく、技術的専門知識をオンプレミスで保持している必要もありません。このサービスは基本的にはターンキーソリューションであり、必要なのはお客様の DNS リゾルバーを CIRA クラウドに指定することだけです。

より優れたサービスをカナダ市場に提供

2017 年のリリース以降、D-Zone DNS Firewall は小規模企業から大規模な大学組織に至るまで、150 万人を超えるカナダ人を保護してきました。CIRA は自治体部門で特に成功を収めており、現在までに 70 を超えるカナダの自治体を D-Zone DNS Firewall で保護しています。

「D-Zone DNS Firewall を使用することで、私たちは基本的なセキュリティレイヤーを広範な組織に提供しています。保護を実装する余裕がない、またはそれを活用できる技術的リソースがないために、保護サービスの利用が難しいと思われていた組織に、当社ならご提供できます」と、Gaudet 氏は述べています。また、このサービスにより、スピアフィッシング攻撃の影響を受けるデスクトップの数が 90% 減少しました。実際、ある教育分野のお客様は、CIRA のサービスを使用して迅速に新たな攻撃をブロックし、IT 部門の時間と労力を大幅に削減しています。「このような事例は、私たちのサービスがカナダ市場において非常に役立っていることを実感させてくれます」と、Gaudet 氏は述べています。

また、CIRA は Akamai DNSi Big Data Connector を使用して、すべての DNS クエリーデータと、Akamai のリゾルバーから収集したボットおよびフィッシングのブロックデータを、Elastic スタックに統合しています。このスタックには、検索および分析エンジン、データ収集およびログ分析エンジンが含まれています。また、分析および可視化プラットフォームも含まれているため、CIRA はネットワークで収集されたすべての種類の DNS およびセキュリティ関連データを検索し、表示することができます。これにより、CIRA は、より簡単に調査を実行し、お客様の問題をデバッグできます。

CIRA は Akamai のカスタマーポータルから開始しましたが、最終的には D-Zone DNS Firewall サービス上に独自のカスタマーポータルを構築しました。複数の場所で事業を運営しているお客様は、このポータルを使用することで、作成したポリシーをきめ細かい制御で中央から設定して適用できます。また CIRA は、お客様およびパートナー向けに API も提供しています。お客様はそれを使用して、たとえば、セキュリティ情報およびイベント管理ソリューションにクエリーを取得、およびブロックし、問題を特定のユーザーおよびデバイスに関連付けます。セキュリティベンダーおよび ISP はこのサービスを統合することで、カナダのお客様に DNS 保護を追加できます。

CIRA は 2019 年末までに、DZone DNS ファイアウォールサービスが新製品の収益の 50% を占めると予想しています。CIRA の次の戦略的計画は、強力なサイバーセキュリティに焦点を当てたものになる予定です。

「DZone DNS ファイアウォールを導入したことで、サポートしやすい製品を使用して、非常に迅速かつ容易にサイバーセキュリティ市場に参入できるようになりました。これによって当機関の事業に新たな方向性が生まれ、異なる市場に参入することができました。今後は補完的なサービスと製品を提供する予定です」と、Gaudet 氏はまとめています。

CIRA について

Canadian Internet Registration Authority（CIRA）は、会員ベースの NPO です。すべてのカナダ人のためにインターネット上の .CA ドメインを管理しています。また、カナダのインターネットコミュニティーをサポートするポリシーを開発および実装しており、国際的には .CA のレジストリとなっています。カナダのオンライン環境をより良いものにするために、インターネットを最大限に活用したプログラム、製品、サービスを構築するとともに、すべてのカナダ人に安全でセキュア、かつ信頼できるオンライン体験を提供しています。詳細については、https://cira.ca/ をご覧ください。