セキュリティ
WAFとは？ 仕組みや種類・導入効果など
インターネットが普及し、Webアプリケーションは私たちの日常生活やビジネスに欠かせない存在となっています。しかし、同時にWebアプリケーションを狙うサイバー攻撃も増加しており、対抗するためのセキュリティ対策も重要性を増しています。Webアプリケーションに対するセキュリティ対策として、特に注目されているものがWAFです。
この記事では、WAFの概要から仕組みや種類、導入効果について解説します。
WAFとは
WAF（Web Application Firewall）は、Webアプリケーションをサイバー攻撃から保護するためのセキュリティソリューションです。一般的なファイアウォールがネットワークの境界を防衛するのに対し、WAFはWebアプリケーション層で動作してHTTP/HTTPSのトラフィックを監視・制御します。
WebサイトやWebアプリケーションに対するサイバー攻撃は、主にそれらを構成するソフトウェアなどのセキュリティ的に弱い部分（脆弱性）が狙われます。脆弱性を狙った攻撃手法としては、SQLインジェクションやクロスサイトスクリプティング（XSS）などが有名です。
WAFを用いることで、このようなWebアプリケーション特有のサイバー攻撃からシステムを守ることができます。
WAFの仕組み
WAFはWebアプリケーションへのリクエストをリアルタイムで解析し、不正なリクエストをブロックする仕組みを持っています。原則的な仕組みとしては、Webサーバーとクライアント間のHTTP/HTTPSトラフィックを監視し、既知の攻撃パターン（シグネチャ）と照らし合わせて不審なパターンや攻撃の兆候を検出・遮断する、という仕組みです。
通信を監視して遮断するという点では、FWやIPSと似ているように思えます。しかし、それぞれ動作するネットワークの階層が異なり、防衛範囲も異なります。WAFはFWやIPSと比較すると、防衛範囲は広くありません。その分、Webアプリケーションの防衛に特化しています。
いずれかのソリューションがあれば良い、ということではなく、それぞれの得意分野で十分に個々が活躍できるように組み合わせて利用することが一般的です。
WAFの種類
WAFには、設置場所や提供形態によっていくつか種類が存在します。ここでは、知っておくべき3つの種類について解説するため、一つずつ見ていきましょう。
ネットワークベースWAF
ネットワークベースWAFは、WAF専用に設計されたハードウェアをネットワークの経路上に設置するWAFの種類です。別名、アプライアンス型WAFやゲートウェイ型WAFとも呼ばれます。
ネットワークベースWAFは、専用設計されたハードウェアを用いるため、性能が高く既存のWebサーバーに負荷をかけずに導入できる点がメリットです。一方で、アプライアンス製品は高価で、初期設定から運用・保守には専門知識が必要になる点がデメリットといえるでしょう。
ホストベースWAF
ホストベースWAFは、Webサーバー上にソフトウェアとしてインストールするWAFの種類です。別名、ソフトウェア型WAFやホスト型WAFとも呼ばれます。
ホストベースWAFはサーバーごとにカスタマイズしやすく、導入コストが比較的低い点がメリットです。しかし、サーバーリソースを消費することから負荷が増加する点や、サーバー台数が増えるほど管理が煩雑になる点、ネットワークベースWAFと同様に初期設定から運用・保守に専門知識が必要になる点がデメリットです。
クラウドベースWAF
クラウドベースWAFは、WAFの機能をクラウド経由で利用できるWAFの種類です。
クラウドサービスであるため、必要に応じてリソースを柔軟に増減可能であり、導入も容易です。ネットワークベース・ホストベースWAFに比べて、導入から運用・保守まで手軽に行える点は大きなメリットとなっています。
一方で、サービス提供側が障害などを起こすと、自社のWebサイトやWebアプリケーションが利用できなくなる可能性がある点がデメリットです。加えて、通信がサービス提供側を経由することから、情報漏えいやプライバシーの侵害といった懸念も考えられます。
WAFの導入効果
企業がWAFを導入することで、次のような効果が期待できます。
攻撃の防止
SQLインジェクションやXSS、CSRFなどのWebアプリケーション攻撃を効果的に防止します。そのため、情報漏えいやシステムダウンといった重大な被害を未然に防ぐことが可能です。
コンプライアンス遵守
多くの業界規制や標準（PCI DSSなど）では、WAFの導入が推奨されています。WAFを導入することで、これらの規制に準拠しやすくなります。
運用の効率化
WAFは自動的に攻撃を検出・防止するためセキュリティ運用の手間を削減でき、セキュリティ担当者は他の重要な業務に集中できるようになります。
信頼性の向上
WAFを導入することで、顧客や取引先に対する信頼性が向上します。安全なWebアプリケーションを提供することで、ビジネスの信用を守ることが可能です。
WAFの導入など、セキュリティ強化に取り組んでいきましょう
現代のビジネス環境において、WAFは欠かせないセキュリティ対策の一つです。サイバー攻撃の脅威が増大する中で、WAFを活用して効果的に防御することが求められます。セキュリティ強化に取り組む際には、信頼性の高いソリューションを選ぶことが重要です。
日立ソリューションズ・クリエイトでは、Webサイトからの情報漏えいを防止する「Barracuda Web Application Firewall」を提供しています。アプライアンスとして、ネットワークに接続して30分程度で攻撃検知率99.97%のWAFを導入可能です。加えて、IPS機能も提供可能であり、お客さまのWebアプリケーション環境のセキュリティ対策を強力にサポートします。経験豊富なSEが導入から構築まで一括で対応できるため、WAFの導入を検討されている場合はぜひ一度お問い合わせください。