【初心者向け】WAFとは？攻撃を防ぐ仕組み・導入の比較ポイントを解説

WAFとIDS/IPSの違い

IDS/IPSは、DoS攻撃などのOS・ミドルウェア・プラットフォームレベルなどへの攻撃を防御することに特化しています。IDSは「Intrusion Detection System」を意味しており、「不正侵入検知システム」といわれています。
ネットワークやシステムに流れる通信を監視し、攻撃や侵入の兆候を見つけた場合にアラートを出します。しかし、IDS自体は攻撃を止める機能は持っていません。
一方、IPSは「Intrusion Prevention System」の意味で、「不正侵入防止システム」といわれています。IDSの機能に加え、不正な通信を検知した際に自動で遮断・防御する機能を持っています。
IPSはIDSの機能を含みますが、IDS単体には「詳細分析・ログ監視」という独自の機能があります。特に大規模ネットワークや高度なセキュリティ運用が必要な環境では、IDSとIPSは補完し合う関係です。そのためIPSだけでは防御の精度や監査能力が十分とは言えません。
さらに、近年はクラウドサービスやECサイトなどのWebアプリケーションへの攻撃が多様化しており、IDS/IPSだけでは対応が困難なケースが増えています。このような背景から、Webアプリケーション特有の攻撃を防御できるWAF（Web Application Firewall）の導入が重要になっています。

WAFとFWの違い

FWはIPやポート単位の攻撃に対し、ネットワーク層で防御を行うことに特化しています。ただし、FW自体がアクセスの正常・不正を判断するのではなく、あくまでも人が設定したルールにもとづきアクセスの透過・遮断を判断します。
FWは通信の中身までは確認しないため、正規の通信に見せかけた攻撃には対処できません。したがって、FWだけではWebアプリケーションを守ることは困難です。

WAFとWAAPの違い

「WAAP（Web Application and API Protection）」は、WAFの機能にAPI保護機能を追加したセキュリティの概念です。API（Application Programming Interface）は異なるソフトウェア間をつなぐ役割を持ちますが、そのセキュリティ性能は開発元に依存します。そこで、Webアプリケーションに加えAPIを保護する目的でWAAPが開発されました。WAAPはWAFの重要性の高まりにともない誕生したともいえます。

クラウド型WAF

クラウド上でWAFサービスを受ける形態が「クラウド型WAF」です。特別な機器やソフトウェアを購入する必要がなく、すぐに導入できる点がメリットです。また、更新やメンテナンスもベンダー側で実施するため、自社スタッフの運用・管理負担が小さいという点も見逃せません。サービスによっては多層防御などWAF以外の機能を備えており、自社のセキュリティを一気に向上できる可能性もあります。例えばNTTPCの「クラウドWAFセキュリティオペレーションサービス」では、WAFに加えてIPS/DDoS対策など主要なセキュリティ機能も併せて提供しています。

ソフトウェア型WAF

自社でWebサーバーを運用していて、サーバーの能力にも余裕がある場合には、「ソフトウェア型WAF」（ホスト型WAF）の導入を検討しましょう。比較的安価で、既存のWebサーバーにインストールするだけで導入が可能です。一般的にWebサーバー数により購入ライセンス数が決定されるため、通信量が変動する場合などでも料金の見通しが立てやすいというメリットもあります。
ただし、初期設定や運用・保守などは自社で行う必要があります。Webサーバー毎にインストールする必要があるため、特にサーバーの数が多い場合などでは適切な維持管理が課題となることもあるでしょう。また、ソフトウェアや使用状況によってはWebサーバーへの負荷が課題となるかもしれません。

アプライアンス型WAF

WAF専用に作成されたハードウェアを通信経路上に配置する形態が「アプライアンス型WAF」（ゲートウェイ型WAF）です。比較的高価ですが、既存のサーバーに負荷を与えることなくWAFを導入できます。また、設定変更により柔軟な運用が可能であることもメリットです。
ただし、ソフトウェア型WAF同様、初期設定や運用・保守などは自社で行う必要がある点が弱点といえます。柔軟な運用が可能である反面、設定変更や保守作業には高度な知識や技術が必要となる点には留意しておきましょう。

SQLインジェクション

「SQLインジェクション」は、データベースへの命令文である「SQL」を使用し、Webアプリケーションの脆弱性を突いてデータの消去や改ざん、情報漏えいを狙う攻撃です。FWやIDS/IPSでは保護することが困難なこの種の攻撃には、Webアプリケーション層の保護に特化したWAFが有効です。
特にWAFは、アプリケーションの脆弱性を悪用する攻撃を自動的に検知・遮断するため、開発段階での対応に加えて有効なセキュリティ層となります。

SQLインジェクションとは? 攻撃の対策や被害事例をわかりやすく解説

クロスサイトスクリプティング

「クロスサイトスクリプティング」は、Webページを動的に生成するWebアプリケーションの脆弱性を突いて任意のスクリプトを実行する攻撃です。クッキーの漏出や個人情報の漏えいの被害を受ける恐れがあります。
この種の攻撃は、まさにWebアプリケーションの脆弱性保護を主目的とするWAFの得意分野といえます。

クロスサイトスクリプティング(XSS)とは? 攻撃の仕組みや対策をわかりやすく解説

OSコマンドインジェクション

「OSコマンドインジェクション」は、SQLインジェクションと同じように、WebサーバーへのリクエストにOSへの命令文を紛れ込ませ、不正に実行させる攻撃です。サーバー内のファイルの消去や改ざん、情報漏えいなどの被害を受ける可能性があります。
こちらもWebアプリケーションを標的とした攻撃のため、WAFにより防御することができます。

OSコマンドインジェクションの被害事例とその対策について解説

cookie改ざん

「cookie」は、Webサイトにアクセスした際に、Webサーバー側がWebブラウザー内に保存するファイルのことを指します。「cookie改ざん」は、このcookieを改ざんし、正規のユーザーに成りすまして不正な操作を行う攻撃です。また、cookie内部に含まれる個人情報を窃取する「cookie窃取」という攻撃もあります。WAFはcookieの監視や暗号化を行い、こうした攻撃を防止することができます。

パラメーター改ざん

WebブラウザーがWebサーバー側にWebページの情報をリクエストする際には、「URLパラメーター（クエリ文字列、URLの末尾に付く「?」以降の文字列）などのパラメーターが付加されます。「パラメーター改ざん」は、このパラメーターを改ざんし、決算処理の内容を不正に変更したり、アカウント情報を悪用したりする攻撃です。WAFはパラメーターを監視し、ブロック・保護を行い、こうした攻撃を防止することができます。

パス名パラメーターの未チェック/ディレクトリ・トラバーサル

「パス名パラメーターの未チェック/ディレクトリ・トラバーサル」は、外部から寄せられるリクエスト内にWebサーバー内のファイル名を直接指定している場合に、不正なファイルを指定して意図しない処理を行わせる攻撃です。ファイルの消去や改ざん、情報漏えいなどの被害を受ける可能性があります。こちらも、WAFにより被害を防止することができます。

DDoS攻撃

「DDoS攻撃」（Distributed Denial of Service attack、分散型サービス拒否攻撃）は、Webサーバーに対して過剰な接続要求やデータを送付し、サーバーの停止を狙うサイバー攻撃です。WAFはWebアプリケーションへの通信やアクセスを監視し、そのうち不正なものを検知・遮断できるため、IDS/IPSと同様にDDoS攻撃への対策として有効です。

DoS・DDoS攻撃の違いとは？クラウドWAFを使った対策方法

バッファオーバーフロー

「バッファオーバーフロー」は、Webサーバーに許容量以上のデータを送りつけ、誤作動を狙う攻撃です。攻撃によりサーバーが乗っ取られ、ほかのサーバーへの攻撃などに悪用される恐れがあります。WAFによりあらかじめ許容量を細かく設定しておけば、バッファオーバーフロー攻撃を効果的に遮断することができます。

バッファオーバーフローとは？攻撃の方法や対策について解説

ブラックリスト方式

ブラックリスト方式は、ブラックリストに不正な通信のシグネチャを定義しておき、それに該当する通信を不許可とする方式です。
リストに含まれない正規の通信を妨げることがないというメリットがある反面、新たな攻撃方法が登場した場合にはシグネチャを逐次更新（追加）する必要が生じます。

ホワイトリスト方式

ホワイトリスト方式は、ホワイトリストに許可する通信のパターンを定義しておき、それ以外の通信をすべて不許可とする方式です。
ホワイトリストの作成にはある程度のコストと時間が必要ですが、不正な通信を確実に拒絶できるという利点があります。ただし、リストにない正規の通信まで拒否してしまう可能性もあります。

WAFの種類

前段で説明していますが、WAFには大きく分けて「ソフトウェア型WAF」「アプライアンス型WAF」「クラウド型WAF」の3種類があります。自社のWebサイトの運用形態やシステム担当部署の有無などにより選択する必要があります。

費用対効果

WAFの導入には一般的に初期料金、月額使用料などが必要となります（一部、無料で利用できるオープンソースのWAFなどもあります）。自社が必要とするセキュリティのレベルを決定し、それに見合った性能をもつサービスを選びましょう。

サポート体制

導入後のサポート体制も確認しておきましょう。
もし障害や攻撃が起きた場合は、迅速に原因調査や復旧支援をしてもらえるかどうかもサポート選びの大切なポイントです。
また、24時間365日対応可能か、連絡手段は電話・メール・チャットなど複数の相談窓口が用意されているかなど確認が必要です。
さらに、サービスによってはアクセス状況や誤検知の発生状況を分析して定期レポートなどを提供してくれるサポートもあります。

パフォーマンス影響

WAFはFWとWebサーバーとの間に設置し、Webアプリケーションがやり取りするデータを監視します。そのため、パフォーマンスにある程度の影響を与えます。本格導入前に、試験導入を通して応答速度への影響を測定することをお勧めします。また、対象サーバーを追加した際の性能維持についても確認しておきましょう。

チューニング容易性

どのようなWAFでも誤検知が発生する可能性があります。誤検知を軽減するためには、随時ブラックリストやホワイトリストの更新など調整が必要となります。導入に際しては、管理コンソールの使いやすさや直感的に理解できるUIを備えているか、ルールの調整が可視化されているかなどを確認しましょう。

脅威インテリジェンス提供

「脅威インテリジェンス」とは、脅威情報を収集し、それらを加工・分析することにより得られる情報を用いてセキュリティ対策を行うことを指します。単なる情報に留まらず、背景情報や具体的な対応策を含む「インテリジェンス」提供の有無も確認しましょう。また、近年ではAIを活用したリアルタイムによるシグネチャの自動更新、誤検知の低減なども実現しています。