WAF（Web Application Firewall）は、HTTPなどのWeb通信を検査し、Webアプリケーションへの攻撃を検知・遮断する対策です。Webサーバーへ届くリクエストの内容を確認する、という役割から理解しましょう。
何を検査し、何から守る？
URL、HTTPヘッダー、パラメーター、リクエスト本文などをルールと照合します。SQLインジェクションやクロスサイトスクリプティング（XSS）といった攻撃の防御に使われます。ただし、検知精度や防御できる範囲は製品・設定・攻撃の形に依存します。
HTTPSの内容検査にも条件がある
暗号化されたHTTPSの内容を調べるには、WAF側でTLSを終端するなど、内容を検査できる構成が必要です。暗号化された通信をそのまま通すだけでは、Webリクエストの中身を読めません。
提供形態の違い
| 形態 | 特徴 |
|---|---|
| アプライアンス型 | 専用機器などとして設置。構成や運用を自組織で管理 |
| ソフトウェア型 | サーバー上のソフトウェアとして利用 |
| クラウド型 | サービスとして利用。経路やTLS、運用範囲を確認 |
形態だけで性能や安全性の優劣は決まりません。処理量、可用性、監視・ルール管理を含めて考えます。
導入後はログと誤検知を確認
正当なリクエストを攻撃と判定する誤検知や、攻撃を見逃す検知漏れがあります。ログから対象のURLやルールを確認し、必要な通信を妨げないよう調整します。導入して終わりではなく、アプリケーションの変更に合わせて運用することが大切です。
WAFだけで解決できないこと
WAFはアプリケーションの脆弱性そのものを修正しません。入力の扱い、認証・権限管理、更新などの対策も必要です。DDoS対策・Bot対策・不正ログイン対策はサービスによって機能範囲が異なり、すべてのWAFに同じ能力があるわけではありません。回線を圧迫する大量通信も、Webリクエストの検査だけで必ず防げるとは限りません。
ファイアウォール・IDS/IPSと組み合わせる
基本的なファイアウォールは通信の接続条件を制御し、WAFはWeb通信の内容を検査します。IDSは検知・通知、IPSは検知した通信の遮断などを行う点も区別しましょう。詳しい比較はWAFとファイアウォールの違いにまとめています。
確認問題
WAFでSQLインジェクションを遮断できるようになれば、アプリケーションの脆弱性修正は不要でしょうか？
解答・解説を見る
不要にはなりません。WAFは防御の一層であり、すべての攻撃を検知できる保証はありません。アプリケーション側の修正と組み合わせます。
関連する対策をnoteでまとめて復習
無料noteでは、WAFに加えてSQLインジェクション・XSSなどの攻撃用語も解説しています。「攻撃」と「それに対応する防御」をセットで復習できます。
ほかの教材は資格・目的別のnote教材ナビから選べます。
コメント