WAFとファイアウォールは、通信を見る目的と検査の粒度で区別します。基本的なネットワークのファイアウォールは通信の接続条件を制御し、WAFはWebアプリケーションに届くリクエストの内容を検査します。
違いを比較表で確認
| 比較 | 基本的なネットワークFW | WAF |
|---|---|---|
| 主な対象 | ネットワーク間の通信 | WebアプリケーションのHTTPなどの通信 |
| 判断材料 | IPアドレス・ポート・プロトコル・接続状態など | URL・ヘッダー・パラメーター・本文など |
| 例 | 外部から社内端末への不要な接続を拒否 | SQLインジェクションなどのリクエストを検知・遮断 |
| 学習上の整理 | 主にOSI第3〜4層の情報による制御 | 第7層のWeb通信内容を検査 |
この表のFWは基本的なパケットフィルタリングなどを想定しています。アプリケーションゲートウェイや次世代FWには、より上位の情報を検査するものもあります。「FWは必ず第3〜4層だけ」と断定しないことが大切です。
具体例：443番を許可した後に何を見る？
公開WebサイトへのHTTPS接続を許可する場合を考えます。基本的なFWは、宛先サーバーや443/TCPなどの条件を見て通信を通します。その通信に含まれる入力内容がSQLインジェクションの特徴を持つか、という別の判断にはWAFなどによるWeb内容の検査が必要になります。
HTTPSの内容をWAFで確認するには、TLSを終端するなど検査可能な構成にします。ポートを許可したことと、入力内容が安全であることは別です。
両方を使う理由
FWで必要な通信経路を絞り、WAFで公開Webアプリケーションへの攻撃を検査することで、異なる役割を組み合わせられます。ただし、認証・権限管理や脆弱性修正、端末保護までこの2つだけで完結するわけではありません。
NGFW・WAAPとの関係
NGFW（次世代ファイアウォール）は、通信制御にアプリケーション識別やIPSなどを組み合わせる製品群です。WAAP（Web Application and API Protection）は、WebアプリケーションやAPIの保護を扱い、WAF・Bot対策などを含むサービス群として使われる名称です。名称だけで決めず、個々の機能と検査範囲を確認します。
試験問題で見分ける手掛かり
「送信元IP・宛先ポート・接続状態」ならFWの通信制御、「HTTPのパラメーター・SQLインジェクション・XSS」ならWAFの内容検査を手掛かりにします。ただし、問題文が次世代FWなどを指定している場合は、その機能の説明を優先してください。
個別の基礎説明は、ファイアウォールとWAFの記事で確認できます。
確認問題
「許可されたHTTPS接続のパラメーターを検査し、Webアプリケーションへの攻撃を遮断する」という説明は、基本的なパケットフィルタリングとWAFのどちらに当てはまりますか？
解答・解説を見る
WAFです。接続条件だけでなく、Webリクエストの内容を検査する点が手掛かりです。
関連する対策をnoteでまとめて復習
無料noteでは、WAF・IDS/IPS・DMZなどを一緒に整理できます。この比較を理解した後は、攻撃手法と対策の対応まで広げて復習しましょう。
ほかの教材は資格・目的別のnote教材ナビから選べます。
コメント