WAFとは？ファイアウォールとの違いや仕組み、導入ポイントを解説

インターネットの発展とともにサイバー攻撃は年々増加し、その手口は巧妙化しています。さまざまな攻撃に対してセキュリティ対策を行う必要がある一方で、セキュリティ対策もまた多様化しています。
特にWebサイトは不特定多数のユーザーが利用することからサイバー攻撃に狙われやすいため、Webサイトを保護するためのセキュリティ対策として注目されているのが「WAF」です。今回はWAFの仕組みや導入メリット、ファイアウォールとの違いなどについて解説します。

WAF（Web Application Firewall）とは、Webアプリケーションを構成するサーバーやソフトウェア、データベースの前面やネットワークに配置し、Webアプリケーションの脆弱性を突く攻撃を低減させるための対策です。
WAFの主な役割は、不正な通信を検出・遮断し、ログに記録してアラートを出すことです。これによりWebアプリケーションに対する攻撃を阻止します。あくまで運用面において攻撃の影響を低減させることが目的であり、脆弱性を修正するなどの根本的な解決は行いません。

Webアプリケーションの脆弱性を悪用した攻撃は、依然として多く発生しています。

独立行政法人　情報処理推進機構（IPA）では、経済産業省の告示に基づいて、ソフトウェア等の脆弱性に関する届出を受け付けています。そのレポートによると、届出受付開始（2004年7月8日）から四半期末（2024年12月）までの累計は19,286件、そのうちWebサイトに関するものが13,326件で全体の約7割を占めています。ここ数年では1日に約4件発生するペースとなっています。
一方で根本的な脆弱性を修正するには時間がかかるため、防御策なしでは情報漏えいなどのリスクが高まります。そこでWebアプリケーションの脆弱性を突いた攻撃を防ぐWAFが、重要かつ基本のセキュリティ対策として注目されているのです。

参考：IPA ソフトウェア等の脆弱性関連情報に関する届出状況
https://www.ipa.go.jp/security/reports/vuln/software/2024q4.html

WAFは複数のベンダーがサービスを提供しています。主なWAFの基本機能をご紹介します。

不正通信監視・遮断機能

WAFがWebアプリケーションへの通信内容を監視。シグネチャを利用して通信内容を確認し、不正な通信と判断したものを遮断します。Webアプリケーションの脆弱性を突く攻撃であるSQLインジェクションやクロスサイトスクリプティング（XSS）などに有効です。

シグネチャ自動更新の機能

Webアプリケーションの通信を確認するためのシグネチャは、更新が必要です。ブラックリスト型の場合は既知の脅威の情報を、ホワイトリスト型の場合には許可する通信を更新することになります。

クラウド型WAFの多くは、シグネチャ（ブラックリスト型）の自動更新機能が標準で搭載されています。シグネチャの更新は、公的機関やベンダーからの脅威の情報だけでなく、WAFサービスごとに検知した脅威を利用して行われるケースもあります。したがって、導入サイト数の多いWAFサービスの方がシグネチャの情報が充実してサイバー攻撃を防ぎやすいということになります。

また対応時間や更新頻度が高いほど、そのWAFサービスの防御能力が高いといえます。

IPアドレス制限機能

IPアドレス制限機能は、特定のIPアドレスや国からの通信をブロックすることでWebアプリケーションを保護する機能です。特にDDoS攻撃には有効で、特定のIPアドレスや国からのアクセスを制限することでDDoS攻撃を防ぐケースもあります。

ログ・レポート機能

WAFで検知・遮断した攻撃についてログに残し、簡単な操作でレポートに出力する機能も欠かせません。ログ・レポート機能で攻撃の種類や手法、日時などの情報から、自社のWebアプリケーションで優先的に対処すべきサイバー攻撃リスクを可視化できます。
WAFサービスによっては、管理画面でリアルタイムにログを確認できるものもあります。

WAFを導入するメリットは、主に以下の3つです。

Webアプリケーションへのサイバー攻撃を防ぐ

WAFを導入すれば、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーションの脆弱性を突いたサイバー攻撃を防げます。ファイアウォールやIDS/IPSでは対応できないサイバー攻撃も、WAFを導入すればよりセキュリティを強化できるでしょう。

他社が管理するWebアプリケーションにも対策が可能

他社が開発および提供しているWebアプリケーションを利用している場合にも対策が可能です。他社のWebアプリケーションに脆弱性があった場合、利用者側としては問題を把握していながらも自社で修正できないため、提供元が更新プログラムを配布するまで待つしかありません。このような場合にも、怪しい通信を遮断するWAFを導入しておくと役立ちます。

攻撃を受けた場合の事後対策ができる

WAFは攻撃を防ぐことに加えて、攻撃を受けた後の対処も可能です。WAFのなかには、未知のサイバー攻撃を受けたとしても被害拡大を防げるように高レベルの設定ができ、解析結果を提供してくれるものもあります。このタイプの製品を選べば、攻撃を防いでいる間に原因を究明し、攻撃の影響が広がらないように対処ができます。

WAFでは、下記のようなサイバー攻撃を防ぐことができます。

・SQLインジェクション
SQL文とは、データベースへの命令文です。SQLインジェクションはこのSQL文を悪用して、データベースから不正に情報を読み取ったりデータを削除したりする攻撃です。

・クロスサイトスクリプティング（XSS）
Webサイトの記述言語であるHTMLに悪意あるコードを埋め込む攻撃です。Webサイトに設置されたフォームにユーザーが情報を入力して送信ボタンを押すと、悪意あるコードが実行され、情報が第三者へわたるなどの被害が起こってしまいます。

・パスワードリスト攻撃
あるサイトから何らかの方法で入手したログインID・パスワードを、他のサイトで使用する攻撃です。複数のサイトで同じログインID、パスワードを使用している人は多いため、攻撃者が他のサイトで入手したログイン情報を、攻撃対象のサイトで使用すると不正にログインできてしまうことがあるのです。

・ディレクトリ・トラバーサル（パストラバーサル）
ファイル名を扱うプログラムに特殊な文字列を組み込んでディレクトリをさかのぼり（トラバーサル）、アクセス禁止のディレクトリにアクセスする攻撃です。アクセス禁止のディレクトリには機密情報が保管されていることが多いため、情報流出につながりやすくなります。

・OSコマンドインジェクション
OSへの操作命令であるコマンドを外部から不正に実行される攻撃です。サーバー内のファイルの閲覧からシステムの操作、他サイトへの攻撃に使われるなど、発生する可能性のある脅威は多岐にわたります。

・改行コードインジェクション
外部からHTTPレスポンスデータに改行コード（CRLF）を埋め込んで、応答データを不正なものにする攻撃です。

・LDAPインジェクション
ディレクトリサービスに接続するための通信プロトコル「LDAP」を悪用した攻撃です。文字列に、LDAP上で意味がある文字（メタ文字）を混ぜ込むことで、クエリを変更されてしまいます。

・ファイルインクルード
Webサイトのプログラムの中でファイルを参照するコードがある場合に、そのコードで別のファイルやデータを読み込ませ、本来とは違うデータ処理を行わせる攻撃です。

WAFと似たセキュリティ対策として、ファイアウォールとIDS/IPSがあります。それらのセキュリティ対策とWAFの違いは何なのでしょうか。

WAFとファイアウォールの違い

ファイアウォールとは、送信元と送信先のIPアドレスやポート番号などの情報をもとにアクセスを制限するソフトウェア、またはハードウェアのことを指します。ファイアウォールは社内で使用する情報システムに対して機能するものであり、外部からの不正なアクセスを制限します。

ただし、ファイアウォールは通信の内容までは精査していないため、OSやWebサーバー、Webアプリケーションを狙った攻撃は防げません。Webアプリケーションを狙った攻撃への対策はWAFのほうが適しています。

WAFとIDS/IPSの違い

IDS（Intrusion Detection System：不正侵入検知システム）は、ネットワーク上の通信を監視して不正アクセスを検知、その後管理者などにアラートを通知します。
IPS（Intrusion Prevention System：不正侵入防止システム）は、ネットワーク上の通信を監視し、発見した不正アクセスをブロックするものです。IDS/IPSは検知するか・ブロックするかの点で役割が異なります。

IDS/IPSはOSやWebサーバーの脆弱性を狙った攻撃に対して有効です。しかし、Webアプリケーションの脆弱性を突いた攻撃は防げず、これらの検知・ブロックはWAFの役割となります。

WAFはアクセス元とWebサーバーとの間で、通信の内容を精査し、Webアプリケーションへの攻撃を検出します。検出に使われるのは、通信の情報やパターンなどを記録している定義ファイルである「シグネチャ」です。

シグネチャには主に2種類あり、それぞれ下記のような特徴があります。

・ブラックリスト型：HTTP 通信における「不正な値・パターン」すなわち通してはいけない通信の特徴をシグネチャに定義し、シグネチャに合致した通信を拒否する方法です。
既知の脅威を防げますが、新しいサイバー攻撃の手法が判明するたびに更新が必要となります。

・ホワイトリスト型：HTTP 通信における「正しい値・パターン」すなわち通して良い通信の特徴をシグネチャに定義し、シグネチャに合致しない通信を拒否する方法です。未知の攻撃にも対処できるものの、許可する通信が発生するたびにホワイトリストを定義する必要があります。

このシグネチャで、通信に使われているHTTPリクエストやHTTPレスポンスを精査します。

WAFには、形態別に分けると3つの種類があります。

クラウド型WAF

クラウド型WAFは、クラウドを経由して利用するものです。導入までの所要時間が短く済むことや、月単位で契約できるサービスが多いことから、導入や解約、契約の変更などが手軽に行えるというメリットがあります。
また、クラウドサービス提供者側にある程度管理を任せられるため、ユーザー側の運用負荷が低くなるのもメリットです。一方でカスタマイズが難しくなるというデメリットもあります。

クラウド型WAFはサービスによって検知の精度や運用が異なるため、自社に合ったサービスを選ぶことが必要です。
著名なクラウド型WAFである「AWS WAF」では、不正の可能性がある通信をフィルタリングする機能を有し、1つのルールを作成して全体に適用させることが可能です。料金は初期費用が必要なく、リージョンやルール数、リクエスト数などによって変わる従量課金制となっています。

アプライアンス型WAF

アプライアンス型WAFは、オンプレミス環境において、Webサーバーの前に物理的な専用機器を置く方式のWAFです。他の方式のWAFと比べるとコストは高めですが、1台で複数のWebサーバーの保護ができるため、大規模システムの場合はかえって他のタイプのWAFよりも安価となることもあります。

アプライアンス型WAFは、完全な自社管理が可能である一方で、クラウドのインフラやレンタルサーバーには使えません。

ソフトウェア型WAF

ソフトウェア型WAFは、ソフトウェアをサーバーにインストールするタイプのWAFです。機器の追加導入やネットワーク構成変更の必要がなく、アプライアンス型WAFと比較すれば導入が容易となる場合が多いでしょう。
一方でソフトウェアがサーバーのリソースを消費するため、サーバーのパフォーマンスが低下する可能性があります。またサーバーの台数が多いとそのぶんソフトウェアの導入・運用コストが増えるため、割高となる可能性があります。

WAFを導入する際に気を付けておくべきポイントは、誤った検知や通信遮断が起こる可能性があることです。
セキュリティレベルが高いと不正な通信を防げますが、厳しすぎると、正常な通信まで不正な通信と判断されてしまいます。シグネチャの設定や通信方法は、導入時はもとより、導入後も定期的な更新・見直しが必要です。

クラウド型WAFの場合は、誤検知が少なく、さまざまな攻撃手法に対応できる技術を用いたサービスを選ぶと良いでしょう。社内にセキュリティの専門家がいない場合は、クラウドサービスの担当者に相談して、最適な形を提案してもらうのもひとつの手です。

またCDNの機能を持ち合わせたWAFのサービスもあります。

CDNとは

CDN（Content Delivery Network・コンテンツ配信ネットワーク）は、オリジナルのWebサイトの代わりに、世界中に分散した配信拠点にコピー（キャッシュ）したコンテンツを配信します。コンテンツが複数の箇所に分散しているため、ユーザーからのアクセスも分散し、結果的にページ表示が早くなるのがメリットです。

CDNはSEO対策だけでなく、セキュリティ対策としても機能します。CDNでアクセスの負荷分散をしているため、大量アクセスでサーバーダウンを狙うDDoS攻撃を防ぐことが可能です。

CDNについて、詳しくは下記をご参照ください。

参考コラム：CDNとは？CDNの基本からメリット・デメリット、業者選定のポイントを解説

CDN＋WAF構成のメリット

CDNとWAFを活用するシステム構成にすれば、セキュリティ対策の幅を広げられます。CDNのDDoS攻撃の防止に加え、WAFのWebアプリケーションの脆弱性を突いた攻撃への対処までカバーできます。

CDN＋WAF構成について、詳しくは下記をご参照ください。

参考コラム：CDNとWAFは併用がおすすめ！併用するメリットと構成例、注意点を解説

アクセリアでは、機能や価格など様々なご要望に合わせ、適切なWAFサービスをご提案いたします。

▶Scutum（株式会社セキュアスカイ・テクノロジー）
　「誤検知の少ない、高い防御性能」「豊富な実績と安心の運用体制」「クラウド型のメリット」の
　すべてが高いレベルでバランスの取れたWAF

▶攻撃遮断くん（株式会社サイバーセキュリティクラウド）
　開発からサポートまですべて国内で行う国産クラウド型WAFだからこそ、安心、安全、導入しやすいを実現。

詳しくは下記をご参照ください。
WAFサービス紹介ページ

またアクセリアでは3種類のCDNサービスを用意しており、WAFサービスと組み合わせ、企業ごとの状況や課題に沿ったご提案が可能です。中でも「Cloudflare（クラウドフレア）」の導入においては、20年以上にわたる自社開発CDNの開発と運用で培った経験とノウハウを駆使したサポートをご提供しています。

WAFやCDN導入を検討されている方は、ぜひお問い合わせください。