/// クラウドWAF

WAF（Web Application Firewall）とは

WAF（Webアプリケーションファイアウォール"Web Application Firewall" ）は、Webアプリケーションの脆弱性の悪用した攻撃を防御するためのセキュリティ対策ツールです。Webアプリケーションへの攻撃としてよく挙げられるSQLインジェクションやクロスサイトスクリプティング(XSS)などの脅威に対してセキュリティ対策することが可能です。情報漏洩やWeb改ざんなどの脅威からセキュリティ対策することが可能であり法人サイトを有している企業は導入されることをお勧めします。

WAF導入のメリット

Webサイト・アプリケーションのセキュリティ対策をするポイントとして次の点をあげることができます。Webアプリケーションの全体像としては４つの階層からなり、セキュアコーディングの徹底、OSミドルウェアの脆弱性の確認・セキュリティパッチの更新、ネットワーク全体におけるセキュリティ対策、以上３つのセキュリティ対策のポイントがあげられます。うち２つについてはWAFを導入することでセキュリティ対策の管理面、費用面においても有効に働きます。

Webアプリケーション層における対策

---

Webアプリケーション単体でセキュリティ対策を実施するということはセキュアコーディングするということになります。セキュリティ対策として大きく上げられるのはバリデーション、サニタイズの２つであり、この２つを十分に対策することでセキュリティ対策としては90％実施したと言っても問題ありません。しかし当該セキュリティ対策は、セキュアコーディングの技術が必要であること、開発工数が多く掛かる、更新時の抜け漏れ・不整合などが考えられるため十分なセキュリティ対策が取りづらいとも言えます。 WAFはバリデーション、サニタイズを代替するような機能（不正なアクセスをはじく）を有しているため導入することによりセキュリティ対策を打つことができます。

OSミドルウェアの脆弱性の確認・セキュリティ対策

---

OS・ミドルウェアはソフトウェアであり、そもそも脆弱性を含んだままリリースされると考えたほうがよいとされています。OSミドルウェアに脆弱性が発見されセキュリティパッチ（脆弱性対策をとったバージョン）がリリースされたところで、運用中のシステムへの適用はWebアプリケーションへの影響が考えられるため改修を含めてのセキュリティパッチ適用の検討となります。 WAFはOSミドルウェアの脆弱性を含んでいるという根本的な課題に対してWebアプリケーションの前に配置することで、OSミドルウェアの脆弱性を狙った攻撃のセキュリティ対策として使用することができます。

WAF 比較

WAFの多くはアプライアンス(機器)またはソフトウェア型で提供され、高価で運用が煩雑あることが難点です。クラウドWAF 「WallC」は低価格で簡単に導入できるクラウド型で提供されるWAFとしてサービス提供しています。 クラウド型WAFとアプライアンス型/ソフトウェア型をセキュリティ対策をする上で比較しました。WAFをクラウド型にするのはサーバをオンプレミスからクラウド化、サーバの管理を自社運用から外部委託する流れに似ています。クラウドWAFはWAFを単にクラウド化しただけではなく、運用上、セキュリティ対策上、コストメリット上、複数の要素を踏まえているため導入をお勧めします。

WAF セキュリティ項目

WAFが防御するセキュリティの脅威は、主にWebアプリケーションを直接狙った攻撃です。ファイヤーウォールやIPSで防げない攻撃についても防御します。SQLインジェクションやクロスサイトスクリプティングがよく上げられる攻撃手法ですが、セキュリティ項目としては次に挙げる複数の攻撃手法に対してWAFは有効に機能します。

WAF セキュリティ項目

WAF 価格 比較

WAFのクラウドWAFを含む、提供形態別の価格比較を一般的な費用をまとめました。WAFはアプライアンス型、ソフトウェア型、クラウド型が上げられますが、クラウド以外の提供形式では設置・設定・保守などで費用が別途発生するため製品そのものの価格以外に費用が掛かってしまうのが難点です。特にセキュリティ対策の対象であるWebアプリケーションにプログラムの改変が伴いWAFの設定変更が必要となる場合は、さらに専門担当者の手配をするなど費用が発生してしまいますので運用面含めた費用計画が必要となります。

※上記の費用については2014年1月現在の弊社調べとなります

WAF セキュリティ対策

WAFによるセキュリティ対策を検討する上で、一般的なセキュリティ対策の間違いおよびサイト別のセキュリティ対策についてまとめました。どのようなWebサイト・アプリケーションであっても外部からアクセスできる環境であればセキュリティの脅威にさらされていることを踏まえてセキュリティ対策について検討されることをお勧めします。

WAF 技術

クラウドWAFは大きく３つの基本技術を結集させてサービス提供しています。沢山のセキュリティ診断の実績のあるエンジニアが日毎に発見される脆弱性にも随時対応し、セキュリティ防御機能を最新のものに保っています。

クラウドWAF 技術

クラウドWAFのお問い合わせはコチラ