WAFとは。ファイアウォールとの違い、目的別の選び方を解説

WebサイトやWebサービスを運用しているみなさん、WAF(Web Application Firewall)は導入していますか?

近年は、不正アクセスやDDoS攻撃などのサイバー攻撃が問題となっており、Webサイトなどを運用する場合は、対策が不可欠となっています。

今回は、Webサイトを攻撃から保護するセキュリティ対策であるWAFについて、仕組みやファイアウォールとの違い、選び方などを解説します。

WinserverVPS
万全のセキュリティ管理体制WAF導入可能!
共用サーバー
WAF導入済み!
\月額990円~ 2週間無料トライアル/
VPSを2週間無料で試す

共用サーバーを2週間無料で試す

WAFとは

本章では、まずWAFの概要を説明します。

その後、ファイアーウォールやIPSなど、他のセキュリティ対策とWAFとの違いを見ていきましょう。

WAFとはどのようなもの?

最近はECサイトやインターネットバンキングなど、金銭的な取引が発生するサイトが多くなっています。

高い安全性が必要となるサイトのセキュリティ対策として、WAF (Web Application Firewall)が有効とされています。

WAFにはいくつかの種類がありますが、Webサーバーの前段に設置し、Webの通信内容を解析することによって悪意ある攻撃を遮断することで、Webサーバーや管理する情報を守るという点は共通です。

WAFは、WebサイトやWebアプリケーションなどを保護するだけではありません。

サイバー攻撃によって情報が盗まれることや、破壊を防ぐことにもつながります。

WAFと他のセキュリティ対策との違い

サーバーやネットワークに関するセキュリティ対策には、WAF以外にもIPSやファイアーウォールなどがあります。

WAFと他のセキュリティ対策は、どのような点で異なっているのでしょうか。

 WAFIPSファイアウォール
防御の方法通信のシグネチャを検査通信のシグネチャを検査特定のIPアドレスやポートを遮断
防御の対象Webに特化システム全体システム全体
通信内容のチェックチェックするチェックするチェックしない
Webアプリケーションの保護できるできないできない

このように、3つはサイバー攻撃を防ぐための仕組みであるという点は共通していますが、それぞれ強みや弱みがあります。

WAFは、Webアプリケーションの防御に特化しており、WebアクセスやWeb通信についてはファイアウォールやIPSよりも高度かつ確実な防御を実現しています。

WebサイトやWebアプリケーションなどを運用する場合に、WAFが不可欠であると言われる理由がよくわかりますね。

WAFが必要とされる背景

WebサイトやWebアプリケーションにWAFが必要とされるようになった背景を考えてみましょう。

インターネットの拡大とともに、単なるWebサイト(ホームページ)の表示だけでなく、以下のようなさまざまなサービスが「Webアプリケーション」として提供されるようになってきました。

      • インターネットバンキング(オンラインバンキング)
      • オンライントレード
      • オンラインでの動画などのコンテンツ配信
      • オンライン決済
        など

Webアプリケーションは、従来のWebサイトとは異なり、利用者のカード情報や決済情報などを保持しています。

また、複雑な仕組みによって脆弱性が生まれることも多く、攻撃者にとっては非常に魅力的です。

このような理由から攻撃が増加しており、従来のファイアーウォールやIPS、セキュリティ対策ソフトでは防ぎきれない攻撃を防御できるWAFが必要となりました。

WEBサイトイメージ

WAFの導入によるメリット

WebサイトにWAFを導入することによって、どのようなメリットを得られるのでしょうか。

      • Webサイトへのさまざまな種類の攻撃を防ぐことができる
      • ファイアーウォールなど、他の対策で防げない攻撃を防ぐことができる
      • 脆弱性の問題など、すぐに修正できない問題があっても防御できる
        など

このように、WAFを導入することで、適切かつ強固にWebサイトを守ることができます。

WAFの種類と仕組み

安全なWebサイトを実現するための仕組みであるWAFには、いくつかの種類があります。

それぞれの特徴について説明します。

WAFの設置方式での分類

WAFには、設置方式によって大きく2つの種類があります。

<オンプレミス型>

物理機器としてのWAFを、Webサーバーと同じネットワーク内で、Webサーバーの手前に設置する方法です。

導入コストがかかり、ネットワークやファイアウォールの構成を見直す必要があるものの、自社に合った細かいカスタマイズが可能です。

<クラウド型>

自前のネットワーク上に設置するのでなく、各ベンダーがクラウドサービスとして提供しているWAFを利用する方法です。

導入コストが少なく、導入も迅速に行えますが、オンプレミス型ほど細かい設定は出来ません。

WAFの設置形態での分類

また、設置形態によっても違いがあります。

<ソフトウェア型WAF(ホスト型WAF)>

Webサーバー自体にエージェントや追加モジュールなどとしてWAFのソフトウェアをインストールして利用する方法です。

Webアプリケーションのリソース自体への影響や、サーバー自体へは攻撃が届くといったデメリットがあります。

<ネットワーク型WAF(ゲートウェイ型WAF)>

Webサーバーの前段に独立して設置する方法です。

Webサーバーのリソースに影響を与えないなどのメリットがあります。

ネットワーク

WAFとクラウドサービス

近年は、従来型の物理サーバーを設置して利用するオンプレミス型から、クラウドへの移行も進んでいます。

クラウドサービスでWebサイトやWebアプリケーションを運用するケースも非常に多くなっています。

AWS、GCP、Azureなどの大手のクラウドサービスでも、WAFは利用できるのでしょうか。

大手クラウドサービスでは、以下のサービスにてWAFが提供されています。

    • AWS:AWS WAF
    • GCP:Google Cloud Armor
    • Azure:Azure WAF

WAFを目的に合わせて選ぼう

先述の通り、WAFには設置形態や設置方式などでいくつかの種類があります。

本章では、目的に合ったWAFを選ぶためのポイントを解説します。

WAFを選ぶポイントとは

WAFを選択するポイントは、一般的に以下の3つです。

  • 対策したい攻撃を明確にする

WAFの製品やサービスにはそれぞれ特徴があります。

自社が守りたい部分を過不足なく保護できる製品を選択しましょう。

  • WAFの運用体制が自社にあるかどうか

自社に十分な人的リソースがあれば、カスタマイズ可能なオンプレミス型を選択することも可能です。

そうでない場合は、クラウド製品を選ぶことになるでしょう。

  • 予算はどの程度か

WAFの導入や運用にあたって、どの程度の予算が使えるのかを考えましょう。

クラウド型はハードウェアの購入が不要なため、初期費用を抑えたい場合にはおすすめです。

実際にWAFの導入を検討する場合は、このような点に着目して進めましょう。

WAFを目的に合わせて選ぶためには

WAFを選ぶポイントを理解できたら、次は目的に合ったWAFを選ぶ方法を考えてみましょう。

今回は、具体的に想定されるケースを取り上げます。

<ケース1:リソースの少ない中小企業で、Webサービスを保護したい>

このケースでは、以下を前提条件とします。

      • 予算はそれほど確保できない
      • WAFの運用体制がない
      • オンラインショップを運用している

この場合は、低予算で運用をおまかせできるクラウド型が適しています。

<ケース2:リソースは確保できるが、一般的なWebサイトの運用のみ>

このケースでは、以下を前提条件とします。

      • 情報システム部門などで、WAFを運用する体制がある
      • 一般的なWebサイトしか持たない
      • この場合は、クラウドとオンプレミスの両方が選択できます。

導入費用等を考えるとクラウドを選択するのも良いでしょう。

<ケース3:Webサービスを提供しており、カスタマイズが必要>

このケースでは、以下を前提条件とします。

      • 情報システム部門などで、WAFを運用する体制がある
      • カスタマイズが必要

この場合は、オンプレミスで導入し、自社に合ったカスタマイズを実施しましょう。

<ケース4:自営業でWebサイトを運用している *ホスト型WAFの例>

このケースでは、以下を前提条件とします。

      • 予算はそれほど確保できない
      • WAF運用は自分で行う
      • オンラインショップを運用している
      • 設置場所が限られる

予算が取れず設置場所が限られる場合は、Webサーバー自体に導入するホスト型を選択するのも良いでしょう。

WinserverでWAFを手軽に使おう

ここまでWAFの選び方について解説してきましたが、もっと手軽にWAFを使う方法はないのでしょうか。

そこでおすすめしたいのが、WinserverのVPSや共用サーバーです。

Winserver はWindows Server専門のレンタルサーバーで、20年以上の運用実績があります。

Windows VPS

Windows VPSは、月額990円から仮想専用サーバーを利用できるサービスです。

Webサービスを保護するためのWAFをオプションで追加することができます。

導入できるWAFはJP-Secureが販売している「SiteGuard Server Edition」です。

VPSについて見る

共用サーバー

共用サーバーは、Webサイトの公開を簡単に行えるサービスです。

WAFが導入済みのため、安心してご利用いただけます。

共用サーバーについて見る

「自分に合ったサービスがわからない」「セキュリティ対策について詳しく聞きたい」という方は、無料オンライン相談会をご活用ください。

Winserverの専門スタッフがお客様のお悩みをお伺いし、丁寧に回答いたします。

▼オンライン相談会についてはこちら▼Winserverオンライン相談会実施中

まとめ

オンラインバンキング、電子決済など、Web上でさまざまなサービスが提供されるにつれて、WebサイトやWebアプリケーションがサイバー攻撃にさらされるリスクも急増しています。

このような攻撃は、従来のファイアウォールなどのセキュリティ対策では防御できないケースもあります。

WebサイトやWebアプリケーションをより強固に守るための仕組みが、今回紹介したWAFです。

WAFは設置方式や形態などでいくつかの種類があります。

今回の記事の選び方を参考にして、目的に合ったWAFを選択するようにしましょう。

▼サーバー運用に不安がある方は、フルマネージドサービスがおすすめです

NVIDIA製GPU搭載
高性能・高火力の専用サーバー!
「Tesla V100」「RTX-5000」「RTX-4000」

▶ プランを見る

関連記事

Windows Serverなら「Winserver」

サーバー移行など、ご相談ください◎

Windows環境を利用するなら!

クラシックASPの移行事例をご紹介!

月額495円から使えるVPS

TOP