サイバー攻撃が流行っている昨今、セキュリティ対策の一環として「WAF（ワフ)｣という言葉を耳にする機会もあることでしょう。
WAFは現代に必須のセキュリティアイテムですが、何のことかわからない！という方のために、この記事では、WAFやそれにまつわる用語も含めてわかりやすく解説します。
WAF（ワフ）とは？
WAF（ワフ）とは「Web Application Firewall（ウェブアプリケーションファイアウォール）」の略であり、Webアプリケーションの脆弱性をついた攻撃からWebサイトを守るための有効なセキュリティ対策です。
Webセキュリティというと「ファイアウォール（FW）」が代表的ですが、ファイアウォールだけではWebセキュリティを守るには不⼗分です。
なぜなら、WAFとファイアウォールとでは守る領域が異なるからです。
WAFとファイアウォールの違いは？
WAFとファイアウォールでは防御するレイヤーが異なります。
ファイアウォールは、ネットワークレベルでインターネット回線やIPアドレスの監視・通信制限を⾏います。⼀⽅、WAFは、Webアプリケーションへの攻撃を守ります。
それぞれの得意な領域を守ることで、多層的なセキュリティ対策を実現できます。
IDS/IPSとWAFの違いとは？
IDS・IPSとは、ネットワーク上の不正アクセスを検知・防御するシステムです。
実はIDS・IPSも、ファイアウォールと並ぶ重要なセキュリティシステムです。
IDS（Intrusion Detection System：不正侵入検知システム）は名前の通り、不正侵入の検知です。
ネットワーク上の通信を常に監視し、外部から不正な侵入がないかチェックしています。不正な侵入もしくは兆候を検知すると、管理者に自動で通知します。あくまでも通知のみですので、IDS単体で不正侵入の防御はできません。
IPS（Intrusion Prevention System：不正侵入防止システム）は名前の通り、サーバ・ネットワークと外部・内部通信を監視し、不正な通信の侵入を防止します。IPSは不正侵入の検知に加えて防御も可能です。具体的には、アクセスログの改ざん防止や不正パケットの遮断を実行します。
DoS・DDoS攻撃などの攻撃やWebサーバの脆弱性を狙った攻撃への対策として有効です。
WAFを導入するメリット
攻撃者への強力なアピール
まず挙げられるのは不正なアクセスの予防効果です。WAFを設定していれば攻撃者に対してセキュリティ対策をしっかりしていることをアピールできます。
WAFは、サイトやアプリケーションそのものに予期しない脆弱性があった場合でも効果を発揮します。そのため、今すぐ修正できない場合や直接修正に関与できない場合の不正アクセス対策にもなります。
Webアプリケーションには脆弱性がある
Webアプリケーションは高度化・複雑化しています。現状では問題のないプログラムでも、他システムとの連動によってセキュリティの脆弱性が発生し、攻撃の対象となります。こうしたWebアプリケーションの脆弱性に対処するためにも、WAFは重要なセキュリティ対策といえます。
WAFにしかブロックできない領域がある
近年では、ファイアウォールやIPS(不正侵入防御システム)では防げないサイバー攻撃が増加傾向です。SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーションの脆弱性への攻撃の手口は複雑・巧妙化してきています。
現在は安全なWebアプリケーションであっても、将来的な安全は保証されていません。
WAFは、Webアプリケーションへの攻撃を防ぐために開発された専用防御ツールです。
Webアプリケーションへの攻撃はWAFにしかブロックできない領域とも言えるでしょう。
次は「WAFの種類」をお伝えいたします！
「WAF」の導入を考えている方には、ITトレンド年間ランキング2021で”NO1”を獲得したこちらがおすすめです。
