種類別WAFのメリット・デメリットをわかりやすく解説！

WAFとは？

WAFは「Web Application Firewall」を略した言葉で、脆弱性をついた外部の攻撃からサービスを守るセキュリティ製品です。

WebサイトやWebアプリケーションに特化しています。Webサーバとエンドユーザー間の通信を監視し、あらかじめ定義された不正な通信パターンに一致した通信を攻撃と見なしてブロックします。

通信の中身をチェックすることでSQLインジェクションやクロスサイトスクリプティングなどの攻撃にも対応します。これらは、ファイアウォールやIPS／IDSなどの他の製品では防ぐことができません。

WAFには大きく３種類の製品があります。

アプライアンス型

ハードウェア製品をWebサーバとエンドユーザー間のネットワーク上に設置するタイプ

ソフトウェア型

ソフトウェア製品をWebサーバにインストールするタイプ

クラウド型

インターネットを経由する形のサービスを利用するタイプ

アプライアンス型WAFのメリット・デメリット

ここからは、アプライアンス型WAFのメリット・デメリットを順に説明します。

メリット：保護するサーバが多いと割安

Webサーバの台数に依存せず１つの製品で対応できます。このため、保護するサーバ数が多い大規模ユーザの場合は割安になる傾向があります。

デメリット：初期費用が高くなる

導入時にアプライアンスの購入が必要となるため、初期費用が突出して高くなります。また、自社で導入・運用作業を行うため、技術者の確保や製品のサポート費用も必要です。

ソフトウェア型WAFのメリット・デメリット

次に、ソフトウェア型のWAF製品のメリット・デメリットを順に説明します。

メリット：導入コストが安くなる

アプライアンス製品と異なり、ハードウェアを購入する必要がありません。その分、導入コストが安い傾向にあります。また、導入期間もアプライアンス製品に比べて短期間で済みます。

デメリット：保護対象が多いと割高

Webサーバ台数ごとにソフトウェアが必要となりますので、保護する対象のサーバが多いと割高になります。また、運用作業は自社で行うため、要員の確保や製品のサポート費用が必要です。

また、攻撃を検出・遮断するタイミングでサーバへの負荷がかかることで、サービスのパフォーマンスが下がる可能性があります。

クラウド型WAFのメリット・デメリット

最後にクラウド型のWAF製品のメリット・デメリットを順に説明します。

メリット：導入コストが安く管理しやすい

ハードウェアやソフトウェアの購入が不要なため導入時のコストが安く済み、DNSの変更だけで簡単に導入できます。また、重要なチューニングや最新状態への更新をベンダーに任せられることで管理が非常に楽になります。

デメリット：性能や運用は全てベンダーによって決まる

ベンダーによっては十分な性能が出なかったり確実なセキュリティが確保できない可能性もあります。性能や運用が満足できるかは全てベンダー次第。そのため、製品の選定においては導入実績やセキュリティの取り組みを確認し、十分に検討する必要があります。

また、クラウド型の仕組み上サービスの経路がベンダーのWAFを経由するため、そこで障害があった際はサービスが完全に止まるリスクがあります。

種類を知って自社に合ったWAFを見極めよう

WAF製品にはさまざまな種類があります。

アプライアンス型は大規模ユーザにソフトウェア型は小規模ユーザに向いていますが、それぞれ自社で管理をする必要があります。クラウド型は導入コストが安価でサポートをベンダーに任せられますが、その分ベンダーの選定は慎重に行わなくてはなりません。

このような特徴を押さえた上で自社に合ったWAF製品を導入し、セキュリティ強度を高めましょう。