【比較表付き】WAF製品15選を徹底比較！選定ポイントも解説！

おすすめWAF製品を比較表で確認

今回紹介するおすすめのWAF製品を表にまとめましたので、ざっと概要を確認し、気になる製品に目星をつけておきましょう。

ITトレンド編集部厳選WAF製品を比較

では早速、表で確認したITトレンド編集部おすすめのWAF製品を比較していきましょう。

「クラウドブリック(Cloudbric)」は、ペンタセキュリティシステムズ株式会社が提供するクラウド型WAFサービスです。独自開発の論理演算検知エンジンを搭載し、既知の攻撃パターンだけでなく高精度な新種の攻撃にも対応可能です。その技術力は世界の専門家にも認められ、全世界13,500以上、国内5,500以上のユーザに支持されています。

高セキュリティであるにもかかわらず、リーズナブルな価格で導入できることも魅力です。追加料金不要で、WAF・DDoS対策・無償SSL証明書が利用できます。

株式会社セキュアスカイ・テクノロジーが提供している「Scutum（スキュータム）」は、国内のクラウド型WAFの中でシェア連続No.１を誇り、今日本で最も利用されているWAFです。小規模なサイトから高トラフィックが求められるサイトまで幅広く適応しています。

AIによって誤検知を減らし、防御シグネチャを見直して常に最新のセキュリティ対策を施しています。導入に際しては、構成を変えたり、サービスを停止することなく、DNSの切替のみで完了します。最短１ヶ月からの利用も可能です。

株式会社サイバーセキュリティクラウドが提供している「攻撃遮断くん」は、クラウド型のWebセキュリティサービスです。セキュリティエンジニアのコンサルティングレポートが毎月無料で発行されます。そのほか、追加料金不要で、サイバー保険が適用になり、万が一のときには最大1000万円まで補償してくれます。DDoS対策ができるプランもあり、最短１ヶ月から利用可能です。

株式会社ロケットワークスが提供している「イージス」は、定額制でWAF・IPS機能を使えます。官公庁や上場企業で導入され、通信量が多い場合におすすめです。クラウド型であるため導入が容易で、追加料金なしで月次の攻撃報告（遮断証明）が発行されます。

「MSS for Imperva Incapsula」は、SBテクノロジー株式会社が提供しているWAFです。セキュリティ専門家が24時間365日体制で監視、代行運用も実施しています。DDoS 攻撃対策、CDN（トラフィック最適化）にも有効です。運用負荷を最小限に抑えたい企業におすすめです。

「secuWAF」は、株式会社セキュアイノベーションが提供しているWAFです。Webサイトをさまざまな攻撃から守るCloud WAFと、Webサイトを徹底分析してマルウェアを検出するMALWARE CHECKERによるアクションで、自社のWebサイトを防御します。Webアプリケーション診断専門のエンジニアによる簡易診断は、追加料金不要です。

「AIONCLOUD WAF AIONCLOUD」は株式会社モニタラップが提供するクラウド型WAFです。DNSの切替だけで導入が完了し、１日でWebセキュリティを強化できます。メンテナンスは自動的に行われ、シグネチャ更新などは不要です。世界中の脅威やインシデントを収集しているクラウドプラットフォームと連携しているので、新たな脅威にも対応します。

株式会社アリスが提供する「CloudCoffer」は、AIエンジンを搭載したネットワークセキュリティサービスです。WAFはもちろん、IPS、IDSとしても機能します。搭載するAIエンジンは、カーネギーメロン大学の技術を用いて開発され、高い検知能力を発揮します。シグネチャを使わないため、未知の脅威にも対応可能です。

株式会社スカイアーチネットワークスが提供する「CyberNEO」は、AIによる精度の高い検出で、日々新しく生み出される攻撃手法に対応します。AIは常に自動更新され、グレーゾーンともいわれる判断が難しい領域でも、適切かつ正確な判断が可能となります。

株式会社TTMが提供する「BLUE Sphere」は、WAFとDDoS防御、改ざん検知の機能が１つになったサービスです。WAFでは防げないDDoS攻撃にも対応できます。シグネチャの更新やチューニングなど、保守・運用は任せられるので、セキュリティエンジニアは不要です。

ここまで、ITトレンド編集部おすすめWAF製品を紹介してきましたが、WAFを選ぶ際、製品について詳しく理解していなければ、導入失敗に繋がってしまいます。以下の資料請求ボタンから製品の資料を請求し、まずは製品情報を詳しく確認した上で導入に向けた比較検討を行いましょう。

WAF の製品を調べて比較

製品をまとめて資料請求！ 資料請求フォームはこちら play_circle_outline

WAFの選定ポイント

ではここで、WAFの選定ポイントを確認しましょう。選定ポイントを知っておくことで、製品と自社とのミスマッチを防ぐことができます。

初期費用と運用費用が自社に見合っているか

導入の際には初期費用だけでなく、運用費用と合わせたトータル費用を確認しましょう。システム導入というと、初期費用に目が行きがちですが、WAFはクラウド型の製品も多く、月々の料金を払うシステムになっている場合がほとんどです。

また、自社での導入・運用作業が必要となる場合には、そのための要員を確保できるか、人員コストはどの程度かもあわせて検討しておきましょう。

セキュリティ機能と導入目的のバランスがよいか

自社の導入目的を整理したうえで、その目的にあったセキュリティ機能がある製品を選ぶことが重要です。IPS・IDSなど、通常のWAFにはない機能を持つ製品もあり、必要ない機能を搭載しているシステムを利用することは、無駄なコスト消費につながります。

一方で、将来的に規模の拡大や運用変更の可能性がある場合は、拡張性を備えた製品を選ぶと良いでしょう。

IPS・IDSについては、下の記事で解説していますので参考にしてみてください。

関連記事

watch_later 2020.03.24

IDS・IPS（不正侵入検知・防御）とは？違いや種類・仕組みを徹底解説

続きを読む ≫

サポート体制は充実しているか

WAF製品を選定する場合にはサポート体制がどの程度充実しているか確認しておきましょう。WAFは運用後にも定期的にチューニングを行い、常に最新の防御態勢にしておくことが重要です。

例えばブラックリスト方式という攻撃パターンから判断して不正アクセスを検知する方式や、ホワイトリスト方式という許可した対象以外からのアクセスを排除する方式があり、それぞれ調整内容が異なりますので確認が必要です。

これらの調整はベンダーの専門家が行ったほうが、スピード、正確性ともにベストです。だからこそ、ベンダーのサポート体制が充実しているかどうかはWAF比較の重要なポイントとなるのです。

まだまだある！人気WAF製品を比較！

上で紹介した以外にも人気のWAF製品は数多くあります。ここでは人気WAF製品を紹介しますので、上の製品と比較検討してみてください。

FortiWeb

◆WAF「FortiWeb」の比較ポイント◆

• ■AIベースの脅威検知
• ■OWASPトップ10やDDoS攻撃から保護
• ■定期的にシグネチャを更新

フォーティネットジャパン株式会社が提供する「FortiWeb」は、AIを活用した多層防御型のWAFです。２つの機械学習型エンジンを活用し、OWASPトップ10の脅威やDDoS攻撃にも対応しています。また、攻撃のソースやパターンを分析し、シグネチャは定期的にアップデートされています。

SiteGuard

◆WAF「SiteGuard」の比較ポイント◆

• ■100万サイト以上での導入実績がある国産WAF
• ■システム環境やネットワーク構成に応じて導入可能
• ■デフォルトの状態でも高い防御性能を発揮

「SiteGuard」は株式会社ジェイピー・セキュアの提供するソフトウェア型の国産WAF製品です。シンプルな設計で使いやすく、デフォルト設定でも高セキュリティです。システム環境やネットワーク構成に応じて、ホスト型・ゲートウェイ型のどちらかを選択できます。

Clearswift SECURE Web Gateway

◆WAF「Clearswift SECURE Web Gateway」の比較ポイント◆

• ■Avira、Sophos、Kasperskyによるウイルス対策
• ■オンラインで共有する情報やアクセスを制御
• ■URLフィルタリング機能によりサイトのアクセス可否を設定可能

Clearswift Ltd.が提供している「Clearswift SECURE Web Gateway」は、高度なフィルタリング機能を備えたWebセキュリティ製品です。脅威を検出し、Webサイトを攻撃から守ります。アクセス制御やHTTP/S 暗号化されたトラフィックの内部の精査などを行い、リスクを最小限にします。

デジサート クラウド型WAF

◆WAF「デジサート クラウド型WAF」の比較ポイント◆

• ■年額制で明瞭な料金体系
• ■１カ月間の無料トライアルが可能
• ■新しい攻撃にもスピーディーに対応

デジサート・ジャパン合同会社が提供する「デジサート クラウド型WAF」は、年額契約で利用できるWAFです。クラウドでの提供により初期費用を抑えると同時に、チューニング・運用・保守の手間から解放されます。

Barracuda Web Application Firewall

◆WAF「Barracuda Web Application Firewall」の比較ポイント◆

• ■30分ごとに更新されるシグネチャでXSSやSQLインジェクションを防御
• ■低価格で豊富なラインナップ
• ■日本語に対応したインターフェース

バラクーダネットワークスジャパン株式会社が提供する「Barracuda Web Application Firewall」は、WAFの国内販売台数シェアNo.1を獲得した経験があるWAFです。30分ごとに更新されるブラックリスト型を採用することで、比較的早い段階で最新の攻撃にも対応できるようになります。

ここまで、導入形態を区別せずに紹介してきましたが、現在はクラウド型が主流となっており、今後さらにその流れは続くと考えられます。下の記事ではクラウド型に特化して製品を紹介していますので、参考にしてみてください。

関連記事

watch_later 2020.05.08

クラウド型WAF10製品を徹底比較！初心者にわかりやすく特徴も解説

続きを読む ≫

WAFとは？

ここで、WAFについて簡単におさらいします。

WAFとは、「Web Application Firewall」の略で、ファイアウォールの一種です。Webアプリケーションの脆弱性につけこんだ攻撃からWebサイトを保護するセキュリティ対策で、Webサーバーへの不正アクセスを防ぐ役割を果たしています。

関連記事

watch_later 2020.05.08

WAFとは？初心者にもわかりやすく一から徹底解説！

続きを読む ≫

関連記事

watch_later 2020.03.06

WAFの機能一覧！WAFでできることや防げる攻撃も解説

続きを読む ≫

WAFの必要性

では、WAFがなぜ必要なのか、２点に分けて復習しておきましょう。

Webアプリケーションにはセキュリティの弱点がある

Webアプリケーションは企業内でのみ利用されるシステムに比べて攻撃を受けやすいです。常にインターネット上に公開されており、外部からのアクセスが容易なためです。

本来であればWebアプリケーションの要件定義・設計・コーディング、それぞれのタイミングでセキュリティ対策を施します。そして、脆弱性のないプログラムを完成させなければなりません。

しかし限られた予算とスケジュールの中で、完全に脆弱性を排除するのは非常にハードルが高いです。そのため、現実的にはセキュリティ対策が不十分なWebアプリケーションが多く存在するのです。

WAFは複数の脅威をブロックできる

WAFを導入すれば、さまざまなサイバー攻撃を防ぐことが可能です。具体的にはクロスサイトスクリプティングやSQLインジェクションなどのWebアプリケーションの脆弱性に対応します。

これはファイアウォールやIPS/IDSなどといったWAF以外の製品では防ぐことのできない領域であるため、アプリケーション側での対策が不十分な場合、WAFは非常に有効なセキュリティ対策になります。

WAFの必要性については下の記事で詳しく解説していますので、参考にしてみてください。

関連記事

watch_later 2020.05.08

WAFの必要性とは？Webアプリケーションの防御に欠かせない理由を解説

続きを読む ≫

WAF製品を丁寧に比較し、セキュリティ対策を万全に！

Webアプリケーションは常に外部からの攻撃リスクにさらされています。WAFの導入なしにWebサイトの安全は守れません。かといって、よく吟味することなくWAFを導入してしまうと自社のセキュリティ状況に合わず、結果として導入失敗してしまう可能性があります。

これを防ぐため、まずは資料を請求し、それぞれの製品が自社の求める条件をクリアしているか比較したうえで導入するようにしましょう。