ITトレンドがおすすめする製品・サービス
- ■設置形態別
- Webサーバーにインストールするホスト型：InfoCage SiteShell
- 専用機器を通信経路に置くゲートウェイ型：Barracuda Web Application Firewall、Impervaアプリケーション・セキュリティ、F5 Advanced Web Application Firewall
- DNSの切り替えで使うクラウド型：Radware Products、Ray-SOC WAF、PrimeWAF、Cloudbric WAF+、TrustShelter
- ■保護するサーバー環境別
WAFとWebサーバーの位置関係
WAFを検討する際は、まずWebサーバーとの位置関係を理解しておくことが大切です。WAFが通信のどこで検査を行うのか、ほかのセキュリティ機器とどう役割を分けるのかを整理しておくと、自社に必要な構成を判断しやすくなります。
Webサーバーの手前で通信を検査する仕組み
WAFは、利用者のブラウザからWebサーバーへ届く通信の中身を検査し、攻撃と判断した通信を遮断する仕組みです。検査の対象は、ログインフォームへの入力値やURLのパラメータ、送信されるデータの形式です。
SQLインジェクションやクロスサイトスクリプティングのように、Webアプリケーションの弱点を突く攻撃を防ぐことが主な目的です。そのため、Webサーバーに通信が届く前、もしくはWebサーバーがアプリケーションに処理を渡す前の位置で検査を行います。
ファイアウォールやIPSとの守備範囲の違い
ファイアウォールは、通信の送信元や宛先、ポート番号をもとに通信を許可または遮断する仕組みです。IPSは不正侵入防止システムの略で、ネットワークやサーバーを狙う不正な通信を検知して遮断します。
これに対してWAFは、Webアプリケーションへの通信の中身に特化して検査する点が異なります。それぞれ守る範囲が違うため、WAFを入れればファイアウォールやIPSが不要になるわけではありません。サーバーの手前にこれらを組み合わせて配置する構成が考えられます。
WAFで保護できるサーバーの範囲
WAFが保護の対象とするのは、HTTPやHTTPSで通信するWebサーバーやAPIサーバーです。APIとは、システム同士がデータをやり取りするための窓口のことで、スマートフォンアプリの裏側で使われるケースもあります。
一方、メールサーバーやファイルサーバーのように、Web以外の方式で通信するサーバーはWAFの対象外です。保護したいサーバーを一覧にして、Webで通信するものとそれ以外を分けておくと、WAFでカバーする範囲と、ほかの対策で守る範囲を整理しやすくなります。
WAFの設置形態別に見るサーバー構成
WAFの設置形態は、ホスト型、ゲートウェイ型、クラウド型の3つに分けられます。形態によって、WAFを動かす場所や、自社で用意するサーバーや機器が異なるため、それぞれの構成を確認しておきましょう。
Webサーバーに組み込むホスト型
ホスト型は、保護したいWebサーバーにWAFのソフトウェアをインストールして使う形態です。ソフトウェア型とも呼ばれ、追加の専用機器を置かずに導入できる点が特徴です。
一方で、Webサーバーごとにインストールと設定が必要なため、サーバーの台数が増えるほど管理の手間が増えます。また、WAFの処理がWebサーバーのCPUやメモリを使うため、もともとの処理能力に余裕があるかの確認も欠かせません。対応するOSやWebサーバーソフトの種類も事前に確かめましょう。
専用機器を置くゲートウェイ型
ゲートウェイ型は、WAFの専用機器をWebサーバーの手前の通信経路に設置する形態です。アプライアンス型やネットワーク型とも呼ばれ、1台の機器で複数のWebサーバーをまとめて保護できます。
Webサーバー自体の設定を大きく変えずに導入できる一方、機器を置くスペースや、通信経路の変更作業が必要です。機器が故障すると通信が止まるおそれがあるため、2台構成にするかどうかも検討します。初期費用が高くなる場合があるため、保護するサーバーの数とあわせて判断しましょう。
DNSの切り替えで使うクラウド型
クラウド型は、ベンダーが運用するクラウド上のWAFを経由して、自社のWebサーバーへ通信を届ける形態です。DNSの設定を変更し、ドメインへのアクセス先をWAFのサービスに向けることで利用を始めます。
自社でWAF用のサーバーや機器を用意する必要がなく、シグネチャの更新もベンダーが行う点が特徴です。ただし、WAFを経由せずにWebサーバーへ直接アクセスされると検査をすり抜けるため、Webサーバー側でWAFからの通信だけを受け付ける設定を行うことが大切です。
自社サーバーにWAFを置く場合の要件
ホスト型やゲートウェイ型のように、自社の環境にWAFを置く場合は、サーバーや機器の処理能力、暗号化された通信の扱い、障害時の備えを事前に確認する必要があります。ここでは主な3つの要件を解説します。
CPUやメモリへの負荷の見積もり
WAFは通信を1件ずつ検査するため、アクセス数が多いほどCPUやメモリへの負荷が大きくなります。ホスト型ではWebサーバーと同じ資源を使うため、ピーク時にページの表示が遅くならないか確認が必要です。
ゲートウェイ型の場合も、機器ごとに処理できる通信量の目安が決まっています。現在のアクセス数だけでなく、キャンペーン時や今後のサイト拡大による増加も見込んで選びましょう。導入前に検証環境で負荷を測定できるか、ベンダーに相談するのも1つの方法です。
SSL/TLS通信の復号の扱い
現在のWebサイトの多くは、SSL/TLSという仕組みで通信を暗号化しています。WAFが通信の中身を検査するには、暗号化された通信をいったん復号する必要があります。
ゲートウェイ型では、WAFの機器にサーバー証明書を登録して復号する構成や、ロードバランサーで復号した後にWAFへ渡す構成があります。どこで復号するかによって、証明書を更新する場所や、復号の処理による負荷が変わります。証明書の更新漏れで通信が止まらないよう、管理の担当と手順を決めておきましょう。
冗長化と障害時の通信経路
WAFを通信経路に置く場合、WAFが停止するとWebサイト全体にアクセスできなくなるおそれがあります。そのため、WAFを2台用意して片方が止まっても通信を続けられる冗長化の構成が検討されます。
機器によっては、障害時に検査を止めて通信だけを通す機能を持つものもありますが、その間は攻撃を防げない点に注意が必要です。障害の通知方法や、復旧までの手順、ベンダーへの連絡体制もあわせて確認し、手順書として社内で共有しておくと安心です。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でWAFの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
サーバー環境ごとに見るWAFの向き不向き
どの設置形態が向くかは、保護するWebサーバーの台数や構成、設置場所によって変わります。ここでは代表的な3つのサーバー環境について、検討しやすいWAFの形態と確認したい点を紹介します。
Webサーバーが1台の小規模な環境
コーポレートサイトや小規模なECサイトのように、Webサーバーが1台の環境では、ホスト型またはクラウド型が検討しやすい形態です。専用機器を置くゲートウェイ型は、保護するサーバーが少ない場合は費用に見合わないことがあります。
ホスト型はサーバーに余裕があれば追加機器なしで導入できますが、設定や更新は自社で行います。クラウド型は運用の手間を抑えられる一方、月額費用がかかります。社内でサーバーを管理できる人がいるかどうかも判断材料にしましょう。
複数台のWebサーバーとロードバランサーの構成
アクセスを複数のWebサーバーに振り分けるロードバランサーを使う環境では、サーバーの手前でまとめて検査できるゲートウェイ型やクラウド型が向いています。ホスト型をすべてのサーバーに入れると、設定をそろえる作業が増えるためです。
ゲートウェイ型を使う場合は、ロードバランサーの前後どちらに置くかで、送信元のIPアドレスの見え方やSSL復号の場所が変わります。既存のネットワーク構成図をもとに、ベンダーや構築を担当する事業者と配置を相談しましょう。
クラウド上のサーバーやコンテナの環境
パブリッククラウド上でWebサーバーを運用している場合は、クラウド事業者が提供するWAFの機能や、クラウド型WAFのサービスを使う方法があります。サーバーの台数が自動で増減する構成では、台数の変化に追従できる形態が向いています。
アプリケーションを小さな単位に分けて動かすコンテナを使う環境では、コンテナ向けのWAFに対応した製品もあります。利用しているクラウドの種類や構成に対応しているか、導入前に確認しましょう。
設置形態別に見るWAF製品の特徴一覧
Webサーバーへのインストール型、専用機器を置く型、DNSの切り替えで使うクラウド型、クラウド事業者のWAFなど、設置の考え方が異なる製品を一覧にしました。
| 製品名 | 特徴 |
|---|---|
| Radware Products | DNS設定の変更を中心に導入できるクラウド型WAAP |
| Ray-SOC WAF | DNS設定の変更のみで導入でき、専用ハードウェアが不要 |
| PrimeWAF | DNS設定の変更で導入でき、1サイトから始められる |
| Cloudbric WAF+ | DNSの変更で導入するクラウド型WAFで、運用支援が付く |
| Cloudbric WMS for AWS WAF | AWS WAFの導入から運用までを支援するマネージドサービス |
| InfoCage SiteShell | Webサーバーに直接入れるホスト型など、3つの導入形態がある |
| Barracuda Web Application Firewall | アプライアンス型で、リバースプロキシやブリッジ構成を選べる |
| Impervaアプリケーション・セキュリティ | Cloud WAFとゲートウェイ型のWAF Gatewayを選べる |
| F5 Advanced Web Application Firewall | 仮想アプライアンスやSaaS、パブリッククラウドなどで提供 |
| BIG-IPApplicationSecurityManager(ASM) | BIG-IP上のWAFモジュールで、オンプレミスとクラウドで運用 |
| TrustShelter | DNS設定のみで導入でき、WAFとDDoS対策、CDNを提供 |
| AWSWAF | マネージドルールやレート制限を使えるAWSのWAFサービス |
| Azure Web Application Firewall | Azure上のWebアプリケーションを保護するクラウド型WAF |
| WafCharm | AWSなどのWAFルールを自動で作成・更新する運用サービス |
サーバー構成にあわせて選べるWAF製品
保護したいサーバーが社内にあるのか、クラウド上にあるのかで選べる製品が変わります。まずDNSの切り替えで始められるクラウド型を紹介し、続けて自社環境に置く製品とクラウド事業者のWAFを取り上げます。
Radware Products
- 未知の脅威や巧妙化するWeb攻撃に対応できる高い防御性能
- AI活用による分析や運用の自動化で運用負荷を軽減
- 大規模攻撃にも対応するグローバル防御基盤
株式会社日立ソリューションズが提供する「Radware Products」は、DNSの設定変更を中心に導入できるクラウド型のWAAPソリューションです。WAFにDDoS対策、Bot管理、API保護を統合しており、機器を設置する必要がありません。すでに他社のCDNを使っている場合も、既存の環境を生かしたままセキュリティを強化できます。インフラの運用もサービス側が担うため、自社でWAF用のサーバーを保守したくない企業に向いています。
Ray-SOC WAF
- 独自AIエンジンで未知の攻撃も検知・ブロック
- マネージドサービス付きなので、管理の手間はほとんど不要
- 月額3.5万円から。日本の技術チームがサポートします。
株式会社レイ・イージス・ジャパンが提供する「Ray-SOC WAF」は、専用のハードウェアを置かずに使えるクラウド型WAFです。導入はDNS設定の変更のみで完了します。Ray-SOCサービスセンターが常時監視を行い、WAFの運用や誤検知のチューニング、DDoS対策、月次レポートまでを標準で提供します。対象の従業員規模は50名以上です。サーバー側の変更を最小限にして始めたい場合の候補です。
PrimeWAF
- Webサイトへの攻撃を見える化し、不正な通信を遮断
- 脆弱性診断のノウハウを攻撃の検知・遮断ルールに反映
- 導入時の設定から日々の運用まで、丁寧にサポート
バルテス株式会社が提供する「PrimeWAF」は、1サイトから始められるクラウド型WAFです。導入はDNS設定の変更で対応でき、設定の確認が必要な点も一緒に整理しながら進められます。1サイトに限定したプランと、複数サイト向けのプランがあり、検知した攻撃はダッシュボードで確認できます。1サイトのコーポレートサイトなど、小規模な構成から保護を始めたい場合に検討できます。
Cloudbric WAF+
- 特許取得のロジック＆AIエンジンを搭載、高い攻撃検知力
- WAF/DDoS攻撃遮断/API保護/ボット対策/Malicious IP遮断
- 24時間365日監視体制と専門家にお任せのマネージドサービス付帯
ペンタセキュリティ株式会社が提供する「Cloudbric WAF+」は、DNSの変更だけで自社サーバーの構成を変えずに使えるクラウド型WAFです。導入は、ヒアリングシートの提出、セキュリティプラットフォームの構築、DNS情報の変更という3ステップで進みます。検知モードでの運用中に集めたログをもとに、遮断モードへの切り替えもサポートされます。Webサーバー側の作業を抑えて導入したい企業向けの製品です。
Cloudbric WMS for AWS WAF
- 世界的な専門機関で証明された高度な攻撃検知能力
- 24時間365日モニタリングとエキスパートによる充実したサポート
- 運用負荷の軽減とコストの削減
ペンタセキュリティ株式会社が提供する「Cloudbric WMS for AWS WAF」は、AWS上のサーバーを守る構成で使える、AWS WAFの運用管理サービスです。AWS WAFに付加するルールの作成と反映、新しい脆弱性や誤検知への対応は、専門家が担います。導入時は2週間のカウントモード運用で誤検知を抑え、運用時はログをリアルタイムで監視します。ダッシュボードで脅威を確認でき、月次レポートはPDFで出力できます。クラウド上のサーバーを守る構成を検討する際の選択肢です。
InfoCage SiteShell （日本電気株式会社）
- NECのセキュリティーインテリジェンスを活かした高い検知性能！
- 環境・ニーズに合わせて最適な導入形態を選べる！
- ソフトウェア型で導入/運用が容易！コストもリーズナブル！
Barracuda Web Application Firewall （バラクーダネットワークスジャパン株式会社）
- スピーディーで高い防御性能で安心のセキュリティ
- 使いやすく充実した機能・インタフェース
- 豊富なモデルで小規模でも導入しやすい！
Impervaアプリケーション・セキュリティ （株式会社Imperva Japan）
- フル機能のセキュリティであらゆるサイバー攻撃から防御！
- さまざまなサイバー攻撃を高度に分析し、セキュリティに反映！
- クラウド型/ゲートウェイ型からWAFの形式を選択可能！
F5 Advanced Web Application Firewall （エフファイブ・ネットワークス・ジャパン合同会社）
- 米大手企業など豊富な導入実績を持つグローバル企業が提供！
- 独自の技術を活かして最新のサイバー攻撃からも防御！
- 導入オプションが豊富！組織のニーズに合わせて利用できる
BIG-IPApplicationSecurityManager(ASM) （エフファイブ・ネットワークス・ジャパン合同会社）
- HTTP/HTTPS通信でSQLiやXSSなどの攻撃を統一ポリシーで防御。
- BIG-IPをオンプレ／クラウドで共通運用、環境問わず導入容易。
- WAF導入とアプリデリバリ機能一体運用可能。
TrustShelter （NTTテクノクロス株式会社）
- WAF・DDoS 防御・CDN・Bot 対策をオールインワンで提供。
- DNS設定のみで導入可能、既存環境に影響なく迅速に開始。
- 9 Tbps超帯域とSLA99.999%で高可用性。
AWSWAF （アマゾンウェブサービスジャパン合同会社）
- マネージドルールで時間を節約し、アプリ構築に集中。
- 一般的なボットの監視、ブロック、レート制限を簡素化。
- 統合インターフェイスでセキュリティ設定ステップを最大80%削減
Azure Web Application Firewall （日本マイクロソフト株式会社）
- Webアプリ全体を一元的に保護可能。
- CRSやカスタム応答ポリシーで細かな攻撃制御が可能。
- ボット保護やログ連携など、運用視点のセキュリティ設計を採用。
WafCharm （株式会社サイバーセキュリティクラウド）
- AWS WAF連携の専門性と認定。
- 24時間365日日本語サポートで対応
- 世界で1,000ユーザー以上の導入実績あり
まとめ
WAFは、Webサーバーの手前またはWebサーバー上で通信を検査する仕組みで、ホスト型、ゲートウェイ型、クラウド型のどれを選ぶかでサーバー構成が変わります。自社の環境に置く場合は、CPUやメモリへの負荷、SSL/TLS通信の復号、冗長化への備えを確認しましょう。保護するサーバーの台数や設置場所にあう形態を選ぶことが大切です。自社のサーバー環境にあうWAFを比較したい方は、資料請求を活用してください。
