ITトレンドがおすすめする製品・サービス
- ■運用の分担方法別
- 自社で設定変更やログ確認を行いたい：Cloudbric WMS for AWS WAF、BLUE Sphere、攻撃遮断くん(株式会社サイバーセキュリティクラウド)、国産クラウド型WAF「Scutum（スキュータム）」、Barracuda Web Application Firewall
- ベンダーの運用サービスに監視を任せたい：Ray-SOC WAF、Cloudbric WAF+、Cloudbric WMS for AWS WAF、マネージドWAFサービス、攻撃遮断くん(株式会社サイバーセキュリティクラウド)、国産クラウド型WAF「Scutum（スキュータム）」
- 防御ルールの更新を自動で任せたい：国産クラウド型WAF「Scutum（スキュータム）」、攻撃遮断くん(株式会社サイバーセキュリティクラウド)、WafCharm
- ■検知結果の確認方法別
WAFの使い方の全体像
WAF（Web Application Firewall）は、Webサイトへの通信を検査して攻撃を遮断する仕組みです。使い方は大きく、守る対象の登録、防御ルールの適用、検知結果の確認と見直しの3段階に分けられます。まずは全体の流れを押さえましょう。
守る対象と通信経路の登録
WAFを使い始める最初の作業は、守る対象のWebサイトやAPIを管理画面に登録することです。クラウド型であれば、ドメイン名や転送先となるWebサーバーのIPアドレスを登録し、DNSの設定を変えて通信がWAFを経由するようにします。
あわせて、SSL/TLSで暗号化された通信を検査するためのサーバー証明書の登録も必要です。証明書の登録方法や、自動で発行される証明書を使えるかは製品によって異なるため、手順をマニュアルで確認しながら進めましょう。DNSの変更は反映までに時間がかかる場合があるため、アクセスが少ない時間帯に作業する計画を立てておくと安心です。
防御ルールの適用
守る対象を登録したら、防御ルールを適用します。防御ルールとは、SQLインジェクションやクロスサイトスクリプティングといった攻撃のパターンを定義したもので、シグネチャとも呼ばれます。多くのWAFでは、あらかじめ用意された基本のルールセットを選んで適用できます。
そのうえで、自社サイトの構成にあわせて、使っていない機能に関するルールを外したり、特定の攻撃への対策を強めたりします。最初から細かく作り込むより、基本のルールから始めて徐々に調整するほうが進めやすいでしょう。
検知結果の確認と設定の見直し
防御ルールを適用した後は、検知結果を確認して設定を見直す作業を繰り返します。これがWAFを使い続けるうえで、継続的に手間のかかる作業です。攻撃と判定された通信の中に、正常な利用者のアクセスが含まれていないかを確認します。
誤って遮断していた場合は除外設定を追加し、見逃しが疑われる場合はルールを強めます。導入直後は確認の頻度を高くし、設定が落ち着いてきたら週次や月次の確認に移るなど、段階的に運用の負荷を下げていくとよいでしょう。確認の頻度や担当者は、導入前に社内で決めておくと運用が途切れにくくなります。
WAFの管理画面で行う日常の設定
WAFを使い続けるなかで、管理画面では誤検知した通信の除外、アクセス元の許可や拒否、アラート条件の調整といった設定を行います。どれも自社サイトにあった防御を保つために欠かせない作業です。
誤検知した通信の除外
誤検知とは、正常な通信を攻撃と判定してしまうことです。例えば、問い合わせフォームの自由記入欄に、SQLの命令に似た文字列が入力されただけで遮断されるケースがあります。こうした通信は、除外設定を追加して検査の対象から外します。
除外の範囲は、特定のページや特定の入力項目に限るのが基本です。サイト全体でルールを無効にすると、本来防ぐべき攻撃まで通してしまうおそれがあります。除外した理由と日付を記録し、後から見直せるようにしておきましょう。
アクセス元の許可と拒否
WAFでは、通信の送信元となるIPアドレスや国、地域をもとに、アクセスを許可または拒否する設定も行えます。例えば、管理画面へのアクセスを社内ネットワークのIPアドレスだけに限ると、外部からの不正ログインの試みを減らせます。
反対に、攻撃が繰り返される送信元を拒否リストに加える使い方もあります。ただし、テレワーク中の社員や外部の制作会社がアクセスできなくなる場合があるため、許可するアクセス元を事前に洗い出してから設定しましょう。IPアドレスが変わる回線を使っている拠点がないかも、ネットワークの担当者に確認しておくと安心です。
アラート条件の調整
アラートとは、攻撃を検知した際に担当者へ知らせる通知のことです。すべての検知を通知すると件数が多くなり、重要な通知を見落とすおそれがあります。危険度が高い攻撃や、短時間に大量の攻撃が来た場合だけ通知するなど、条件を絞り込みましょう。
通知先も、担当者1人ではなく複数人やチームのメールアドレス、ビジネスチャットに設定すると、休暇中でも対応が止まりにくくなります。通知を受けた後に誰が何をするかも、あわせて決めておくことが大切です。
WAFのログの読み方と対応
WAFのログには、遮断した通信や検知した通信の記録が残ります。ログを読めるようになると、誤検知を見つけたり、攻撃の傾向をつかんだりする際に役立ちます。ここでは、ログで確認したい項目と、誤検知を見分ける手がかりを紹介しましょう。
遮断された通信で確認する項目
遮断された通信のログでは、日時、送信元のIPアドレス、アクセス先のURL、一致した防御ルール、通信の内容を確認します。同じ送信元から短時間に多数の遮断がある場合は、攻撃の可能性が考えられます。
アクセス先のURLを見ると、ログイン画面や検索機能など、どの部分が狙われているかがわかります。狙われている箇所がわかれば、Webアプリケーション側の修正や、該当ページの防御ルールの強化を検討できます。製品によっては、ログを集計した画面やレポートで傾向を確認できるものもあります。
誤検知を見分ける手がかり
誤検知を見分ける手がかりの1つは、利用者からの問い合わせです。フォームが送信できない、画面が表示されないといった連絡があった場合は、連絡を受けた時刻のログに、遮断した記録がないかを確認します。
ログ上では、社内や取引先のIPアドレスからの遮断や、通常の画面操作で送られる値が遮断されている場合に誤検知の可能性があります。判断に迷うときは、Webサイトの開発担当者やベンダーに通信の内容を見てもらい、正常な操作かどうかを確認しましょう。
ログの保存と社内への報告
WAFのログは、問題が起きたときの調査材料として保存しておくことが大切です。管理画面で確認できる期間には上限が設けられている場合があり、長く残したい場合はログを外部のストレージやログ管理の仕組みへ転送する方法があります。
あわせて、月ごとの遮断件数や狙われたページを簡単にまとめ、情報システム部門や経営層に報告する流れを作っておくと、対策の追加や予算の検討に生かせます。報告の形式を決めておけば、担当者が替わっても同じ品質で続けられます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でWAF製品の一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
WAFの運用を続けるための社内ルール
WAFの使い方が担当者の経験だけに頼っていると、異動や退職で運用が止まるおそれがあります。サイト改修との連携や記録の残し方、定期的な見直しのタイミングを社内ルールとして決めておきましょう。
サイト改修時の事前連絡
Webサイトに新しいフォームや機能を追加すると、これまでなかった形式の通信が発生し、誤検知につながる場合があります。そのため、サイトの改修を予定する部署や制作会社から、WAFの担当者へ事前に連絡する流れを決めておくことが大切です。
公開前に検証環境で動作を確認し、遮断が起きないかを確かめられると安心です。検証環境がない場合は、公開直後の一定期間だけログの確認頻度を高めるなど、改修のたびに行う手順を決めておきましょう。
設定変更の記録と引き継ぎ
除外設定の追加やルールの変更を行ったときは、変更日、変更内容、理由、担当者を記録しておきます。記録がないと、なぜその設定にしたのかがわからなくなり、不要な除外設定が残り続ける原因になりかねません。
記録は共有フォルダや社内のナレッジツールにまとめ、複数の担当者が閲覧できるようにしましょう。管理画面の操作履歴を確認できる製品であれば、その機能も活用できます。手順書を用意しておくと、担当者が替わった際の引き継ぎもスムーズに進みます。
定期的な設定の見直し
WAFの設定は、四半期ごとや半期ごとなど、時期を決めて見直すとよいでしょう。見直しでは、使われなくなったページの除外設定が残っていないか、許可しているIPアドレスが現在も必要かを確認します。
あわせて、ベンダーから提供される防御ルールの更新内容や、IPAなどの公的機関が公表する脆弱性情報も確認し、自社サイトに関係する攻撃への備えができているかを点検します。運用サービスを使っている場合は、見直しの結果をベンダーと共有しましょう。
運用のしやすさで比べるWAF製品一覧
管理画面での設定、ログの確認、レポートの提供、運用の代行など、導入後の使い方に関わる特徴ごとに、WAF製品を整理しました。
| 製品名 | 特徴 |
|---|---|
| Cloudbric WMS for AWS WAF | 月次レポートをPDFで出力でき、設定は管理画面から行える |
| BLUE Sphere | ログや攻撃状況の分析、URL除外やIP制限を管理画面で行える |
| 攻撃遮断くん(株式会社サイバーセキュリティクラウド) | 攻撃の可視化と検知時のメール通知、月次レポートを提供 |
| 国産クラウド型WAF「Scutum（スキュータム）」 | 防御ルールの更新や誤検知への対応を専門チームが支援 |
| Ray-SOC WAF | 運用、誤検知の調整、月次レポートまでを標準で提供 |
| Cloudbric WAF+ | 24時間365日の監視と、専用コンソールでの検知履歴の確認 |
| PrimeWAF | 攻撃状況のダッシュボードとレポート機能で報告にも使える |
| マネージドWAFサービス | 24時間365日の有人監視で運用を支援するクラウド型WAF |
| WafCharm | AWSなどのWAFルールを自動で作成・更新する運用サービス |
| InfoCage SiteShell | 監視や通知、自動防御、運用支援の機能を備えたソフトウェア型 |
| Barracuda Web Application Firewall | ログの検索や確認を、日本語の管理画面で行える |
設定変更とログ確認を続けやすいWAF
自社で管理画面を操作する前提の製品と、ベンダーに運用を任せられる製品に分けて紹介します。運用に割ける人員にあわせて比べてください。
Cloudbric WMS for AWS WAF
- 世界的な専門機関で証明された高度な攻撃検知能力
- 24時間365日モニタリングとエキスパートによる充実したサポート
- 運用負荷の軽減とコストの削減
ペンタセキュリティ株式会社が提供する「Cloudbric WMS for AWS WAF」は、管理画面で脅威の可視化とレポート出力ができる、AWS WAFの運用管理サービスです。ダッシュボードで脅威と対応を可視化でき、過去3か月のデータをもとに月次レポートを自動作成してPDFで出力できます。ブラックリストやホワイトリスト、GeoIP、レートリミットなどは、ユーザー設定から操作します。日々の設定とログの確認を自社で行いつつ、24時間365日のモニタリングも受けたい企業向けです。
BLUE Sphere
- WAF/DDoS防御/DNS監視/サイバー保険がオールインワン
- ドメイン無制限で複数サイトを１つの契約で守る！
- 三井住友海上火災保険「サイバープロテクター」が無償で付帯！
株式会社アイロバが提供する「BLUE Sphere」は、管理画面から設定変更とログ確認を自社で行えるクラウド型のセキュリティサービスです。WAFとDDoS防御、DNSハイジャック監視などを1つの契約で利用できます。管理画面では、ログ機能や攻撃状況の分析・モニタリング、レポートの表示とファイル出力、特定URLの除外、IPアドレスや国別の許可・拒否を操作できます。導入から運用開始後の設定変更まで、ヘルプデスクによる無償のサポートも受けられます。
攻撃遮断くん(株式会社サイバーセキュリティクラウド)
- あらゆる規模のWebシステムへ導入できる最適なWAFを提供。
- DDoS対策プランや定額制プランなど多数のサービスプランを提供。
- 自社開発だからできる手厚いサポート体制。
株式会社サイバーセキュリティクラウドが提供する「攻撃遮断くん(株式会社サイバーセキュリティクラウド)」は、攻撃の状況を管理画面とメール、月次レポートで確認できる国産のクラウド型WAFです。管理画面では攻撃時間や攻撃元IP、攻撃の種類をリアルタイムに確認でき、期間ごとにグラフ化して傾向もつかめます。攻撃を検知・遮断するたびに、手法や遮断したIPアドレスを記載した防御証明メールが届きます。セキュリティエンジニアのコメントが付いた月次レポートは、社内への報告資料づくりにも使えます（DNS切り替え型は別途費用）。
国産クラウド型WAF「Scutum（スキュータム）」
- 2009年から進化を続ける、Scutum独自の検知・防御性能
- 重大な脆弱性に24時間以内で対応してきた豊富な実績
- 導入後のWAF運用も、専門チームが継続してサポート
株式会社セキュアスカイ・テクノロジーが提供する国産クラウド型WAF「Scutum（スキュータム）」は、防御機能の更新をサービス側で行うクラウド型のWAFです。導入後のルール更新、チューニング、誤検知への対応、障害・メンテナンス対応を、国内の専門チームが24時間365日の運用体制でサポートします。防御ログ一覧画面や特定URLの除外機能があり、複数サイトを1画面で管理できる統合管理コンソールも用意されています。月次レポートは有償オプションです。
Ray-SOC WAF
- 独自AIエンジンで未知の攻撃も検知・ブロック
- マネージドサービス付きなので、管理の手間はほとんど不要
- 月額3.5万円から。日本の技術チームがサポートします。
株式会社レイ・イージス・ジャパンが提供する「Ray-SOC WAF」は、運用をサービス側に任せる前提で設計されたクラウド型WAFです。Ray-SOCサービスセンターが常時監視を行い、シグネチャの更新やチューニング、誤検知への対応、DDoS対策、月次レポートを標準で提供します。社内にセキュリティの専任担当がいない場合でも、日々の設定やログの確認にかける手間を抑えたい企業が検討できます。
Cloudbric WAF+
- 特許取得のロジック＆AIエンジンを搭載、高い攻撃検知力
- WAF/DDoS攻撃遮断/API保護/ボット対策/Malicious IP遮断
- 24時間365日監視体制と専門家にお任せのマネージドサービス付帯
ペンタセキュリティ株式会社が提供する「Cloudbric WAF+」は、運用を専門家に任せられるマネージドサービスが付いたクラウド型WAFです。24時間365日の体制でセキュリティを監視し、不正アクセスの傾向を見せるIPを攻撃元として遮断します。検知モードで集めたログをもとに運用ポリシーを提案し、遮断モードへの切り替えを支援します。専用コンソールでは、保護対象サイトの検知履歴をさまざまなフィルタで閲覧できます。
PrimeWAF
- Webサイトへの攻撃を見える化し、不正な通信を遮断
- 脆弱性診断のノウハウを攻撃の検知・遮断ルールに反映
- 導入時の設定から日々の運用まで、丁寧にサポート
バルテス株式会社が提供する「PrimeWAF」は、攻撃状況のダッシュボードとレポートで対策の報告にも使えるクラウド型WAFです。検知した不正な通信の履歴がダッシュボードに表示され、攻撃の内容やアクセス元の国などを確認できます。期間ごとに比較でき、社内に対策状況を報告する際にも使えるレポート機能も搭載しています。導入後に管理画面の使い方や設定で迷った場合も相談できるため、初めてWAFを運用する担当者が検討できる製品です。
マネージドWAFサービス （セコムトラストシステムズ株式会社）
- クラウド型WAFで即時利用可能、セキュリティを強化。
- 24時間365日の有人監視で不正アクセスを常時防御。
- 個別シグネチャ作成やDDoS対策オプションも提供。
WafCharm （株式会社サイバーセキュリティクラウド）
- AWS WAF連携の専門性と認定。
- 24時間365日日本語サポートで対応
- 世界で1,000ユーザー以上の導入実績あり
InfoCage SiteShell （日本電気株式会社）
- NECのセキュリティーインテリジェンスを活かした高い検知性能！
- 環境・ニーズに合わせて最適な導入形態を選べる！
- ソフトウェア型で導入/運用が容易！コストもリーズナブル！
Barracuda Web Application Firewall （バラクーダネットワークスジャパン株式会社）
- スピーディーで高い防御性能で安心のセキュリティ
- 使いやすく充実した機能・インタフェース
- 豊富なモデルで小規模でも導入しやすい！
まとめ
WAFの使い方は、守る対象の登録と防御ルールの適用から始まり、ログで検知結果を確認しながら除外設定やアクセス制限を見直していく流れが基本です。誤検知への対応やアラート条件の調整を続けるとともに、サイト改修時の連絡や設定変更の記録を社内ルールにして、運用が特定の担当者に偏らないようにしましょう。運用のしやすさを含めてWAFを比較したい方は、資料請求を活用してください。
