ITトレンドがおすすめする製品・サービス
- ■構築の進め方別
- DNSの切り替えだけで短期間に導入したい：Ray-SOC WAF、PrimeWAF、Cloudbric WAF+、Radware Products、TrustShelter
- 既存のネットワーク構成の中に組み込みたい：Barracuda Web Application Firewall、InfoCage SiteShell、F5 Advanced Web Application Firewall、Impervaアプリケーション・セキュリティ
- 構築から運用まで一括で任せたい：Cloudbric WMS for AWS WAF、Cloudbric WAF+、Ray-SOC WAF、PrimeWAF、国産クラウド型WAF「Scutum（スキュータム）」
- ■保護する対象別
- スマートフォンアプリなどのAPIも守りたい：Radware Products、Cloudbric WAF+、TrustShelter、App&APIProtector、AIONCLOUD、F5 Advanced Web Application Firewall
- 複数のWebサイトをまとめて守りたい：BLUE Sphere、PrimeWAF、国産クラウド型WAF「Scutum（スキュータム）」
WAF構築の前に決めること
WAF（Web Application Firewall）の構築をスムーズに進めるには、作業に入る前の準備が重要です。何を守るのか、どの形態で構築するのか、誰が何を担当するのかを決めておくと、手戻りを減らせます。
保護対象のサイトとAPIの洗い出し
最初に、WAFで保護するWebサイトやAPIを一覧にします。コーポレートサイト、ECサイト、会員向けのマイページ、スマートフォンアプリが使うAPIといったように、ドメイン名ごとに整理しましょう。APIとは、システム同士がデータをやり取りするための窓口のことです。
あわせて、各サイトのアクセス数の目安、ログイン機能やフォームの有無、利用しているWebサーバーやクラウドの種類も記録します。この一覧が、構築形態の選択やベンダーへの見積もり依頼の基礎資料になり、保護対象の漏れを防ぐ役割も果たします。
構築形態の選択
WAFの構築形態には、ベンダーのサービスを経由させるクラウド型、専用機器を通信経路に置くアプライアンス型、Webサーバーにソフトウェアを入れるホスト型があります。どの形態を選ぶかで、構築の作業内容と期間が大きく変わります。
クラウド型は主にDNSの設定変更で導入でき、機器の設置が不要です。アプライアンス型やホスト型は、ネットワーク構成の変更やサーバーへのインストールが必要ですが、自社の環境の中で通信を検査できます。社内の規程で通信を外部のサービスに通せないかどうかも確認しておきましょう。
社内体制と役割分担
WAFの構築には、情報システム部門だけでなく、Webサイトを運営する部署や制作会社、サーバーを管理する事業者が関わる場合があります。DNSの変更権限を持つ人、サーバー証明書を管理する人、サイトの動作を確認できる人を事前に特定しておくことが大切です。
役割が曖昧なままだと、作業の依頼先がわからず、構築の作業が止まってしまうおそれがあります。プロジェクトの責任者を決め、関係者の連絡先と担当範囲を一覧にして共有しておきましょう。構築の各段階で誰が承認するかも、あわせて決めておくと判断が滞りません。
WAF構築の進め方
準備が整ったら、WAFの構築作業に入ります。検証環境で動作を確認し、本番環境では遮断をせずに検知だけを行う期間を設けてから、遮断モードへ切り替える3段階で進めると、サイトへの影響を抑えられます。
検証環境での動作確認
構築の1段階目は、検証環境での動作確認です。検証環境とは、本番のWebサイトと同じ構成で用意したテスト用の環境のことです。WAFを通した状態で、ログインや商品の購入、フォームの送信といった主な操作が問題なく行えるかを確かめます。
検証環境がない場合は、本番環境の一部のドメインやページから先に適用する方法もあります。どの方法で確認するかは、サイトの重要度や作業できる時間帯を踏まえて、関係者と相談して決めましょう。確認した操作と結果は記録に残しておくと、後から誤検知の原因を調べる際の手がかりにもなります。
検知モードでの試験運用
2段階目は、本番環境での検知モードによる試験運用です。検知モードとは、攻撃と判定した通信を遮断せず、ログに記録するだけの動作のことです。この期間に、正常な通信が攻撃と判定されていないかを確認します。
誤検知が見つかった場合は、該当するページや入力項目を検査の対象から外す除外設定を追加します。試験運用の期間は、サイトの規模や更新の頻度によって異なりますが、月末や週末のようにアクセスの傾向が変わる時期を含めて確認できると安心です。
遮断モードへの切り替え
3段階目は、遮断モードへの切り替えです。試験運用で誤検知の調整が済んだら、攻撃と判定した通信を実際に遮断する設定に変更します。切り替えは、問い合わせ窓口が対応できる平日の日中など、問題が起きた際にすぐ対応できる時間帯に行いましょう。
切り替え直後は、利用者からの問い合わせやログを重点的に確認します。想定外の遮断が起きた場合に備えて、検知モードへ戻す手順と判断する担当者をあらかじめ決めておくことも大切です。
WAF構築で起こりやすいつまずき
WAFの構築では、事前に想定していないと手戻りが生じやすい作業がいくつかあります。ここでは、DNSや証明書の設定、正常な通信の遮断、性能の低下という3つのつまずきと、その対策を紹介します。
DNS切り替えと証明書設定の手戻り
クラウド型のWAFでは、DNSの設定を変更して通信の向き先を切り替えます。DNSの変更は反映までに時間がかかる場合があり、その間は利用者によって経由する先が異なる状態が続きます。事前に設定の反映時間を短くしておくなど、ベンダーの手順に沿って準備しましょう。
また、暗号化された通信を検査するにはサーバー証明書の設定が必要です。証明書の形式や有効期限、更新の担当を確認しておかないと、切り替え当日に作業が止まる場合があります。
正常な通信の遮断
構築時に起こりやすいもう1つのつまずきが、正常な通信の遮断です。例えば、管理画面で長い文章や記号を含むデータを登録する操作や、外部の決済サービスから送られる通知が、攻撃と判定されるケースがあります。
こうした遮断は、Webサイトの作りとWAFが持つルールとの組み合わせなど、複数の要因で起こります。試験運用の段階で、日常の業務操作だけでなく、月に1回しか行わない処理や外部サービスとの連携も確認しておくと、本番での遮断を減らせます。
想定外の性能低下
WAFは通信を1件ずつ検査するため、構成によってはページの表示が遅くなる場合があります。アプライアンス型やホスト型では、機器やサーバーの処理能力がアクセス数に見合っているかが影響します。
クラウド型でも、WAFの拠点とWebサーバーの距離や、経由する通信経路によって応答時間が変わる可能性があります。構築前後で主要なページの表示時間を測定して比べ、遅延が見られた場合は、ベンダーと原因を切り分けながら設定や構成を見直しましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でWAF製品の一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
WAF構築を外部に依頼する範囲
WAFの構築は、すべてを自社で行う必要はありません。ベンダーや構築を支援する事業者に依頼できる作業と、自社で担う必要がある作業を切り分けると、社内の負担を抑えながら構築を進められます。
構築支援サービスで依頼できる作業
ベンダーや販売代理店の構築支援サービスでは、構成の設計、機器やソフトウェアの初期設定、防御ルールの適用、試験運用中のログ分析と除外設定の提案といった作業を依頼できる場合があります。
ただし、どこまでが標準の作業に含まれ、どこからが追加費用になるかはサービスによって異なります。設定の代行まで行うのか、手順の案内にとどまるのかも確認が必要です。見積もりを依頼する際は、作業項目ごとに対応範囲を示してもらうと比較しやすくなります。
自社で担う作業
外部に依頼する場合でも、自社でなければ判断できない作業があります。例えば、保護対象の決定、本番切り替えの日時の承認、正常な業務操作かどうかの判断、利用者への周知は、自社が責任を持って行う必要があります。
また、構築後の運用を見据えて、設定内容や除外設定の理由を記録した資料を受け取っておくことも大切です。資料を社内で共有しておけば、担当者が替わっても設定の意図を把握でき、次の見直しや再構築の際にも役立ちます。
依頼先を選ぶ際の確認点
構築を外部に依頼する際は、自社と同じ構築形態やサーバー環境での構築経験があるかを確認しましょう。例えば、パブリッククラウド上のサーバーにWAFを導入する場合と、社内のデータセンターに専用機器を置く場合とでは、必要な知識や作業が異なります。
あわせて、構築後に誤検知が起きた際の問い合わせ方法や、対応できる時間帯も確かめておくと安心です。構築だけを依頼するのか、その後の監視やチューニングまで任せるのかによって、選ぶべき依頼先も変わります。
構築の進め方の違いがわかるWAF製品一覧
DNSの切り替えで短期間に始められる製品、既存のネットワークに組み込む製品、構築から運用まで任せられる製品を、構築の進め方の違いがわかるよう整理しました。
| 製品名 | 特徴 |
|---|---|
| Ray-SOC WAF | DNS設定の変更のみで導入が完了する |
| PrimeWAF | DNS設定の変更で導入でき、設定面のサポートも受けられる |
| Cloudbric WAF+ | 3ステップの導入と、検知モードから遮断モードへの切り替え支援 |
| Radware Products | DNS設定の変更を中心に導入でき、API保護にも対応 |
| Cloudbric WMS for AWS WAF | 導入時の2週間のカウントモードで誤検知に備える |
| 国産クラウド型WAF「Scutum（スキュータム）」 | 導入後のルール更新やチューニングまで一貫して支援 |
| BLUE Sphere | 登録サイト数が無制限で、複数サイトを1契約でまとめて保護 |
| TrustShelter | DNS設定のみで導入でき、WAFとAPI保護、CDNを提供 |
| Barracuda Web Application Firewall | リバースプロキシ、ワンアーム、ブリッジの3構成から選べる |
| InfoCage SiteShell | ホスト型、ネットワーク型、スニファ型から導入形態を選べる |
| F5 Advanced Web Application Firewall | ソフトウェア、SaaS、ハードウェアなど多様な導入オプション |
| Impervaアプリケーション・セキュリティ | Cloud WAFとゲートウェイ型のWAF Gatewayを選べる |
| App&APIProtector | WAFにボット緩和やAPI保護を統合し、CI/CDにも組み込める |
| AIONCLOUD | Webサイト、アプリ、APIをクラウド型WAFで保護する |
構築時の支援内容に特徴があるWAF
構築にかけられる時間や社内の体制によって、向く製品は変わります。クラウド型の製品を中心に、構築時の支援内容がわかる製品を紹介します。
Ray-SOC WAF
- 独自AIエンジンで未知の攻撃も検知・ブロック
- マネージドサービス付きなので、管理の手間はほとんど不要
- 月額3.5万円から。日本の技術チームがサポートします。
株式会社レイ・イージス・ジャパンが提供する「Ray-SOC WAF」は、DNS設定の変更だけで構築が完了するクラウド型WAFです。専用のハードウェアは不要で、構築後の運用やチューニングはRay-SOCサービスセンターが担います。構築を終えた後の体制づくりに手間がかかりにくい点も特徴です。最大2か月の無償トライアルがあり、通信量の測定と最適なプランの提案まで受けられます。
PrimeWAF
- Webサイトへの攻撃を見える化し、不正な通信を遮断
- 脆弱性診断のノウハウを攻撃の検知・遮断ルールに反映
- 導入時の設定から日々の運用まで、丁寧にサポート
バルテス株式会社が提供する「PrimeWAF」は、導入時の設定面でもサポートを受けられるクラウド型のWAFです。導入はDNS設定の変更で行え、確認が必要な点を一緒に整理しながら進められます。導入後の運用についても相談できます。1サイトの限定プランは月額14,300円からで、複数サイトに使えるプランもあります。1か月の無料トライアルで、管理画面の使い勝手や検知の状況を確認することもできます。
Cloudbric WAF+
- 特許取得のロジック＆AIエンジンを搭載、高い攻撃検知力
- WAF/DDoS攻撃遮断/API保護/ボット対策/Malicious IP遮断
- 24時間365日監視体制と専門家にお任せのマネージドサービス付帯
ペンタセキュリティ株式会社が提供する「Cloudbric WAF+」は、導入の手順が3ステップで整理されたクラウド型のWAFです。導入は、ヒアリングシートの記入と提出、セキュリティプラットフォームの構築、DNS情報の変更の順に進みます。検知モードの運用中に集めたログを分析し、保護対象ごとの運用ポリシーを作成して、遮断モードへ滑らかに切り替えられるようサポートします。API保護やボット対策も備えた製品です。
Radware Products
- 未知の脅威や巧妙化するWeb攻撃に対応できる高い防御性能
- AI活用による分析や運用の自動化で運用負荷を軽減
- 大規模攻撃にも対応するグローバル防御基盤
株式会社日立ソリューションズが提供する「Radware Products」は、導入時にシグネチャの適用と学習を行ってから運用に入るクラウド型のWAAPソリューションです。WAFにDDoS対策、Bot管理、API保護を統合したサービスで、導入は主にDNSの設定変更で行え、業務への影響を抑えながら短時間で進められます。導入時には15,000以上のシグネチャを適用したうえで学習を行い、推奨設定が提供されます。WebサイトだけでなくAPIも守る構成を検討する企業の選択肢です。
Cloudbric WMS for AWS WAF
- 世界的な専門機関で証明された高度な攻撃検知能力
- 24時間365日モニタリングとエキスパートによる充実したサポート
- 運用負荷の軽減とコストの削減
ペンタセキュリティ株式会社が提供する「Cloudbric WMS for AWS WAF」は、導入時の誤検知対策を重視した、AWS WAFの導入・運用管理サービスです。導入フェーズでは、WAFの追加で起こり得る誤検知や過剰検知に、2週間のカウントモード運用で対応します。運用フェーズではログをリアルタイムで監視し、24時間365日のサポートが付きます。AWS上のサイトにWAFを構築し、運用までまとめて任せたい企業向けです。
国産クラウド型WAF「Scutum（スキュータム）」
- 2009年から進化を続ける、Scutum独自の検知・防御性能
- 重大な脆弱性に24時間以内で対応してきた豊富な実績
- 導入後のWAF運用も、専門チームが継続してサポート
株式会社セキュアスカイ・テクノロジーが提供する国産クラウド型WAF「Scutum（スキュータム）」は、研究・開発から実装、運用までを国内の技術チームが一貫して行うクラウド型のWAFです。導入後のルール更新、チューニング、誤検知への対応を専門チームが支援します。複数サイトを1画面で管理できる統合管理コンソールや、SSL/TLS証明書の自動更新機能（オプション）もあり、構築後の管理作業を整理しやすい製品です。
BLUE Sphere
- WAF/DDoS防御/DNS監視/サイバー保険がオールインワン
- ドメイン無制限で複数サイトを１つの契約で守る！
- 三井住友海上火災保険「サイバープロテクター」が無償で付帯！
株式会社アイロバが提供する「BLUE Sphere」は、1契約で複数のWebサイトをまとめて保護できるクラウド型のセキュリティサービスです。WAFとDDoS防御、DNSハイジャック監視、サイバー保険の付帯をまとめて利用でき、1社1契約で登録できるWebサイトは無制限です。複数のドメインを持つ企業でも、サイトごとに契約を分ける必要がありません。ヘルプデスクが導入から運用開始後の設定変更まで無償でサポートします。
TrustShelter （NTTテクノクロス株式会社）
- WAF・DDoS 防御・CDN・Bot 対策をオールインワンで提供。
- DNS設定のみで導入可能、既存環境に影響なく迅速に開始。
- 9 Tbps超帯域とSLA99.999%で高可用性。
Barracuda Web Application Firewall （バラクーダネットワークスジャパン株式会社）
- スピーディーで高い防御性能で安心のセキュリティ
- 使いやすく充実した機能・インタフェース
- 豊富なモデルで小規模でも導入しやすい！
InfoCage SiteShell （日本電気株式会社）
- NECのセキュリティーインテリジェンスを活かした高い検知性能！
- 環境・ニーズに合わせて最適な導入形態を選べる！
- ソフトウェア型で導入/運用が容易！コストもリーズナブル！
F5 Advanced Web Application Firewall （エフファイブ・ネットワークス・ジャパン合同会社）
- 米大手企業など豊富な導入実績を持つグローバル企業が提供！
- 独自の技術を活かして最新のサイバー攻撃からも防御！
- 導入オプションが豊富！組織のニーズに合わせて利用できる
Impervaアプリケーション・セキュリティ （株式会社Imperva Japan）
- フル機能のセキュリティであらゆるサイバー攻撃から防御！
- さまざまなサイバー攻撃を高度に分析し、セキュリティに反映！
- クラウド型/ゲートウェイ型からWAFの形式を選択可能！
App&APIProtector （Akamai Technologies, Inc.）
- 自動チューニングとワンクリック更新で防御力を維持。
- ボット、DDoS、OWASP Top 10の脅威をリアルタイムで検知・緩和。
- DevOps環境へCI/CDやAPI統合で導入容易。
AIONCLOUD （株式会社 モニタラップ）
- Webサイト・アプリ・APIをクラウドWAFで保護
- 世界15地域・40のデータセンターで展開
- ゼロトラストモデルに基づく安全なアクセスを提供
まとめ
WAFの構築は、保護対象の洗い出しと構築形態の選択、役割分担を決めたうえで、検証環境での確認、検知モードでの試験運用、遮断モードへの切り替えという順に進めるのが基本です。DNSや証明書の設定、正常な通信の遮断、性能の低下といったつまずきにも備えておきましょう。外部に依頼する範囲を切り分けると、負担を抑えて構築できます。構築の支援体制も含めてWAFを比較したい方は、資料請求を活用してください。
