ITトレンドがおすすめする製品・サービス
- ■運用体制別
- 運用や監視を提供会社に任せたい場合：Ray-SOC WAF、Cloudbric WMS for AWS WAF、Cloudbric WAF+、攻撃遮断くん(株式会社サイバーセキュリティクラウド)、国産クラウド型WAF「Scutum（スキュータム）」
- 除外URLやIP制限を管理画面から自社で調整する場合：BLUE Sphere、国産クラウド型WAF「Scutum（スキュータム）」
- 検知のみで運用を始めたい場合：Cloudbric WMS for AWS WAF、Cloudbric WAF+、国産クラウド型WAF「Scutum（スキュータム）」
WAFで対処できる範囲の限界
WAFは万能な対策ではなく、対象とする攻撃と、そうでない攻撃があります。まず、WAFに期待できる役割と、頼りすぎた場合のリスクを確認しましょう。
WAFが対象とする攻撃の範囲
WAFは、Webアプリケーションを狙った攻撃からの保護を目的とするセキュリティ対策です。IPAの資料では、SQLインジェクションやクロスサイトスクリプティングなどの脅威が対象として示されています。
ネットワークの出入口でIPアドレスやポートを制御するファイアウォールとは異なり、WAFはHTTPの通信内容を検査します。ただし、検査できる範囲や攻撃の種類は製品によって異なるため、自社のサイトで想定する攻撃に対応しているかを確認する必要があります。サイトに会員登録や決済の画面がある場合は、その画面も検査の対象にできるかを見ておきましょう。
正規の通信に似た攻撃への対処の難しさ
通信の内容だけでは、攻撃か正常な操作かを判断しにくい場合があります。
例えば、盗まれた認証情報を使ったログインは、通信の形が正規の利用者に近く、パターンの照合だけでは見分けにくい場合があります。ログインの試行回数を制限する設定など、WAFの機能と、アプリケーション側の対策を組み合わせて対処することが大切です。
脆弱性の修正を後回しにするリスク
IPAの「安全なウェブサイトの作り方」は、脆弱性への対策を、根本的な解決と、攻撃の影響を軽くする保険的な対策に分けています。WAFは後者に位置づけられています。
この資料では、保険的な対策だけに頼ることは推奨されていません。脆弱性を直さずにWAFだけで済ませると、WAFの設定漏れや回避があったときに、攻撃の影響を受けるおそれがあります。修正と併用する前提で導入しましょう。修正に時間がかかる場合の一時的な対策として使う、という位置づけも有効です。
運用で生じるWAFのリスク
WAFは導入後の設定と調整によって、効果が左右されます。運用で起こりうる問題を、3つの場面に分けて見ていきます。
誤検知による正常な通信の遮断
誤検知とは、正常なリクエストを攻撃と誤って判定することです。IPAの資料でも、誤検知が発生する可能性があり、継続的なルールの調整が必要とされています。
誤検知で遮断された利用者は、購入や問い合わせの手続きを完了できなくなる場合があります。影響が出やすい画面は、入力項目が多いフォームや、特殊な記号を含む入力を受け付ける画面です。誤検知の連絡を受け付ける窓口も、あらかじめ用意しておくとよいでしょう。
検知モードのままの放置
通信を遮断せず記録だけを行う、検知のモードを備えた製品があります。誤検知を確認する目的で使いますが、そのまま長く放置すると、攻撃を遮断できない状態が続きます。
検知の記録を確認する担当者と、遮断に切り替える時期を決めておかなければ、導入しただけの状態になるおそれがあります。切り替えの条件を事前に文書化しておきましょう。例えば、一定期間の記録を確認して誤検知が見つからなくなった時点で切り替える、といった基準です。
ルール更新と見直しの停止
攻撃の手口は変化するため、ルールの更新が止まると、新しい手口に対応できなくなる場合があります。
製品によっては、提供会社がルールを更新する場合と、自社で更新する場合があります。誰が更新を確認し、いつ反映するのかを決めておかなければ、担当者の異動などで更新が止まるおそれがあります。
構成や性能に関わるWAFのリスク
WAFは、利用者とWebサーバーの間に入って通信を検査します。そのため、構成の設計によっては、サイトの表示や可用性に影響する場合があります。
通信経路に入ることによる遅延や停止
すべての通信がWAFを通る構成では、WAFの処理能力を超えたり、WAF自体に障害が起きたりすると、サイトへのアクセスに影響が出る場合があります。
障害時にWAFを経由せず通信を通す設定が用意されているかは、製品によって異なります。構成の冗長化の有無も、あわせて確認する項目です。通すと防御が外れる点も踏まえ、停止を避けるか、防御を優先するかを、事前に方針として決めておく必要があります。
暗号化された通信の検査
暗号化された通信を使うWebサイトでは、WAFで通信の内容を検査するには、暗号化を解いて確認する構成が必要になる場合があります。
その際は、証明書の管理や、復号した通信内容の扱いにも注意が必要です。設置する場所によって、必要な設定や管理の範囲が変わるため、提供会社へ導入前に構成案を確認しましょう。
設定変更が本番環境へ及ぼす影響
ルールの変更や例外の追加は、すぐに本番の通信へ反映される場合があります。誤った設定をすると、正常な通信を遮断したり、防御が弱まったりするおそれがあります。
変更前に検証できる環境があるか、変更履歴を確認できるか、元の設定に戻せるかを確認しておきましょう。重要な変更は、複数人で確認してから反映する運用が望ましいです。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でWAFの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
体制とコストの面で見落としやすいWAFのリスク
WAFは製品の費用だけでなく、運用に関わる人の手間も必要です。体制と費用の見積もりが甘いと、運用が続かなくなるおそれがあります。
運用担当者の不足
ルールの調整やログの確認には、通信や攻撃に関する知識が求められます。担当者が一人だけだと、休暇や異動で運用が止まる場合があります。複数人で状況を把握できる体制が望ましいです。
調査会社のITRは、2019年に、WAFのチューニングや運用の負荷を軽くする目的で、運用監視サービスが広がっていると分析しました。自社の人員で足りない場合は、運用を任せられるサービスも検討できます。
運用を任せる場合の責任の分け方
運用監視サービスを使う場合でも、すべてを任せきりにはできません。誤検知の判断や、例外にするページの決定には、サイトの内容を知る自社の担当者の関与が必要です。
提供会社が行う作業と、自社が行う作業を文書で分けておきましょう。夜間や休日に攻撃を検知したときの連絡先も、あらかじめ決めておくと安心です。
費用に含まれる範囲の確認
費用は、ライセンスの料金だけでなく、ルールの調整や監視、問い合わせ対応の範囲によって変わります。
初期設定の支援と、導入後の運用代行は別の内容です。どこまでが料金に含まれ、どこからが追加の費用なのかを、見積もりの段階で確認しましょう。安さだけで選ぶと、運用の作業が自社の負担となる場合があります。
WAFのリスクを抑える体制づくり
リスクをなくすことはできなくても、体制を整えれば影響を小さくできます。導入の前後で整えておきたい3つの準備を紹介します。
役割分担と連絡経路の明文化
誰がログを確認し、誰が遮断の判断をし、誰が提供会社と連絡をとるのかを、一覧にして共有します。
情報システム部門だけでなく、サイトを運営する事業部門の担当者も含めると、誤検知の影響を早く把握できます。問い合わせ窓口の担当者にも、遮断が起きた際の案内を共有しておきましょう。担当者が替わったときに引き継げるよう、役割の一覧は更新を続けましょう。
緊急時の切り戻し手順の準備
誤検知でサイトが使えなくなった場合に、すぐ元の状態へ戻す手順を用意しておきます。
設定を前の状態に戻す方法や、WAFを一時的に迂回する方法と、それを決める権限者を決めておきます。手順は検証環境などで実際に試して、手間や時間を確認しておくことが大切です。本番環境で試す場合は、利用者の少ない時間帯を選び、関係者へ事前に知らせます。
ログと通知の定期的な確認
攻撃の検知や遮断の記録を定期的に確認し、傾向や誤検知の兆しを早めに把握します。
重要な検知があったときに、担当者へ通知が届くかも確認しましょう。通知の宛先が退職者のままになっていないかなど、運用の仕組み自体を見直す機会も設けてください。見直しの時期は、四半期ごとなど、あらかじめ決めておくと忘れにくくなります。
運用リスクに備えるWAFの一覧
誤検知への対応やルール更新の担当といった運用のリスクに備えやすいよう、監視や設定の支援内容を中心に、各製品の特徴を一覧にしました。
| 製品名 | 特徴 |
|---|---|
| Ray-SOC WAF | 常時監視と誤検知のチューニングが標準の運用に含まれる |
| Cloudbric WMS for AWS WAF | AWS WAFの導入から運用までを専門家が支援し、24時間監視 |
| PrimeWAF | 攻撃状況を見える化し、導入設定から運用までサポート |
| BLUE Sphere | WAFとDDoS防御にサイバー保険を付帯。設定変更も無償で支援 |
| Cloudbric WAF+ | 検知モードで調整してから遮断へ切り替え。24時間監視付き |
| 攻撃遮断くん(株式会社サイバーセキュリティクラウド) | 24時間365日の技術サポートと、攻撃状況の管理画面を提供 |
| 国産クラウド型WAF「Scutum（スキュータム）」 | 検知のみのモニタリング機能と、誤検知対応を含む運用支援 |
運用の負担を抑えやすいWAF製品
誤検知への対応やルールの更新など、導入後に残る運用のリスクを小さくするために、監視や設定の支援内容を確認できる製品を紹介します。
Ray-SOC WAF
- 独自AIエンジンで未知の攻撃も検知・ブロック
- マネージドサービス付きなので、管理の手間はほとんど不要
- 月額3.5万円から。日本の技術チームがサポートします。
株式会社レイ・イージス・ジャパンが提供する「Ray-SOC WAF」は、担当者の不足でWAFの運用が止まるリスクに備えたい企業向けのクラウド型WAFです。Ray-SOCサービスセンターが常時監視を行い、シグネチャの更新や誤検知のチューニング、DDoS対策、月次レポートまでを標準で提供するため、利用側での運用作業が不要な設計です。導入はDNS設定の変更のみで完了します。ホワイトハッカーの知見を学習させた独自のAIエンジンで、未知の攻撃への対応も図ります。対象は従業員50名以上の企業です。
Cloudbric WMS for AWS WAF
- 世界的な専門機関で証明された高度な攻撃検知能力
- 24時間365日モニタリングとエキスパートによる充実したサポート
- 運用負荷の軽減とコストの削減
ペンタセキュリティ株式会社が提供する「Cloudbric WMS for AWS WAF」は、AWS WAFを使いながら運用の負担を抑えたい企業のためのマネージドサービスです。導入時には2週間のカウントモード運用とルールの調整で誤検知や過剰検知に対応し、運用時にはログをリアルタイムで監視・分析します。ダッシュボードで脅威を確認でき、過去3か月のデータをもとにした月次レポートはPDFで取得できます。24時間365日のサポート体制を備えています。
PrimeWAF
- Webサイトへの攻撃を見える化し、不正な通信を遮断
- 脆弱性診断のノウハウを攻撃の検知・遮断ルールに反映
- 導入時の設定から日々の運用まで、丁寧にサポート
バルテス株式会社が提供する「PrimeWAF」は、設定の不安から導入が進みにくい企業が確認したいクラウド型WAFです。導入はDNS設定の変更で行え、導入時の設定を支援し、運用中も、管理画面の使い方や設定について相談できます。検知した不正な通信の履歴はダッシュボードで確認でき、攻撃状況をまとめたレポートは社内への報告にも使えます。脆弱性診断のノウハウを防御ルールに反映している点も特徴です。1か月の無料トライアルが用意されています。
BLUE Sphere
- WAF/DDoS防御/DNS監視/サイバー保険がオールインワン
- ドメイン無制限で複数サイトを１つの契約で守る！
- 三井住友海上火災保険「サイバープロテクター」が無償で付帯！
株式会社アイロバが提供する「BLUE Sphere」は、防御に加えて被害への備えも重ねたい企業向けのセキュリティサービスです。WAFにDDoS防御とDNSハイジャック監視を組み合わせ、三井住友海上火災保険のサイバーセキュリティ保険が無償で付帯します。ヘルプデスクが導入から運用開始後の設定変更まで無償でサポートし、管理画面では特定URLの除外やIPアドレス、国別の拒否と許可を設定できます。登録できるWebサイトの数に制限はありません。
Cloudbric WAF+
- 特許取得のロジック＆AIエンジンを搭載、高い攻撃検知力
- WAF/DDoS攻撃遮断/API保護/ボット対策/Malicious IP遮断
- 24時間365日監視体制と専門家にお任せのマネージドサービス付帯
ペンタセキュリティ株式会社が提供する「Cloudbric WAF+」は、導入直後の誤検知と、遮断へ切り替える判断に備えたい企業向けのクラウド型WAFです。DNS変更後は検知モードで通信を記録し、収集したログをもとにセキュリティ運用ポリシーを作成して、遮断モードへの切り替えを支援します。24時間365日の監視体制のマネージドサービスが付き、専用コンソールで不正アクセスの検出履歴を確認できます。DDoS攻撃の遮断やAPI保護、ボット対策も備えるWAAPです。
攻撃遮断くん(株式会社サイバーセキュリティクラウド)
- あらゆる規模のWebシステムへ導入できる最適なWAFを提供。
- DDoS対策プランや定額制プランなど多数のサービスプランを提供。
- 自社開発だからできる手厚いサポート体制。
株式会社サイバーセキュリティクラウドが提供する「攻撃遮断くん(株式会社サイバーセキュリティクラウド)」は、運用の手間をかけずに24時間体制の防御を求める企業向けの国産クラウド型WAFです。シグネチャは最新の状態に更新され、攻撃の時間や攻撃元IP、種類を管理画面でリアルタイムに確認できます。導入支援からトラブル時まで、24時間365日の技術サポートを受けられます。攻撃を検知・遮断するたびに通知する防御証明メールや、サイバー保険の付帯も備えています。
国産クラウド型WAF「Scutum（スキュータム）」
- 2009年から進化を続ける、Scutum独自の検知・防御性能
- 重大な脆弱性に24時間以内で対応してきた豊富な実績
- 導入後のWAF運用も、専門チームが継続してサポート
株式会社セキュアスカイ・テクノロジーが提供する国産クラウド型WAF「Scutum（スキュータム）」は、ルールの更新や誤検知への対応を自社で抱えたくない企業が確認したい製品です。不正な通信を記録するだけで遮断しないモニタリング機能があり、検知のみで運用を始められます。ルールの更新、チューニング、誤検知への対応は専門チームが24時間365日の体制でサポートし、新たな脆弱性にも検証のうえで防御機能を更新します。特定URLの除外やIPアドレスの許可・拒否は管理画面から設定できます。
まとめ
WAFのリスクは、WAFだけでは対処しにくい攻撃があること、誤検知や設定の放置など運用面の問題、構成や体制の不備に分けて考える必要があります。WAFは脆弱性の修正と併用し、役割分担と切り戻し手順を整えて運用しましょう。製品ごとに運用の支援範囲が異なるため、資料請求で比較して選んでください。
