ITトレンドがおすすめする製品・サービス
- ■判定方式別
- 既知の攻撃パターンと照合する方式：攻撃遮断くん(株式会社サイバーセキュリティクラウド)、InfoCage SiteShell
- 正常な通信の傾向を学習して判定する方式：国産クラウド型WAF「Scutum（スキュータム）」
- 両方の方式に対応している場合：Radware Products
- ■導入の進め方別
- 検知のみで運用を始める場合：Cloudbric WMS for AWS WAF、Cloudbric WAF+、国産クラウド型WAF「Scutum（スキュータム）」
- 例外の設定を管理画面で行う場合：BLUE Sphere、攻撃遮断くん(株式会社サイバーセキュリティクラウド)、国産クラウド型WAF「Scutum（スキュータム）」
WAFが攻撃を判定する2つの方法
WAFは、Webサイトへの通信の内容を検査し、攻撃かどうかを判定します。IPAの資料では、判定の仕組みとして、ブラックリスト方式とホワイトリスト方式が紹介されています。
既知の攻撃パターンと照合する方法
ブラックリスト方式は、既知の攻撃に見られる文字列や形のパターンをあらかじめ登録し、通信と照合して、一致したものを遮断する方法です。
登録されたパターンの更新によって、新しい手口にも対応していきます。製品によっては、導入直後から検査を始められます。一方で、正常な通信がパターンに似ていると、誤検知が生じる場合があります。
正常な通信だけを許可する方法
ホワイトリスト方式は、正常な通信の形を定義し、それ以外を制限する方法です。IPAの資料では、未知の攻撃にも対応できる方式として説明されています。
サイトの画面や入力項目ごとに、受け付ける値の形を設定する必要があります。例えば、郵便番号の欄には数字だけを許可する、といった定義です。そのため、設定の手間は大きくなります。サイトの機能を変更するたびに、定義も見直さなければ、正常な通信を遮断する原因になる場合があります。
二つの方法の組み合わせ
製品によっては、両方の方式に対応し、画面ごとに使い分けられるものがあります。
例えば、更新の少ない重要な画面にはホワイトリスト方式を使い、それ以外はパターンの照合を使う方法です。どの方式に対応しているか、画面ごとに切り替えられるかは、製品によって異なるため、資料で確認しましょう。
検知のみで始めて遮断へ進める方法
WAFは、設定してすぐ遮断を有効にすると、正常な通信を止めてしまうおそれがあります。段階を踏んで進める方法が、安全な導入の基本です。
まず検知のみで通信を観察する
通信を遮断せず検知の記録だけを行う運用ができる製品があります。最初はこのモードで、実際の通信にどのような判定が出るかを観察します。
観察の期間は、サイトの利用状況によって異なります。短すぎると、まれにしか起きない誤検知を見落とすおそれがあります。月末や繁忙期など、通信の特徴が変わる時期を含めて記録を取ると、誤検知を見つけやすくなります。記録は定期的に確認する担当者を決めておきましょう。
誤検知を例外として登録する
観察で見つかった誤検知は、該当するルールや画面に対して例外を設定し、遮断の対象から外します。
一般的な流れは、発生したログの確認、該当ルールの特定、例外の追加、検証の順です。例外を広く取りすぎると防御の効果が下がるため、範囲は限定してください。例外の理由と日付を記録に残しておくと、後の見直しで役立ちます。担当者が替わった場合でも、判断の経緯をたどれる点が利点です。
遮断へ切り替える条件を決める
誤検知が一定期間見つからなくなった時点で、遮断のモードへ切り替えます。切り替えの基準は、事前に決めておくことが大切です。
切り替え直後は、問い合わせの増加や売上への影響がないかを注意して見守ります。問題が出た場合にすぐ検知のモードへ戻せるよう、手順と担当者を決めておきましょう。切り替えは、利用者の少ない時間帯に実施するのが望ましいです。
画面や攻撃の種類に応じた設定の調整
サイトの画面ごとに、受け付ける入力や狙われやすさは異なります。画面の特性に応じて設定を調整すると、防御と使い勝手の両立を図れます。
入力を受け付ける画面の洗い出し
攻撃の入り口になりやすいのは、利用者が文字を入力する画面です。会員登録、ログイン、問い合わせ、検索、決済などの画面を一覧にします。
一覧には、画面のURL、入力項目、扱う情報の重要度を記載します。この一覧があると、重点的に守る画面と、例外を設ける画面を整理でき、設定の判断が速くなります。サイトを改修したときは一覧も更新しましょう。更新を忘れると、新しい画面が保護の対象から漏れるおそれがあります。
攻撃別のルール設定の考え方
IPAの資料では、WAFの対象となる脅威として、SQLインジェクションとクロスサイトスクリプティングが示されています。
SQLインジェクションは、入力欄からデータベースへの命令を不正に紛れ込ませる攻撃です。クロスサイトスクリプティングは、悪意のあるスクリプトを画面に埋め込む攻撃です。どのルールで対処するかは、製品の説明資料で確認し、自社の画面にあうかを検証しましょう。検証には、本番と同じ構成の確認用の環境を使うと安心です。
重要な画面への重点的な設定
管理画面や決済画面のように、被害が大きくなる画面は、WAFの設定を厳しくします。
管理画面へのアクセスを、特定のネットワークだけに限定する方法もあります。ただし、設定を厳しくするほど、正常な利用が止まる可能性も高まります。重要な画面ほど、検知のみの期間を十分に取って、影響を確認してから切り替えましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でWAFの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
WAFと併用したい補完策
WAFだけですべての攻撃に対処することは難しいため、ほかの対策と組み合わせる必要があります。IPAの資料にもとづいて、併用したい対策を確認します。
脆弱性の修正
IPAの「安全なウェブサイトの作り方」では、脆弱性への対策を、根本的な解決と、攻撃の影響を軽くする保険的な対策に分けています。WAFは後者に位置づけられます。
根本的な解決は、脆弱性を作り込まないように実装することです。WAFは、脆弱性の修正に時間がかかる間の対策としても役立ちます。修正の計画とあわせてWAFを運用しましょう。
更新プログラムの適用
OSやミドルウェア、Webアプリケーションの部品に脆弱性が見つかったときは、更新プログラムを適用して修正します。
WAFで攻撃を遮断できていても、更新を後回しにしてよい理由にはなりません。適用の担当者と頻度を決め、更新の前後で正常に動くかを確認する手順も整えましょう。
ログの確認と記録の保管
WAFが検知した攻撃や遮断の記録は、定期的に確認して、攻撃の傾向や誤検知の兆しを把握します。
記録の保管期間や、必要なときに取り出せる形式かも確認しましょう。通知の宛先と確認の頻度を決めておくと、重要な検知を見逃しにくくなります。担当者の異動に備えて、確認の手順は文書にしておきます。ログの量が増える場合に備え、保管の容量や費用も確認しておくと安心です。
設置方式ごとの導入の進め方
WAFには設置の方式があり、導入時の作業や必要な体制が異なります。IPAの資料では、ソフトウェア型、アプライアンス型、クラウド型の三つが示されています。
ソフトウェア型の導入
ソフトウェア型は、Webサーバーなどにソフトウェアを導入して使う方式です。
サーバーの台数分の導入や設定が必要になる場合があります。サーバーの処理に影響が出ないか、サイトの運用環境で性能を確認する必要があります。自社でサーバーを管理している場合に、選択肢となります。サーバーの構成を変える際は、WAFの設定もあわせて見直す必要があります。
アプライアンス型の導入
アプライアンス型は、専用の機器をネットワークに設置して、通信を検査する方式です。
複数のサーバーへの通信をまとめて検査できる構成もあります。機器の設置や、ネットワーク構成の変更が必要になる場合があるため、情報システム部門との調整が欠かせません。障害時の通信の扱いも、導入前に確認しておきましょう。機器の保守の範囲や、交換にかかる期間も確認項目です。
クラウド型の導入
クラウド型は、クラウド上で提供されるサービスとして、WAFを利用する方式です。
自社で機器やソフトウェアを用意する必要が少なく、導入の手間を抑えられる場合があります。通信がサービスを経由するよう、ネットワークの設定を変更する場合があるため、手順と切り戻しの方法を提供会社に確認してください。
攻撃対策の進め方で選ぶWAFの一覧
通信の判定方式と、検知のみから始められるか、例外を管理画面で設定できるかといった点を比べられるよう、各製品の特徴を一覧にしました。
| 製品名 | 特徴 |
|---|---|
| Radware Products | シグネチャとAI・機械学習のポジティブセキュリティを併用 |
| Cloudbric WMS for AWS WAF | 2週間のカウントモードで誤検知を確認し、ルールを調整 |
| BLUE Sphere | 管理画面で特定URLの除外やIP・国別の許可と拒否を設定 |
| Cloudbric WAF+ | 検知モードで集めたログから運用ポリシーを作り遮断へ移行 |
| 攻撃遮断くん(株式会社サイバーセキュリティクラウド) | 最新のシグネチャで検知・遮断。ホワイトリスト登録に対応 |
| 国産クラウド型WAF「Scutum（スキュータム）」 | シグネチャとAI型エンジンを併用。検知のみの運用も可能 |
| InfoCage SiteShell | NECが収集した脆弱性対策パッケージを使うソフトウェア型WAF |
| Barracuda Web Application Firewall | リバースプロキシ、ワンアーム、ブリッジの3構成から選べる |
判定方式と設定のしやすさで見るWAF
通信の判定方式や、検知のみから始められるか、例外を管理画面で設定できるかといった点に着目して、攻撃対策を進めやすい製品を紹介します。
Radware Products
- 未知の脅威や巧妙化するWeb攻撃に対応できる高い防御性能
- AI活用による分析や運用の自動化で運用負荷を軽減
- 大規模攻撃にも対応するグローバル防御基盤
株式会社日立ソリューションズが提供する「Radware Products」は、既知の攻撃と未知の攻撃の両方を判定する方式を知りたい場合に確認したいクラウド型WAAPです。シグネチャによるネガティブセキュリティと、AI・機械学習を活用したポジティブセキュリティを組み合わせ、導入時には15,000以上のシグネチャを適用したうえで学習を行います。導入は主にDNSの設定変更で行えます。DDoS対策、Bot管理、API保護も一つのサービスで提供します。
Cloudbric WMS for AWS WAF
- 世界的な専門機関で証明された高度な攻撃検知能力
- 24時間365日モニタリングとエキスパートによる充実したサポート
- 運用負荷の軽減とコストの削減
ペンタセキュリティ株式会社が提供する「Cloudbric WMS for AWS WAF」は、通信を遮断せずにカウントして様子を見る進め方を取り入れやすいサービスです。導入フェーズでは、2週間のカウントモード運用とルールの調整で誤検知や過剰検知に対応します。BlackList IPやWhiteList IP、GeoIP、レートリミットはWebACLの設定として、管理画面から扱えます。SQLインジェクションやクロスサイトスクリプティングなどの攻撃にも対応しています。
BLUE Sphere
- WAF/DDoS防御/DNS監視/サイバー保険がオールインワン
- ドメイン無制限で複数サイトを１つの契約で守る！
- 三井住友海上火災保険「サイバープロテクター」が無償で付帯！
株式会社アイロバが提供する「BLUE Sphere」は、誤検知が出た画面を除外するなど、例外の設定を管理画面で行いたい企業が確認したい製品です。特定URLの除外のほか、特定IPアドレスの拒否と許可、国別のアクセスの拒否と許可を設定でき、ログや攻撃状況のモニタリング、レポートの表示にも対応します。OWASP Top 10のすべての項目に対応するとしており、論理基盤型の検知エンジンでゼロデイ攻撃にも対応します。
Cloudbric WAF+
- 特許取得のロジック＆AIエンジンを搭載、高い攻撃検知力
- WAF/DDoS攻撃遮断/API保護/ボット対策/Malicious IP遮断
- 24時間365日監視体制と専門家にお任せのマネージドサービス付帯
ペンタセキュリティ株式会社が提供する「Cloudbric WAF+」は、検知から遮断へ段階的に進める方法を、サービスとして支援する製品です。DNS変更後は検知モードで運用し、収集した検知ログをもとに保護対象ごとのセキュリティ運用ポリシーを作成して、遮断モードへ切り替えます。従来型のシグネチャではなく、論理演算検知エンジンとAIエンジンで判定する点が特徴です。DDoS攻撃の遮断やAPI保護、ボット対策も備えます。
攻撃遮断くん(株式会社サイバーセキュリティクラウド)
- あらゆる規模のWebシステムへ導入できる最適なWAFを提供。
- DDoS対策プランや定額制プランなど多数のサービスプランを提供。
- 自社開発だからできる手厚いサポート体制。
株式会社サイバーセキュリティクラウドが提供する「攻撃遮断くん(株式会社サイバーセキュリティクラウド)」は、既知の攻撃パターンとの照合による検知と遮断を、提供会社に任せたい場合の国産クラウド型WAFです。シグネチャは常に最新の状態へ更新され、24時間365日で攻撃を検知・遮断します。ホワイトリストに登録したIPアドレスは検知対象外にでき、攻撃を遮断するたびに防御証明メールで通知されます。個別シグネチャのカスタマイズも、要望に応じて対応するオプションとして用意されています。
国産クラウド型WAF「Scutum（スキュータム）」
- 2009年から進化を続ける、Scutum独自の検知・防御性能
- 重大な脆弱性に24時間以内で対応してきた豊富な実績
- 導入後のWAF運用も、専門チームが継続してサポート
株式会社セキュアスカイ・テクノロジーが提供する国産クラウド型WAF「Scutum（スキュータム）」は、パターンの照合とAIによる判定を併用する方式を確認したい場合の製品です。ベイジアンネットワークによる攻撃か正常かの分類と、サイトごとの正常通信の傾向を抽出するアノマリ検知を組み合わせ、シグネチャだけに依存しない判定を行います。不正な通信を記録するだけで遮断しないモニタリング機能があり、検知のみで運用を始められます。特定URLの除外やIPアドレスの拒否・許可も管理画面から設定できます。
InfoCage SiteShell （日本電気株式会社）
- NECのセキュリティーインテリジェンスを活かした高い検知性能！
- 環境・ニーズに合わせて最適な導入形態を選べる！
- ソフトウェア型で導入/運用が容易！コストもリーズナブル！
Barracuda Web Application Firewall （バラクーダネットワークスジャパン株式会社）
- スピーディーで高い防御性能で安心のセキュリティ
- 使いやすく充実した機能・インタフェース
- 豊富なモデルで小規模でも導入しやすい！
まとめ
WAFで攻撃を防ぐ方法は、通信を判定して攻撃を遮断する仕組みを理解し、検知のみから遮断へ段階的に進めることです。画面ごとの設定を調整し、脆弱性の修正や更新プログラムの適用と併用しましょう。設置方式や判定方式は製品によって異なるため、資料請求で比較して選んでください。
