ITトレンドがおすすめする製品・サービス
- ■提供形態別
- クラウド型：Ray-SOC WAF、Cloudbric WMS for AWS WAF、Cloudbric WAF+、攻撃遮断くん(株式会社サイバーセキュリティクラウド)、国産クラウド型WAF「Scutum（スキュータム）」
- アプライアンス型：F5 Advanced Web Application Firewall、Barracuda Web Application Firewall、ImpervaWAF
- ソフトウェア型：F5 Advanced Web Application Firewall、InfoCage SiteShell
- 運用監視サービスが付いている場合：Ray-SOC WAF、Cloudbric WMS for AWS WAF、Cloudbric WAF+、攻撃遮断くん(株式会社サイバーセキュリティクラウド)、国産クラウド型WAF「Scutum（スキュータム）」
WAFが求められるようになった背景
WAFは、Webアプリケーションの弱点を狙う攻撃に対応するために生まれた対策です。まず、既存のネットワーク対策との違いと、WAFが必要とされる理由を整理します。
Webアプリケーションを狙う攻撃の存在
Webサイトでは、入力欄や検索機能などを通じて、利用者が情報を送ります。この仕組みの弱点を突く攻撃として、SQLインジェクションやクロスサイトスクリプティングが知られています。
IPAの資料でも、WAFはこうした攻撃から、Webアプリケーションを保護する対策として説明されています。攻撃を受ける入り口が、サーバーの設定ではなくアプリケーションの内部にある点が特徴です。そのため、アプリケーションの通信を直接検査する対策が求められました。
ネットワーク型ファイアウォールとの役割の違い
ネットワーク型のファイアウォールは、IPアドレスやポート番号をもとに、通信を許可するか遮断するかを制御します。
一方、WAFはHTTPの通信の内容を検査します。同じWebサイトへの通信でも、正常な入力と攻撃の入力はポート番号では区別できないため、内容を見る仕組みが必要になりました。二つは役割が異なるため、置き換えではなく併用して使われます。
脆弱性の修正に時間がかかる場合の対策
脆弱性が見つかっても、システムの改修や検証には時間がかかる場合があります。
IPAの資料では、脆弱性の修正が済むまでの間、IDSやIPS、WAFを導入して攻撃の影響を軽減する方法が示されています。この位置づけは、現在でもWAFを検討する際の前提として参考となります。修正の計画とあわせて、WAFの役割を考えることが大切です。
IPAの資料に見るWAF導入の整理の歩み
WAFを導入する際の考え方は、IPAが公開してきた資料で段階的に整理されてきました。公開された時期ごとに、内容を確認します。
2010年のWAF読本の公開
IPAは2010年2月16日に「Web Application Firewall読本」を公開しました。サイトの運営者がWAFを導入する際の参考となる解説資料です。
資料では、脆弱性への対策、WAFの基本的な考え方や機能、導入の検討から運用までの流れが扱われています。WAFの導入を、運営者が自ら検討するための基礎資料として位置づけられました。専門の担当者がいない場合にも、全体像をつかむ手がかりとなります。
2011年の改訂第2版
2011年2月28日には、「Web Application Firewall読本」の改訂第2版が公開されました。
改訂第2版には、オープンソースのWAFであるModSecurityを使ったIPAの導入事例も掲載されています。付録には、オープンソースと商用の製品の一覧が示されています。導入の流れを具体的にたどれる資料として、現在もIPAのサイトで参照できます。内容は公開当時のものであるため、最新の状況は別途確認してください。選定の前に目を通しておくと、用語や考え方を理解しやすくなります。
2019年の導入に向けた検討項目
IPAは2019年3月28日に、「Web Application Firewallの導入に向けた検討項目」を公開しました。読本の補足として位置づけられた資料です。
どのような種類の製品やサービスがあるか、それぞれの特徴の違い、運用に必要な体制などが整理されています。選定時の判断材料を示す資料です。
提供形態の広がりと市場調査から見る変化
WAFの提供形態は、年を追って広がってきました。IPAの資料と調査会社の公表情報から、その変化を確認します。
三つの提供形態の整理
IPAの資料では、WAFの設置方式として、ソフトウェア型、アプライアンス型、クラウド型が示されています。
ソフトウェア型はサーバーに導入する方式で、アプライアンス型は専用の機器をネットワークに設置する方式です。クラウド型は、クラウド上で提供されるサービスとして利用する方式です。それぞれ、導入の作業や運用の体制が異なります。どの形態が自社にあうかは、サーバーの管理体制や既存の構成によって変わります。
運用監視サービスの市場の推移
調査会社のアイ・ティ・アール（ITR）は、2019年10月24日に、国内のWAF運用監視サービス市場の調査結果を発表しました。
2018年度の売上金額は93億6,000万円で、前年度から18.2%増加しました。2019年度は前年度から15.7%増の108億円が見込まれると報告されています。市場が伸びた背景として、チューニングや運用の負荷の軽減、クラウド型サービスの普及などが挙げられています。
市場の数字を読むときの注意
この数字は、WAF製品の市場全体ではなく、運用監視サービスに限った調査です。2019年度の値は、調査時点の見込みです。
公表から時間が経っているため、現在の市場規模を示すものではありません。市場の傾向を知る手がかりにとどめ、最新の情報は、各調査会社の公表資料で確認してください。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でWAFの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
運用面の課題として語られてきたこと
WAFの歴史では、導入の方法だけでなく、運用の難しさも繰り返し取り上げられてきました。公的な資料や調査から、主な論点を整理します。
誤検知とルールの調整
IPAの資料では、正常なリクエストを攻撃と誤って判定する誤検知が発生する可能性があり、継続的なルールの調整が必要とされています。
検出の精度を高めるために、運用を始めたあとも調整を続けることが前提です。この考え方は、導入時の設定だけでなく、日々の運用の体制を準備する必要性につながっています。
運用負荷の軽減へのニーズ
ITRの調査では、WAFの運用監視サービスが拡大した理由の一つに、企業内でのチューニングや運用の負荷の軽減が挙げられています。
WAFの導入後に必要となる作業が、自社だけでは負担となるケースがあることがうかがえます。運用を任せる場合の範囲と費用は、製品ごとに異なるため、導入前の確認が欠かせません。見積もりの際は、設定や監視、報告の内容を具体的に尋ねましょう。報告の頻度や形式も、確認しておきたい項目です。
保険的な対策という位置づけ
IPAの「安全なウェブサイトの作り方」では、脆弱性への対策を、根本的な解決と、攻撃の影響を軽くする保険的な対策に分けています。改訂第7版は2021年3月に公開されました。
WAFは、保険的な対策に位置づけられています。保険的な対策だけに頼ることは推奨されておらず、脆弱性の修正と併用する考え方が示されています。この位置づけは、WAFの役割を理解する際の基本です。
歴史を踏まえたWAFの見方
これまでの流れから、製品を比較する際に意識したい点が見えてきます。三つのポイントを紹介します。
公的な資料で前提を確認する
WAFの役割や限界は、IPAの資料で確認できます。製品の説明資料を読む前に、公的な資料で前提を押さえておくと、説明の内容を判断しやすくなります。
特に、WAFが対象とする攻撃の範囲と、脆弱性の修正との関係は、読んでおきたい部分です。資料は更新されることがあるため、最新の版を参照してください。公開日が古い資料は、新しい資料と照らして読むと安心です。
提供形態ごとの運用範囲を確認する
提供形態によって、導入の作業や日々の運用で自社が担う範囲は異なります。
クラウド型でも、ルールの調整を自社が行う製品と、提供会社が行う製品があります。資料請求の際は、設定や監視、誤検知の対応を、どこまで提供会社が担うのかを確認しましょう。
最新の情報を確認する
この記事で紹介した資料には、公開から年数が経っているものがあります。
攻撃の手口や製品の機能は変化するため、導入を検討する際は、各製品の最新の説明資料やデモで確認することが大切です。IPAなどの公的機関の新しい資料も、あわせて参照してください。
提供形態別に見るWAF製品の一覧
クラウド型、アプライアンス型、ソフトウェア型といった提供形態と、運用監視サービスの有無を見比べられるよう、各製品の特徴を一覧にしました。
| 製品名 | 特徴 |
|---|---|
| Ray-SOC WAF | クラウド型。常時監視と誤検知対応が標準の運用に含まれる |
| Cloudbric WMS for AWS WAF | AWS WAFの導入から運用までをエキスパートが支援するサービス |
| Cloudbric WAF+ | クラウド型のWAAP。24時間365日の監視付きマネージドサービス |
| 攻撃遮断くん(株式会社サイバーセキュリティクラウド) | 国産のクラウド型WAF。24時間365日の技術サポート付き |
| 国産クラウド型WAF「Scutum（スキュータム）」 | 国産のクラウド型WAF。国内の専門チームが運用まで支援 |
| F5 Advanced Web Application Firewall | ソフトウェア、SaaS、パブリッククラウド、ハードウェアで提供 |
| InfoCage SiteShell | Webサーバーに導入するNECのソフトウェア型WAF |
| Barracuda Web Application Firewall | オンプレミスやクラウドで使えるアプライアンス型のWAF |
| ImpervaWAF | SaaSやアプライアンスなど複数の提供形態を選べるWAF |
提供形態の広がりを映すWAF製品
WAFはクラウド型、アプライアンス型、ソフトウェア型と提供形態が広がってきました。それぞれの形態に当たる製品と、運用監視サービスを備えた製品を紹介します。
Ray-SOC WAF
- 独自AIエンジンで未知の攻撃も検知・ブロック
- マネージドサービス付きなので、管理の手間はほとんど不要
- 月額3.5万円から。日本の技術チームがサポートします。
株式会社レイ・イージス・ジャパンが提供する「Ray-SOC WAF」は、運用監視サービス付きのクラウド型として、提供形態の流れに沿って確認できる製品です。専用ハードウェアが不要で、導入はDNS設定の変更のみで完了します。Ray-SOCサービスセンターが常時監視を行い、誤検知のチューニングやDDoS対策、月次レポートまで標準で提供します。独自のAIエンジンで、ゼロデイ攻撃などの未知の攻撃にも対応します。対象は従業員50名以上の企業です。
Cloudbric WMS for AWS WAF
- 世界的な専門機関で証明された高度な攻撃検知能力
- 24時間365日モニタリングとエキスパートによる充実したサポート
- 運用負荷の軽減とコストの削減
ペンタセキュリティ株式会社が提供する「Cloudbric WMS for AWS WAF」は、クラウド上のAWS WAFを、専門家の運用支援と組み合わせて使えるサービスです。AWS認定ソフトウェアで、AWS WAFレディプログラムのローンチパートナーとして紹介されています。導入時は2週間のカウントモード運用で誤検知に対応し、運用時はログをリアルタイムで監視します。24時間365日のサポート体制で、月次レポートはPDFで取得できます。
Cloudbric WAF+
- 特許取得のロジック＆AIエンジンを搭載、高い攻撃検知力
- WAF/DDoS攻撃遮断/API保護/ボット対策/Malicious IP遮断
- 24時間365日監視体制と専門家にお任せのマネージドサービス付帯
ペンタセキュリティ株式会社が提供する「Cloudbric WAF+」は、運用を専門家に任せるマネージドサービス付きのクラウド型WAFです。自社開発の論理演算検知エンジンとAIエンジンを搭載し、日本、韓国、米国など5か国で特許を取得したと紹介されています。24時間365日の監視体制で、DDoS攻撃の遮断、API保護、ボット対策までを備えたWAAPとして提供されます。導入はDNS情報の変更のみで、無償トライアルも用意されています。
攻撃遮断くん(株式会社サイバーセキュリティクラウド)
- あらゆる規模のWebシステムへ導入できる最適なWAFを提供。
- DDoS対策プランや定額制プランなど多数のサービスプランを提供。
- 自社開発だからできる手厚いサポート体制。
株式会社サイバーセキュリティクラウドが提供する「攻撃遮断くん(株式会社サイバーセキュリティクラウド)」は、Webサーバーだけでなく、メールサーバーやFTPサーバーなどインターネットにつながるサーバー全般も提供対象とする国産のクラウド型WAFです。24時間365日の技術サポートと、攻撃を遮断するたびに通知する防御証明メール、管理画面でのリアルタイムの可視化を備えます。最短1か月から利用できるプランや、DDoS対策のプランも用意されています。
国産クラウド型WAF「Scutum（スキュータム）」
- 2009年から進化を続ける、Scutum独自の検知・防御性能
- 重大な脆弱性に24時間以内で対応してきた豊富な実績
- 導入後のWAF運用も、専門チームが継続してサポート
株式会社セキュアスカイ・テクノロジーが提供する国産クラウド型WAF「Scutum（スキュータム）」は、国内の技術チームが研究や開発から運用まで一貫して対応している点が特徴です。2013年にベイジアンネットワーク、2017年にアノマリ検知を導入するなど、AI型WAFエンジンの改良を続けてきました。ルールの更新やチューニング、誤検知への対応は、24時間365日の運用体制でサポートされます。DDoS対策サービスや月次レポート、統合管理コンソールがオプションなどで用意されています。
F5 Advanced Web Application Firewall （エフファイブ・ネットワークス・ジャパン合同会社）
- 米大手企業など豊富な導入実績を持つグローバル企業が提供！
- 独自の技術を活かして最新のサイバー攻撃からも防御！
- 導入オプションが豊富！組織のニーズに合わせて利用できる
InfoCage SiteShell （日本電気株式会社）
- NECのセキュリティーインテリジェンスを活かした高い検知性能！
- 環境・ニーズに合わせて最適な導入形態を選べる！
- ソフトウェア型で導入/運用が容易！コストもリーズナブル！
Barracuda Web Application Firewall （バラクーダネットワークスジャパン株式会社）
- スピーディーで高い防御性能で安心のセキュリティ
- 使いやすく充実した機能・インタフェース
- 豊富なモデルで小規模でも導入しやすい！
ImpervaWAF （株式会社Imperva Japan）
- Gartner® Magic Quadrant™で8年連続リーダー
- 誤検知ほぼゼロで、正確な脅威を検知。
- SaaS、アプライアンスなど柔軟な導入が可能
まとめ
WAFの歴史は、IPAが2010年にWAF読本を公開し、2011年の改訂第2版、2019年の導入に向けた検討項目へと、導入の考え方が整理されてきた流れです。提供形態は、クラウド型を含めて広がり、運用の負荷も課題として語られてきました。歴史を踏まえ、運用範囲を確認しながら、資料請求で製品を比較してみてください。
