WAFとは
WAF（web application firewall）とは外部ネットワークからWebアプリケーションを守るためのセキュリティ製品です。ファイアウォールの一種で、Webアプリケーションのやり取りを検知・管理することで不正侵入を防御します。
Webアプリケーションはインターネットバンキングやネットショップなどで利用され、通常の企業サイトには関係ないと思われがちです。しかしWordPressやDrupalなど多くの企業サイトの構築に利用されているCMSも攻撃の対象となっています。
実際にサイト改ざんやユーザー情報の漏えいなど被害を受ける企業サイトは多く、これらの攻撃の防御対策としてWAFは必須アイテムとなっているのです。
WAFで防御可能な攻撃とは
次に、WAFがどういった攻撃を防御できるのかを具体的に見ていきましょう。
パスワードリスト攻撃
多くの人が複数サイトで同じログインID・パスワードを使っている状況を悪用し、他のサイトで入手したログイン情報を当て込み、不正にログインする攻撃です。この攻撃により、クレジットカード情報の流出や会員情報の流出など、企業の信用に関わる問題を引き起こします。
WAFでパスワードリスト攻撃を防御する方法については以下の記事を参考にしてみてください。
XSS（クロスサイトスクリプティング）攻撃
XSS（クロスサイトスクリプティング）攻撃は、掲示板や入力フォームのあるサイトに、不正なスクリプトを挿入し、マルウェアに感染させるサイトに誘導する攻撃です。これはWebサイトの脆弱性につけこんだ攻撃のため、WAFで防御できます。
XSSをWAFで防御する方法については以下の記事をご覧ください。
SQLインジェクション攻撃
データベースと連動するWebサイト・Webアプリケーション上でWebサイトに設置された入力フィールドにSQL文を入力するなど特定のコマンドを実行させ、データベースを操作する攻撃です。この攻撃によりデータベースの中にあるユーザー情報などを窃盗します。
SQLインジェクションも、Webサイトの脆弱性を利用した攻撃の一種であるため、WAFを活用することで防御できます。SQLインジェクション対策をしたい方は以下の記事を参考にしてみてください。
ディレクトリ・トラバーサル（パストラバーサル）
ファイル名を扱うようなプログラムに対して特殊な文字列を組み込みディレクトリ（フォルダ）を遡ることで、本来はアクセスが禁止されているディレクトリにアクセスします。また攻撃者は非公開のディレクトリにアクセスすることで個人情報や機密情報の窃盗を行います。
ディレクトリトラバーサルについてさらに詳しく知りたい方は以下の「Zip Slip」に関する記事を参考にしてみてください。
DoS攻撃、DDoS攻撃
DoS攻撃、DDoS攻撃は、WebサイトやWebサーバの機能を停止させたり、攻撃を目的として不正にポートスキャンを行うものです。攻撃者の目的によっては長期間のサイト表示停止に追い込まれる危険もあります。
これらの攻撃については以下の記事で解説していますのでぜひ参考にしてみてください。
POODLE攻撃
POODLE攻撃は脆弱性を悪用することで攻撃者はパスワードやクッキーにアクセスしWebサイト上にあるユーザーの個人情報を窃盗します。
このPOODLE攻撃による大きな被害は報告されていませんが、日々新種、亜種のウィルスやサイバー攻撃が発生する現代において、常に最新体制で防御することは大切です。特にWebサイトやWebサーバを狙う攻撃が増えている以上、WAFによる防御対策をしっかり行うことは企業としての重要な責務であるともいえます。
ここまで、WAFで防御できる防御できる攻撃について紹介してきましたが、実はWebアプリケーションの防御で圧倒的な強さを発揮するWAFでも防げない攻撃があります。以下の記事ではWAFでも防げない攻撃について解説していますので、WAFが完璧でないことも知った上で、対策を立てていきましょう。
WAFを利用してセキュリティを向上させよう！
これまでWAFで防げる攻撃について確認してきました。ファイアウォールを発祥とするWAFですが、その機能の豊富さや防御範囲の広さから、今ではすべての企業に必須のセキュリティアイテムと言えるでしょう。
WAFの導入を検討される方は、まず資料請求を行い、製品について知った上で自社の現状を把握し、自社にあった製品を導入するようにしましょう。
