今更聞けない、WAFの基礎知識

WAFとは?

WAFとは、従来のファイアウォールやIPSでは防御することができずに、すり抜けてきた攻撃を防ぐことができるものです。特にWebアプリケーションの防御に特化しており、パターンのマッチングだけではなく、複雑・巧妙なサイバー攻撃にも対応可能です。通信の中身を完全に把握し、複数の検知システムで対応します。検知方法に関しては「ブラックリスト」と「ホワイトリスト」があります。

「ブラックリスト」は、あらかじめ定義された不正パターンに該当する通信を検知・防御します。
「ホワイトリスト」は、あらかじめ定義された正当パターンに該当する通信を許可します。

もしWAFを導入しておらず攻撃を受けてしまうと、個人情報の流出・長期的なWebサイトの閉鎖・社会的信用の欠落などといった被害が考えられます。そして、被害状況の把握・問い合わせ窓口の設置・Webサイトの修繕などにコスト・時間が非常にかかってしまうのです。では、具体的にどのような攻撃を防御の対象にしているのか、説明していきます。

WAFの防御範囲

●SQLインジェクション

ウェブのセキュリティの脆弱なところを突き、データを不正に操作される攻撃です。操作される攻撃例をあげると、Webサイトの改ざん・アカウント漏洩・クレジットカード番号の流出につながります。

●クロスサイトスクリプティング

ユーザーが「悪意のある Web サイト」を閲覧してしまい、地雷のような形で不正なプログラムを埋め込まれてしまいます。その後「セキュリティが甘いWebサイト」を閲覧した際に、初めてユーザー側で不正プログラムが働きます。その結果、ユーザーの個人情報が盗み出されたり、PC上のファイルが破壊されたりします。つまり、Webサイト側に被害はなく、Webサイトを閲覧していたユーザーが被害にあってしまうのです。

●パスワードリスト攻撃

複数回あらゆるパターンを入力され、パスワード・IDを特定されてしまう攻撃です。もし別Webサイトでも同じパスワード・IDを使用していた場合、被害拡大につながってしまう恐れがあります。また、似たようなパスワード・IDを使用していた場合、ログインを何度もトライすることで、カード番号・住所・名前などの情報を奪われてしまいます。

3種の形態の違うWAF

WAFには、大きく分けて3種類存在します。

ホスト型WAF(ソフトウェア)

すでに存在するWebサイトに、ソフトをインストールする方法です。

■メリット

• ・安価(台数が少ない場合)
• ・設置するスペースいらず

■デメリット

• ・Webサーバーの環境に依存する

ゲートウェイ型WAF(ハードウェア)

ネットワーク機器として新たに設置します。

■メリット

• ・安価(台数が多い場合)
• ・Webサーバーの環境に依存しない

■デメリット

• ・ネットワークの構成によっては導入不可
• ・設置するスペースを確保する必要あり

クラウド型WAF(サービス)

サービスとしてクラウドなどで提供されている WAF を利用します。

■メリット

• ・ネットワークの構成を変更する必要なし
• ・導入コストが安価

■デメリット

• ・運用コストが高価

他のセキュリティソフトとの違い

サイバー攻撃はいくつもあり、それぞれに適したセキュリティ対策が必要になります。では、WAF登場以前からあるセキュリティツールを簡単にご紹介します。

●ファイアウォール

ポート番号とIPアドレスからOSやネットワークを防御します。つまり、アクセスの制御です。例えると、ネットワークの同士の境界に関所を設け、通信をチェックすることで攻撃を防ぎます。しかし、通信可能になった中身までは追うことができません。しかしWAFでは中身まで検知します。

●IPS

プラットフォームレイヤーからネットワーク・Webシステム・Webサーバーを防御します。つまり、サイバー攻撃の検知・防御です。通信の中身を含む全体を解析し、悪意のある通信の防御を自動的に行います。ただしメール添付などのファイルに関しては解析することができません。WAFの場合、危険なオブジェクトは閲覧できません。

まとめ　～ WAFで防げることを正しく認識しよう！ ～

WAFに関しての理解は深まりましたでしょうか。WAFは、Webサイトの安全を確保するためには、なくてはならない存在になりました。ファイアウォールやIPSとは異なるネットワークレベルでサイバー攻撃を防ぐため、WAFだけでは安全を確保できないということを認識していてください。