WAFを運用する際の注意点
まずはWAF運用時の注意点として、どのようなものがあるのか、見ていきましょう。
１．WAFによる誤検知の発生
WebサイトやWebアプリケーションを利用する際、WAFの導入は必須です。とはいえ、セキュリティレベルを厳しくし過ぎると、WAFが誤検知を起こし、正常な通信も遮断してしまう可能性があります。誤検知が発生すると、結果的にユーザーがWebアプリケーションを利用しづらくなってしまうでしょう。
一方でセキュリティレベルを緩めすぎると、サイバー攻撃のリスクが増えます。そのため、WAFのチューニングを適度に行うことが必要です。
２．運用コストの負担増大
セキュリティ製品であるWAFの利用には、初期コストだけでなく運用コストもかかります。その中でも特に特徴的な運用コストが、チューニングコストです。
利用形態にはよりますが、一般的に新しい脆弱性が発見され次第シグネチャの変更を行う必要があるため、そのたびにベンダーに依頼してチューニングを行うと、かなりの運用コストになることが予想できるでしょう。また、セキュリティ専門の担当者を雇うのであれば、相応の人件費がかかってきます。
利用が大規模になれば、およそ100万円以上の初期費用と年間数10万円以上の運用費用が必要となります。ブランディングなどを目的とするオウンドメディアなどの場合は費用対効果に見合わないといった課題が発生する可能性も否定できません。
３．Webサイト停止のリスク
また、WAFを運用する際はWebサイト停止のリスクに注意しなければなりません。というのも、新しい不正アクセスが発生し、ベンダーにシグネチャを依頼している間、Webサイト全体を停止もしくは閉鎖しなければいけない可能性があるのです。
特にWebから主な収益を得ている企業にとっては、このサービス停止期間は大きな機会損失となります。
例えば、DMZ上の1つのリバースプロキシ(Webブラウザの代わりにWebサーバにアクセスするサーバ)によりWebサーバを分割し、それぞれにWAFを導入する方法があります。WAFが別々に存在することで、トラブル時のリスク分散になります。
WAFの運用をスムーズに進めるコツ
ここまで、WAF運用上の注意点を紹介してきました。しかし、上のような注意点にどう対応すればいいのでしょうか。ここでは、WAFの運用をスムーズに進めるコツを紹介していきます。
導入前に保護対象・防御すべき攻撃を明らかにする
WAFのセキュリティレベル設定に際して、あらかじめWAFによって防御したい攻撃は何か、保護対象となるWebアプリケーションを洗い出した上でWAFの提供ベンターのサポートや外部の専門家に相談しましょう。またWAFの選定時には、このようなサポートが充実しているか確認することも大切です。
運用状況を可視化して、誤検知を防止する
導入後のセキュリティレベルの設定は暫定的なものと捉え、運用開始後に、運用状況を可視化し検証しながら調整し誤検知を防ぐ必要があります。
また誤検知に偽陽性と偽陰性があるので注意しましょう。具体的には利用者の正常な通信を遮断してしまう誤判定（偽陽性）、攻撃者による不正な通信を正常な通信として通過させてしまう誤判定（偽陰性）の発生を常に監視し、適性なセキュリティレベルを保つことが必要です。
クラウド型のWAFを導入する
クラウド型のWAFを導入することも、運用をスムーズに行う方法の一つといえるでしょう。クラウド型のWAFは、ベンダーが常に新しい攻撃を監視しシグネチャを更新しているため、月額の利用料を払うだけで、セキュリティ専門家を雇わなくともチューニング可能です。
また、クラウド型であれば対応がスピーディなため、Webサイトを停止しなければならないリスクは大幅に減少するでしょう。クラウド型の普及以降、運用の手間が格段に減り、WAFが一般的なセキュリティツールとして浸透しています。
以下の記事ではクラウド型のWAF製品を紹介し、特徴についてもさらに詳しく説明していますので、参考にしてみてください。
WAFを適切に活用して、セキュリティ体制を万全に！
WAFを活用する際の注意点と、運用のコツについて紹介してきました。誤検知を防ぐためのチューニングなど、WAFの運用は煩雑なように思えますが、クラウド型のWAFを利用することでその煩雑さを軽減することができます。
とはいえ、クラウド型のWAFの中にもばらつきがあるため、しっかりとひとつひとつの製品を確認して、自社に適したものを選定することが肝要でしょう。まずは資料請求を行い、製品についての理解を深めたうえで適切な運用につなげていきましょう。
