WAFとは？

01WAFでできること・できないこと

WAF（Webアプリケーションファイアウォール）は、Webサイトの手前に置き、サイトへ届く通信を1件ずつ調べて、攻撃を止めるしくみです。Akamaiの説明では、WebサイトやAPIに入ってくる悪意のある通信を見張り、ふるい分け、止めます。サイトから外へ不正にデータが出るのを止める働きもあります。

止められる主な攻撃は次のとおりです。

• SQLインジェクション：問い合わせフォームなどに不正な命令を書き込み、データベースの中身を盗む・消す
• クロスサイトスクリプティング：ページに不正なスクリプトを埋め込み、見に来た人の情報を盗む
• ボットによる大量のアクセスや、アプリへのDDoS攻撃

ふつうのファイアウォールは、どこから来てどこへ行く通信かで通す・止めるを決めます。WAFはWebの通信の中身を見る点が違います。

できないこともあります。サイトの弱点そのものを直すわけではないので、WordPressやプラグインの更新は別に必要です。ルールに合わない新しい手口はすり抜けることがあります。管理画面のパスワードを当てられるような被害は、WAFだけでは防ぎきれません。

02どんな会社・人に必要か

• ネットショップや会員サイトなど、個人情報やカード情報を扱うサイトを持つ会社
• 問い合わせフォームや予約フォームなど、人が入力する画面のあるサイト
• WordPressなどで作ったサイトを、すぐには更新できない事情がある会社
• 過去にサイトを書き換えられた、不審なアクセスが続いているなど、すでに狙われている兆しがある会社

03選ぶとき・導入するときに見ること

• 形：サーバーに入れるソフト型、機器を置くアプライアンス型、通信を一度通すクラウド型があります。中小企業ではクラウド型や、レンタルサーバーに付いているWAFが使いやすいです。
• 誤検知：正しい通信を攻撃と間違えて止めることがあります。Akamaiも、ルールの調整が追いつかないと誤検知や警告が増えると説明しています。最初はしばらく「記録だけ」で動かし、問題がないか見てから止める設定に切り替えます。
• だれがルールを調整するか。提供会社が調整してくれるサービスかどうかを確かめます。

製品はWAFで比べられます。