WAFとは、Webサイトを攻撃から守る仕組みと選び方

レンタルサーバーの管理画面で「WAF」という設定項目を見かけて、有効にすべきか迷ったことはないでしょうか。あるいは、セキュリティ対策の見積もりに「WAF導入」という項目があり、何にお金を払うのか分からないまま進めてしまった方もいるかもしれません。

WAF（Web Application Firewall）は、Webサイトへのアクセスを検査し、攻撃的なリクエストをサイトに届く前に遮断する仕組みです。かつては大企業向けの高価な装置で、導入には専任の技術者が必要でした。それが現在では、月数千円のクラウド型サービスや、レンタルサーバーの標準機能として、中小企業のサイトでも当たり前に使える防御層になっています。WAFが何をどう守るのか、従来のファイアウォールと何が違うのか、そして自社にはどのタイプが合うのかを整理していきましょう。

WAFの仕組みとファイアウォールとの違い

WAFは、Webサイト（Webアプリケーション）とインターネットの間に立ち、行き交うHTTP/HTTPS通信の中身を検査します。フォームに入力された値やURLに付加されたパラメータまで見て、攻撃の特徴を持つリクエストを遮断する。つまり、通信の「宛先」ではなく「内容」で判断するのがWAFです。

「ファイアウォールならもう入っているはず」と思った方のために、違いを整理します。

従来のファイアウォール

ネットワークの入口で、IPアドレスやポート番号をもとに通信を許可・拒否する。建物の入館ゲートに近い

WAF

Webサイト宛ての通信の中身を検査し、攻撃パターンを検出・遮断する。手荷物検査に近い

従来のファイアウォールは「どこから来たか」で判断するため、正規の入口であるWebサイトの80番・443番ポートを通ってくる攻撃は素通りさせてしまいます。Webサイトへの攻撃の多くは、まさにこの正規の入口から、一見普通のリクエストを装って行われます。だからこそ、中身まで検査するWAFという別の層が必要になるのです。

具体的にイメージしてみましょう。問い合わせフォームの名前欄には、普通は「山田太郎」のような文字列が入ります。ところが攻撃者は、この欄にデータベースへの命令文やスクリプトの断片を仕込んで送信してきます。サイト側のプログラムに欠陥があると、この仕込みが「入力データ」ではなく「命令」として実行されてしまう。これがWebアプリケーション攻撃の基本構造です。WAFは、入力値の中に命令文の特徴的なパターンを見つけた時点で、そのリクエストをサイトに渡さず遮断します。

検出の方式は、既知の攻撃パターンと照合するシグネチャベースを基本に、正常な通信からの逸脱を見る異常検出などを組み合わせるのが主流です。シグネチャは提供元が更新し続けるため、新しい攻撃手口への対応を自社で追いかけなくてよい点も、運用面の利点だといえます。

WAFが防げる攻撃、防げない攻撃

WAFが得意とするのは、Webアプリケーションの入力を悪用する攻撃です。代表的なものを挙げます。

SQLインジェクション

フォームなどに不正なSQL文を送り込み、データベースの情報を盗み出す・改ざんする攻撃

クロスサイトスクリプティング（XSS）

悪意あるスクリプトをページに埋め込み、閲覧者のブラウザで実行させる攻撃

ディレクトリトラバーサル

パス指定を操作し、本来アクセスできないサーバー内のファイルへ到達する攻撃

ブルートフォース攻撃の一部

ログイン画面への機械的な総当たりリクエストを、レートや振る舞いから検知して遮断

SQLインジェクションやXSSは、IPAが公表する脆弱性の届出状況でも長年上位を占め続けている定番の攻撃手法です。手口が古くから知られているにもかかわらず被害が絶えないのは、狙える対象が次々に生まれ続けるからで、問い合わせフォームや検索窓を持つサイトなら、規模を問わずどのサイトでも標的になり得ます。こうした攻撃をアプリケーション側の改修を待たずに入口で遮断できるのがWAFの価値です。脆弱性が公表されてから修正版を適用するまでの「無防備な期間」を埋める保険としても機能します。

一方で、WAFにも守備範囲があります。ここを誤解すると「WAFを入れたから安心」という思考停止に陥ります。WAFは脆弱性そのものを直すわけではないので、ソフトウェアの更新は依然として必要です。すでに侵入されたサイトのマルウェアを除去する機能もありません。漏洩したパスワードで正面からログインされる不正アクセスも、正規の通信と見分けがつかなければ素通りします。WAFは万能の盾ではなく、多層防御の一層です。Webサイトのセキュリティ対策の基本で挙げている更新・パスワード・バックアップといった土台の上に載せてこそ、本来の効果を発揮します。

導入のメリットと費用感

WAFを導入する実務上のメリットは3つあります。

• 攻撃をリアルタイムで遮断し、被害の発生自体を防ぐ
• 脆弱性の修正が間に合わない期間の保険になる
• 攻撃のログが残り、傾向の把握と事後調査に使える

費用のハードルは、かつてないほど下がっています。エックスサーバーをはじめ多くのレンタルサーバーでは、WAFが標準機能として無料で提供されており、管理画面で有効化するだけで使えます。独立したクラウド型WAFサービスでも月数千円から1万円台が中心で、専用機器の購入や専門技術者の常駐は必要ありません。「セキュリティ予算はほぼゼロ」という中小企業でも、まずサーバー標準のWAFを有効にするところからなら、今日始められるのです。

導入するかどうかの判断目安も示しておきます。問い合わせフォームや検索機能、ログイン機能を持つサイト、つまりユーザーからの入力を受け取るサイトであれば、WAFの導入は実質的に必須級です。WordPressのようなCMSで構築されたサイトも、管理画面という入力の入口を常に持っているため対象になります。一方、入力欄が一つもない完全に静的なサイトであれば、WAFの優先度は下がり、その予算をバックアップや監視に回す方が合理的です。自社サイトに「入力できる場所」がいくつあるかを数えてみると、必要性が具体的に見えてきます。

導入後に一つだけ覚悟しておきたいのが、誤検知への対応です。攻撃パターンに似た正常な通信が、まれにブロックされることがあります。当社への相談でも実際に多いのが、「WAFを有効にしたら、問い合わせフォームやWordPressの記事保存がエラーになった」というケースです。記事にHTMLタグやコードを書いて保存しようとすると、WAFがそれを攻撃と見なして遮断するのが典型です。こうした場合は、該当するルールだけを除外設定すれば解決します。WAFを丸ごと無効化して対処した気になるのがいちばん危険なので、エラーが出たら「どのルールに引っかかったか」を確認する一手間をかけてください。WordPress固有の対策との組み合わせ方はWordPressのセキュリティ対策でも扱っています。

自社に合ったWAFの選び方

WAFには提供形態が3つあり、自社の規模と体制で選び方が変わります。

クラウド型WAF

サービスとして利用する形態。導入が簡単で初期費用が低く、シグネチャ更新も提供元に任せられる。中小企業の第一候補

オンプレミス型WAF

自社環境に機器やソフトウェアとして導入する形態。細かな制御ができるが、費用と運用の専門知識が必要

サーバー標準のWAF

レンタルサーバーに組み込まれた簡易型。無料で即日使えるが、設定の自由度は限られる

判断の流れはシンプルです。レンタルサーバーで運用している企業サイトなら、まずサーバー標準のWAFを有効化する。費用がかからないので、迷う理由がありません。ECサイトや会員制サービスのように守るべき情報が多いなら、専門ベンダーのクラウド型WAFで検知精度とサポートを引き上げる。自社データセンターで独自システムを運用しているなら、オンプレミス型を含めて要件を詰める。この順で考えれば、大きく外しません。

本格的なクラウド型WAFを導入する場合は、いきなり遮断を始めるのではなく、段階を踏むと安全です。多くの製品には、攻撃を遮断せずログに記録だけする検知モードが用意されています。まず検知モードで数週間運用し、正常な業務通信が誤って攻撃と判定されていないかを確認したうえで、遮断モードに切り替える。この手順を踏めば、導入初日に社内から「サイトが使えない」という悲鳴が上がる事態を避けられます。

選定時には、料金だけでなく、誤検知時のサポート体制、管理画面の分かりやすさ、攻撃レポートの見やすさも比較してください。WAFは入れて終わりではなく、たまにログを眺めて自社サイトがどんな攻撃を受けているかを知る道具でもあります。実際にWAFを有効化してレポートを見ると、多くの方が驚かれます。誰も知らないはずの小さなサイトにも、海外からのログイン試行や脆弱性を探るスキャンが、日々淡々と記録されているからです。「うちは狙われない」という思い込みが数字で覆される体験は、社内のセキュリティ意識を変えるきっかけとしても価値があります。攻撃の実態が見えると、バックアップ体制や他の対策への投資判断も現実味を持って行えるようになります。

まとめ

WAFは、正規の入口から入ってくるWebアプリケーション特有の攻撃を、通信の中身で見分けて遮断する防御層です。ファイアウォールが入館ゲートなら、WAFは手荷物検査。役割が違うからこそ、両方が必要なのです。従来のファイアウォールでは守れない領域をカバーする一方、脆弱性の修正やバックアップを不要にするものではなく、多層防御の一枚として位置づけるのが正しい理解です。

幸い、導入のハードルは劇的に下がりました。まずは契約中のレンタルサーバーにWAF機能があるかを確認し、あれば有効化する。フォームや管理画面の動作を一通り確認し、誤検知があれば個別に除外する。この30分ほどの作業だけで、サイトの防御力は目に見えて一段上がります。後回しにする理由が見当たらない対策だといえます。

WAF導入とサイトの多層防御のご相談

自社サイトにWAFが入っているのか分からない、有効化したら不具合が出て止まっている、セキュリティ対策全体をどこまでやるべきか判断したいという方は、合同会社ギャラクタスにご相談ください。サーバー環境の確認からWAFの有効化・誤検知の調整、バックアップや更新体制まで含めた多層防御の設計を、サイトの規模に合わせてお手伝いします。無料相談で、いまの運用状況をお聞かせください。