WAAP に関する2026年の IDC MarketScape レポートで Fastly がリーダーに選出

Fastly は、IDC が発行するレポート「IDC MarketScape: Worldwide Web Application and API Protection Platforms 2026 Vendor Assessment」においてリーダーに選出されました。

AI は、ほとんどの企業のビジネスの在り方に変革をもたらしています。AIにより、定型業務を迅速化できるだけでなく、トークンの予算を確保するだけで、チームがより多くの業務をこなせるようになります。この変化は攻撃者にも当てはまります。サイバー犯罪も一般的なビジネスと変わりません。攻撃者も、標的とする企業と同様に効率を高めたいと考えています。AI ツールを使えば、攻撃者は1年前よりも速く、低コストで脆弱性を発見し、組み合わせて悪用できます。さらに、新しいモデルが登場するたびに、脅威の予測が難しくなります。

それでも、セキュリティの基本原則は変わっていません。CISO が考えることは、これまでも今も同じです。チームが監視していないときにも、セキュリティ対策は実際に攻撃を阻止できるでしょうか？どれほど優れた防御策を講じても、すべての攻撃を阻止することはできません。そのため、防御を多層化・自動化し、ある層を攻撃が突破してもセキュリティを確保できるようにする必要があります。

Fastly は常に、こうしたベストプラクティスを念頭にセキュリティプロダクトを設計しています。そして先日、Fastly は「IDC MarketScape: Worldwide Web Application and API Protection Platforms 2026 Vendor Assessment」(レポート番号 US54130626、2026年9月発行) においてリーダーに選出されました。

IDC MarketScape は、プラットフォームが現時点で備えている機能と、今後3～5年間に顧客が必要とするものにベンダーの戦略がどの程度合致しているかの両面からプラットフォームを評価します。私たちはここに至るまで、Next-Gen WAF を基盤に、わずか数年の間に DDoS Protection、Bot Management、API Security、Client-Side Protection を追加し、包括的なセキュリティプラットフォームへと急速に拡張を進めてきました。これらのセキュリティ機能はすべてレジリエントな Fastly のネットワーク上で稼働しています。そして何より、お客様のアプリケーションとワークロードを本番環境で保護しています。

では、チームが監視していないとき、Fastly の防御策はどれほど攻撃を阻止できているのでしょうか？

IDC MarketScape のベンダー分析モデルは、特定の市場における各テクノロジーとサプライヤーの競争力を総合的に把握できるように設計されています。この調査手法では、定性的・定量的な基準に基づく厳格な採点方法が用いられ、これにより、特定の市場における各サプライヤーの位置付けを1つの図で示すことが可能になります。「Capabilities」スコアは、短期的な観点からサプライヤーのプロダクト、市場開拓、事業遂行能力を評価します。「Strategy」スコアは、3～5年の期間においてサプライヤーの戦略が顧客の要件にどれほど合致するかを評価します。アイコンの大きさはサプライヤーの市場シェアを表しています。

出典 :「IDC MarketScape, Worldwide Web Application and API Protection Platforms 2026 Vendor Assessment」(レポート番号 US54130626、2026年9月)。

デプロイされているだけでなく、実際に保護する防御策

モニタリングモードでしか稼働しない WAF は、コンプライアンス要件を満たせるかもしれません。しかし、監視対象を手動で評価するために時間とリソースを割かない限り、リスクを効果的に減らすことはできません。IDC MarketScape は次のように述べています。「Fastly の Next-Gen WAF は、正規表現や標準的なルールセットによるパターンマッチングではなく、各リクエストを解析してトークン化し、実行コンテキストを評価します。SmartParse エンジンは Fastly の重要な強みです。同社によると、このエンジンのせいで顧客の90％が WAF を完全なブロックモードでデプロイでき、誤検知の報告もごくわずかです」

こうした信頼が得られるのは、Fastly 独自の SmartParse 検出エンジンが、単にパターンを照合するのではなく、本番環境でリクエストが実際にどのように実行されるかを評価するためです。同エンジンは誤検知を低く抑えながら、実際の攻撃をブロックします。つまり、初日からリスクを減らし、設定の調整や誤検知への対応ではなく、実際の脅威への対処により多くの時間を割くことができます。

人の介入を待たずに攻撃を緩和

自動化された攻撃が増える中、それに対応する防御も自動化する必要があります。昨年12月、Fastly Adaptive Threat Engine は、2,200億件のリクエストに及ぶ DDoS 攻撃を自動的に検知しました。その規模は、同年に観測されたほかのどの攻撃よりも数倍大きいものでした。しかし、変化するトラフィックパターンに継続的に適応する Adaptive Threat Engine により、標的となったお客様は何もすることなく自動的に保護されました。このエンジンは、622 Tbps の容量を持つ Fastly ネットワーク上のすべての POP でインラインで動作し、WAF、ボット管理、API 検査とともに1回のパスで処理を実行します。スクラビングセンターへの迂回によるレイテンシの増加もありません。

攻撃者のコストを引き上げる

ブロックされると、攻撃者は検知されたことに気付き、再び検知を逃れるために手法を変えます。クレデンシャルスタッフィングに対する Fastly の特許出願中のディセプション技術は、ブロックする代わりに認証情報が無効であることを示すレスポンスを返し、攻撃者に試行が失敗したと思わせます。これにより、攻撃者の労力が無駄になり、攻撃キャンペーンの実行コストを増大させます。また、ディセプション技術に加え、Network Learning Exchange (NLX) が先制的なフィルターとして機能します。Fastly ネットワーク内の別の場所で、悪意があることがすでに確認されている IP アドレスからリクエストを受信すると、そのリクエストはアプリケーションに到達する前に脅威として識別されます。

今後の展望

AI によって、今後も攻撃の手法とアプリケーションの構築方法が変化し続けるでしょう。セキュリティ専門家である私たちの役割は、多層防御と備えという基本を徹底することです。それに精度の高い検知、攻撃の自動緩和、すべての攻撃から学習するネットワークを組み合わせ、本番環境で実際に効果を発揮するセキュリティ対策を実現します。以下のソリューションを通じて、ビジネスで AI を利用するあらゆる場所を保護できます。

• 9月に Fastly がリリースした AI Firewall は、リクエストのパス上でプロンプトを評価し、モデルに到達する前にプロンプトインジェクションなどの LLM 攻撃をブロックします。

• 新たにリリースされた API Security 機能は、従来型、エージェント支援型、自律型エージェントによるトラフィック全体に API コントラクトを適用します。これにより、エージェントがサポートされていない操作を呼び出したり、設定された範囲を逸脱して動作したりすることを防止できます。

• AI Runtime Control は、複数のプロバイダーに対するモデル呼び出しを単一のエンドポイントに集約し、認証情報の保護、コストの可視化、予算上限の設定を可能にします。

• これらの新しい機能に加え、既存の AI Bot Management では、コンテンツがキャッシュに保存されている場合も、オリジンサーバーから直接取得される場合も、AI クローラーやフェッチャーを制御できます。

Fastly は、強固なセキュリティ基盤の上に築いてきたイノベーションと長年培ってきた実績を組み合わせ、お客様が直面する最も差し迫ったセキュリティ課題の解決を支援します。私たちはお客様と連携し、現在のビジネスを支えるモデル、アプリケーション、エージェントのすべてにわたり、あらゆる場所でビジネスを保護します。

IDC MarketScape の調査に対応してくださったお客様、そして日々このセキュリティプラットフォームを構築している Fastly の多くのチームメンバーに感謝します。

Fastly に言及している IDC MarketScape レポートの抜粋はこちら。