Web アプリケーションファイアウォールとは？WAF の説明

WAF (Web Application Firewall) は、Web アプリケーションの保護に特化したセキュリティソリューションです。Web アプリケーションとインターネット間のシールドとして機能し、Web サービスが送受信する悪意のある HTTP/HTTPS トラフィックを検出し、ブロックしてサーバーを保護します。

適切に設定および有効化されていれば、WAF は SQL インジェクション、クロスサイトスクリプティング（XSS）、HTTP プロトコル違反など、OWASP によって一覧化されているものを含む、Web アプリケーションの脆弱性を悪用するアプリケーションレイヤー（レイヤー7）攻撃を防止します。

WAF はどのように機能しますか？

WAF は多くの場合、インターネットと保護される Web アプリケーション間のリバースプロキシとして機能します。また、特定のセキュリティ要件に合わせて、インライン、クラウドベース、オンプレミスなど、さまざまな環境に WAF をデプロイすることもできます。デプロイ方法を問わず、WAF はアプリケーションサーバーに到達する前にすべての受信トラフィックを検査し、潜在的な脅威から保護するシールドを提供します。

WAF はニーズに合わせてさまざまな形で提供されています：

• ソフトウェア：Web サーバーに直接インストールすることも、アプリケーションコードに統合することもでき、柔軟性とコスト削減をもたらします。

• アプライアンス： 簡単にデプロイして管理できる専用のハードウェアデバイスです。アプライアンスは、高いトラフィックスパイクに対処するための専用の処理能力を提供します。

• As-a-Service： サードパーティベンダーによって提供され、社内にハードウェアを設置することなく Web アプリを保護できます。ベンダーがすべてのメンテナンスを行い、トラフィックの増加に応じてスケーリングします。

WAF の主要機能はクライアントとサーバー間の HTTP 通信を分析することです。この分析では、すべてのリクエストタイプにわたって、ヘッダー、本文、クエリパラメータなどの重要なコンポーネントを調べます。WAF は既知の攻撃パターンに一致する、または設定されたセキュリティルールに違反する HTTP トラフィックを識別します。次に、危険なリクエストがアプリケーションに到達する前にプロアクティブにブロックし、Web アプリケーションを保護します。

WAF のポリシー

WAF は、単体であらゆる種類の脅威や攻撃を防ぐのではなく、Web サイトやアプリケーションを保護するツールセットの一部として、重要な役割を担います。どのトラフィックが安全であるか、あるいは悪意があるかを判断する、つまり WAF がどの種類のトラフィックを許可またはブロックするかを決定するルールは、「ポリシー」と呼ばれます。

WAF を利用する企業や個人は、自分たちの要件に従ってポリシーをカスタマイズできます。また、ポリシーは迅速かつ自動的に更新が可能です。簡単にポリシーを修正し、さまざまな種類の攻撃に素早く対応できることは、WAF のメリットのひとつです。

一般的に WAF は多様な検出アプローチを採用してこれらのポリシーを適用します。

• 正規表現（Regex）：トラフィック内の特定のパターンを識別し、悪意のある入力を効果的に検出してブロックできます。

• スコアリングモデル : これらのモデルにより、事前定義された基準に基づいて受信トラフィックにリスクスコアが割り当てられます。WAF はこれらのスコアを評価し、トラフィックを許可するか、ブロックするか、さらに検査するかを決定し、潜在的な脅威に対してよりきめ細かな対応を可能にします。

• SmartParse: この高度なメソッドはリクエスト内の複雑なデータ構造を分析し、より単純な検出技術では回避される可能性がある高度な攻撃パターンの特定に役立ちます。これにより、高度な脅威を検出して防止する WAF の機能が強化されます。

WAF vs NGFW

ここまでで、WAF とは何か、またその仕組みについてご理解いただけたかと思います。また、NGFW のような別の用語に遭遇することがあるかもしれません。これらのツールの違いを理解することで、セキュリティニーズに最適なソリューションを選択できるようになります。混乱を避けるため、各用語について見てみましょう。

• WAF（Web アプリケーション ファイアウォール）: Web サーバーと受信トラフィックの間で動作し、各リクエストをリアルタイムで検査します。このリアルタイム検査により、一般的なエクスプロイトや疑わしいアクティビティがアプリに到達する前にブロックされます。WAF はリバースプロキシとしてデプロイされることが多いですが、さまざまなセキュリティニーズに合わせて複数の方法で設定できます。

• NGFW（次世代ファイアウォール）: 次世代ファイアウォールは、従来のステートフルファイアウォールの機能とより高度な機能を1つのデバイスに統合したものです。ポート/アドレスフィルタリングに加えて、ポートだけでなく使用パターンに基づいてトラフィックを識別することもできます。また、ベンダーのグローバルネットワークから得た脅威インテリジェンスも使用し、暗号化されたトラフィックを検査できます。

要約すると、WAF は Web アプリケーションの保護に重点を置いている一方で、NGFW ソリューションは高度な機能を備えたネットワークセキュリティへの包括的なアプローチを提供します。それぞれ異なるアプローチを採用しているため、これらを組み合わせることでインフラストラクチャ全体を広範囲にわたって保護し、複数の方向からの脅威を防ぐことができます。

WAF をデプロイするさまざまな方法

WAF は主に、オンプレミス、クラウド、ハイブリッドという3つの環境でデプロイできます。各アプローチの詳細を見てみましょう。

• オンプレミス WAF

最も一般的なのは、アプライアンス WAF とも呼ばれるオンプレミス WAF です。WAF は元々すべてオンプレミスでしたが、現在でも多くの企業が、特に古いアプリやレガシーアプリのワークロードを保護するために、オンプレミス WAF を利用しています。

• クラウドベース WAF

ベンダーがホストするクラウドベースの WAF は、便利で迅速に WAF 保護を提供できます。これらのソリューションは、デプロイが容易で、オンプレミスのソフトウェア管理なしで脅威をブロックできることから、広く利用されるようになりました。社内の IT リソースが限られている組織や、インフラストラクチャ全体を十分に監視できない組織にとって、クラウドベースの WAF は理想的です。クラウド WAF を導入することで、企業はアプリケーションと API の強力な保護を確保しながら、ソフトウェア管理に関連するコストを削減できます。

• エッジデプロイ

エッジデプロイでは、WAF をCDN のエッジ、またはトラフィックの発信元により近い場所に配置します。この戦略的な配置により、ネットワークに到達する前に脅威をブロックする追加のセキュリティレイヤーを提供します。エッジでの WAF のデプロイは、ユーザーの近くでトラフィックを検査してフィルタリングするため、レイテンシの削減に特に効果的です。これにより、Web アプリケーションを潜在的な脅威から保護しながら、全体的なパフォーマンスが向上します。

• ハイブリッド WAF

ハイブリッド WAF は、オンプレミスとクラウドベースのデプロイを組み合わせることで、どのような環境でもアプリや API に向けられた Web リクエストの可視性を提供します。

ハイブリッドデプロイにより、企業はクラウドに適応していない従来型アプリケーションと最新の分散アプリケーションの両方を保護できます。このデプロイモデルでは、オンプレミスとクラウドを組み合わせて、本番環境のセキュリティテレメトリを一元的な管理コンソールに送信します。これにより、すべての WAF 本番環境デプロイを、分かりやすいダッシュボードやレポートで確認できます。

理想的には、デプロイ方法にかかわらず、WAF ベンダーは、顧客がセキュリティデータや指標をサードパーティのセキュリティ情報/イベント管理（SIEM）またはセキュリティのオーケストレーション、自動化、レスポンス（SOAR）ツールに提供するために使用できる API も提供します。

WAAP とは？

Web アプリケーションおよび API 保護（WAAP） は、これらの脆弱な Web アプリケーションや API を保護するために設計されたクラウドベースのサービスを指す用語です。このようなソリューションは、さまざまな種類の攻撃から Web アプリケーションと API を保護します。Web アプリケーションおよび API 保護 は、アプリケーションや API エンドポイントに到達する前に Web リクエストを効果的に検査する保護機能を提供する必要があります。

Web アプリケーションおよび API 保護は、OSI モデルのアプリケーションレイヤー（レイヤー7）のみに焦点を当て、ネットワークの外側のエッジに配置されます。クラウド Web アプリケーションおよび API 保護 サービスには通常、ボット対策、WAF、API 保護、DDoS Protection が含まれます。

WAF はどのような場合に使用すべきですか？

WAF は包括的なセキュリティ戦略において重要な要素です。特効薬ではありませんが、さまざまな状況で役立ちます。WAF のデプロイが非常に理にかなっている主なシチュエーションの例を以下に挙げます。

1. OWASP トップ10の脅威からの保護

OWASP トップ10 では、データの上書きや機密情報の漏洩を引き起こす可能性があるインジェクション脆弱性を含む、Web アプリケーションの最も重大なセキュリティリスクが示されています。WAF は、XSS や SQL インジェクションなど、脆弱性を悪用した攻撃の兆候がないかトラフィックを積極的に監視します。次に、既知のエクスプロイトに対する広範なルールセットに照らし合わせてトラフィックをリアルタイムで評価します。

2. 新しい Web アプリケーションのデプロイ

新しい一般公開向けアプリケーションを立ち上げる際には、チームがバグを修正する中で潜在的な問題が特定されるため、リスクが伴います。WAF を使用すると、すべての Web トラフィックを綿密に監視し、異常や攻撃をリアルタイムで迅速に検出できます。そのフィルタは、悪意のあるアクターが新しいアプリケーションのデータを侵害する前にブロックします。

3. アカウント乗っ取りのブロック

認証情報の盗難は、どの組織にとっても大きなリスクです。ひとたび侵害されると、それらは多くのプラットフォーム上のアカウントに繰り返しアクセスするために使用される可能性があります。WAF は各リクエストを検査し、誰かがアカウント認証情報を推測しようとしていることを示す可能性のある不審なパターンを検出します。カスタマイズされたレート制限フィルターにより、複数回のログイン失敗後にブルートフォース攻撃を行っている IP アドレスを特定してブロックします。

4. 規制へのコンプライアンスの維持

機密性の高い顧客情報を扱う企業は、データを保護するために PCI DSS などの標準に準拠する必要があります。PCI DSS 4.0 では、一般公開している Web アプリケーションを保護するために WAF の実装が義務付けられています。監査人は定期的にセキュリティアセスメントを実施し、攻撃の検出力と防止対策を評価します。WAF は、リアルタイムのトラフィック監視と既知のエクスプロイトのブロックに関する監査可能な証拠を生成します。このアプローチにより、監査人に対してコンプライアンスを証明し、組織をデータ侵害の責任から保護できます。

5. 不正アクセスの防止 

細かく調整されたレート制限により、ブルートフォース攻撃によるログイン試行を防ぎ、悪意のあるファイルのアップロードをブロックします。WAF では、連続した試行の後に特定の IP からログインに失敗した場合など、不正アクセスの試みを抑制する詳細なトラフィックルールを設定できます。そのフィルタにより、特定のソースからの異常なトラフィックスパイクを遅延させるかブロックすることで、高負荷時でもアプリケーションの応答性を維持できます。 

6. DDoS 攻撃からの保護

真の DDoS 攻撃の軽減ソリューションではありませんが、WAF は分散型攻撃の初期兆候を捉えることができます。トラフィックパターンを分析することで、特定の URL を標的とした異常に大量のリクエストなど、異常な動作を識別します。そのフィルターは、特定されたソースからのトラフィックをブロックし、攻撃ベクトルを直ちに軽減します。WAF が悪意のあるトラフィックを迂回させることで、Web サーバーが過負荷になるのを防ぎ、チームが専用の DDoS Protection を有効にするまでの時間を稼ぎます。

Fastly と WAF

WAF プロバイダーを選択する際、グローバルな保護、強力な検出能力、先進的なインフラストラクチャに合った統合機能を備えたプロバイダーを選ぶことが重要です。Fastly の Next-Gen WAF は、最初からこれらの機能を念頭に設計されています。Fastly は世界最大のグローバル・エッジ・クラウド・プラットフォームとして、世界中のユーザーにミリ秒単位でサービスを提供します。

この戦略的な配置により、Fastly は従来の WAF よりも迅速にWebサイトとアプリケーションを保護できます。エンドユーザーの近くでトラフィックを検査することで、脅威が侵入できるレベルを素早く制限し、攻撃がオリジンサーバーに到達する前にブロックできます。

Fastly の Next-Gen WAF の主なメリットとして以下が挙げられます。

• 包括的な保護 : シンプルなルールを通じて、OWASP トップ10の Web アプリケーションの脆弱性やカスタム脅威を迅速に検出してブロックします。

• 迅速な対応 : Fastly の Next-Gen WAF は、POP のグローバルネットワークを利用し、攻撃中でも超低レイテンシの検査を実施し、優れたユーザーエクスペリエンスを実現します。

• 柔軟な設定 : 変更の反映に長い時間待たされることなく、Fastly のユーザーフレンドリーなコンソールを介してルールや応答ページなどをカスタマイズできます。

• リアルタイム分析 : プロアクティブな問題の特定を可能にする Fastly のダッシュボードと API により、トラフィックとセキュリティイベントに関する貴重なインサイトが得られます。

• シームレスな統合 : Fastly の Next-Gen WAF は、CDN およびエッジ・コンピューティング・サービスと透過的に連携し、セキュリティ、パフォーマンス、デリバリー機能が統合されたソリューションを提供します。

柔軟なデプロイオプションと最先端の検出機能を備えた Fastly Next-Gen WAF は、アプリケーション、API、マイクロサービスに対して高度な保護を提供します。