読み：わふ ／ 分野：IT・システム
WebサイトやWebアプリへの攻撃を検知・遮断して守る、通信を監視する仕組みです。
WAF（Webアプリケーションファイアウォール）とは、Webサイトやアプリへの通信を監視し、不正な攻撃を検知・遮断する仕組みです。問い合わせフォームやログイン画面など、外部からの入力を受け付ける部分を狙った攻撃から、システムを守る目的で使われます。
意味
Webサイトは、入力フォームや検索窓などを通じて外部からの操作を受け付けています。この入口を悪用し、データベースを不正に操作したり、個人情報を盗み出したりする攻撃手口があります。代表的なものに、SQLインジェクションやクロスサイトスクリプティングと呼ばれる攻撃手法があります。
WAFは、こうした攻撃に特有の通信パターンを検出するルールを持ち、怪しい通信を遮断します。社内ネットワークの出入口を守る一般的なファイアウォールとは異なり、Webアプリケーションの中身、つまり通信の内容まで見て判断する点が特徴です。クラウドサービスとして提供されるものや、サーバーにソフトウェアとして組み込むものなど、提供形態はいくつかあります。
使われる場面と具体例
- ECサイト運営者が、顧客の個人情報や決済情報を狙った攻撃から会員情報データベースを守るために導入します。
- 企業の問い合わせフォームを狙った不正な自動送信や攻撃的な入力を防ぐため、総務やWeb担当者が設定します。
- Webシステムを開発した委託先が、納品物の安全性を高める目的で、あらかじめWAFの設定を提案し組み込みます。
中小企業が押さえたい点
- 自社サイトやシステムに個人情報・決済情報など守るべき情報があるかを確認し、導入の必要性を判断します。
- クラウド型は比較的導入しやすく、自社でサーバーを管理する運用負担を抑えられる場合があります。
- WAFを入れても万能ではないため、OSやソフトウェアの更新、パスワード管理など他の対策と組み合わせる必要があります。
- 誤検知により正常な利用者の操作まで遮断してしまうことがあるため、導入後は動作確認や調整が欠かせません。
よくある誤解
- WAFを導入すればすべての攻撃を防げると誤解されがちですが、万能な対策ではなく、他のセキュリティ対策と併用するものです。
- 一般的なファイアウォールと同じものだと思われがちですが、WAFはWebアプリケーションの通信内容まで検査する点で役割が異なります。
よくある質問
Q. WAFはどんな企業でも導入すべきですか。
A. 個人情報や決済情報を扱うサイト、外部からの入力を受け付けるシステムを運営する場合は検討する価値があります。扱う情報の重要度に応じて判断します。
Q. 導入にはどのくらいの期間がかかりますか。
A. クラウド型のサービスであれば比較的短期間で設定できる場合がありますが、既存システムとの相性確認や調整に時間がかかることもあります。
Q. WAFを入れれば他のセキュリティ対策は不要ですか。
A. いいえ、不要にはなりません。ソフトウェアの更新や脆弱性対応、アクセス管理など、他の対策と組み合わせて初めて効果が高まります。
関連する用語
関連記事
ほかの用語を探す
