WAFの基本機能とは?防げない攻撃も理解しよう

更新日:
WAF・サイバー攻撃対策のサービス資料を無料ダウンロード

WAF・サイバー攻撃対策の製品をまとめて資料請求

Webコンテンツやアプリケーションを運営している企業は、サイバー攻撃から守るためにWAFを導入することが多くなってきています。そもそも、WAFはどんな機能があるのでしょうか。WAFでは防げない攻撃も紹介します。

WAFの目的や役割

WAFが注目されている背景

WAFは色々な企業から注目されています。その理由は、Webアプリケーションの業務利用の増加です。

情報通信技術が進化したことにより、ITもどんどん進歩と発展が進んでいます。ですが、それに比例するように、不正アクセス・マルウェアなどのサイバー攻撃もどんどん巧妙化してきているのです。それらを包括的に保護することができるWAFの需要が高まってきています。

WAFの導入目的

WAFを導入する目的には、「事前対策」と「事後対策」があります。事前対策を行うことで攻撃されることで発生するセキュリティインシデントを低減することができます。事後対策ではセキュリティインシデントが起きてしまった後、被害を最小限にするようにします。これらを目的としてWAFが導入されているのです。

WAF導入による効果

WAFを導入することにより、Webアプリケーションの脆弱性のカバー、最新のサイバー攻撃への対応、攻撃を受けた後の対策が期待できます。どれも自力では難しいことばかりなので、WAF導入で対策するのがベストです。

WAFの基本的な5つの機能

通信の監視や制御

WAFのメインの機能の1つが通信の監視・防御です。WAFは、シグネチャと呼ばれる通信パターンを記録したファイルをもとにして、通信の許可・不許可を決めます。常に通信を監視しており、シグネチャに記載されてあるパターンと一致しているとき、通信を通すか通さないかを判断します。

不正のパターンから、該当する通信をブロックするのをブラックリスト方式、許可する方式をホワイトリスト方式といいます。

シグネチャの自動更新

通信するパターンを記録するシグネチャは、定期的に更新しなければなりません。シグネチャの自動更新機能もWAFの機能の1つです。アプライアンス型の場合は自社内で更新作業をしなければならないこともありますが、クラウド型の場合は自動で更新されます。

Cookieの保護

Webサイトを閲覧しているとよく出る「Cookie」も攻撃対象です。Cookieとはブラウザで情報を格納する機能です。暗号化などでCookie保護を行う機能が実装されているので、攻撃者のなりすましを防ぐことができます。

ログやレポート機能

「ログ」機能では、不正と思われる通信を検出し、閲覧できるようになっています。システムによっては、攻撃元・攻撃種別アクションというような統計・攻撃元・攻撃種別の上位集計を「レポート」機能を利用してWebブラウザ上でチェックできます。

特定のURLやIPアドレスの除外・拒否

「特定URL除外」機能では、警戒がしなくてもいいWebページのURLを登録しておくことで、防御対象から外すことができます。「IPアドレス拒否」機能では、攻撃者のIPアドレスから通信をブロックすることができます。

WAFの機能でも防げない攻撃

ネットワークへの標的型攻撃

ネットワーク層に対する攻撃はファイアウォールが守備範囲としており、Webアプリケーションを守ることをメインにしているWAFでは守ることはできません。適材適所という言葉通り、ネットワーク層を守るようにしたいという場合はファイアウォールの導入を検討しましょう。

OS・ミドルウェアに対する標的型攻撃

OSやミドルウェアに対する攻撃も、WAFのみでは守り切ることはできません。ただ、WAFだけでは無理ということなので、IPSを組み合わせることで対処ができるようになります。

WAFの機能でできること・できないことがある

WAFの基本機能は便利なものばかりですが、もちろん守ることができないものもあります。こんなはずじゃなかった!ということを防ぐために、WAFの機能をしっかりと理解し、守るべきものを守れるシステムを導入しましょう。

      その他の関連する記事

      これは WAF・サイバー攻撃対策 の製品です。
      WAF・サイバー攻撃対策 の製品をまとめて資料請求
        • qeee枠【WAF】

          Webサイトを堅牢性の高いセキュリティで守る: Cloudbric WAF+

          (4.5)

          月額料金28,000円〜無料お試しあり
          初期費用要問い合わせ導入実績6,550サイト以上

          あらゆる包囲からのサイバー攻撃に対し、強固なセキュリティでWebサイトを守ることができ、高セキュリティでありながら、リーズナブルに利用することができます。 日本国内だけでも6,550サイト以上で導入されており、確かな導入効果が期待できるサービスと言えます。

          簡単に導入できる

          Cloudbric WAF+は、最短3プロセスで導入できる手軽さが魅力的です。 エージェントやモジュールをインストールする必要がなく、導入ヒアリングシートに必要事項を記入して提出、Cloudbric WAF+側でセキュリティプラットフォームを構築してもらい、DNSの情報を変更すれば設定は完了です。 利用開始後は、セキュリティエキスパートが検知ログの収集·分析を行い、セキュリティ運用ポリシーの提案を行ってくれるため、導入企業向けにカスタマイズされたセキュリティサービスを利用することができます。

          常時SSLを実現

          Cloudbric WAF+では、ウェブサイトからの通信を暗号化することができるSSL証明書を無償で提供しています。 SSL証明書の登録と更新を全て任せることで、常時SSLを簡単に実現することができるため、セキュリティ強化につながります。 また、Webサーバ側のSSL証明書を持ち込む際にも、管理画面で簡単にアップロードすることが出来ます。

          DDoS対策も可能

          過剰なデータを送りつけてサーバの運用を妨害するサイバー攻撃であるDDoS攻撃に対しても、Cloudbric WAF+であれば簡単に対策することができます。 利用しているプランに関わらず、基本料金内でL3/L4のネットワークレベルとL7のアプリケーションレベルのDDoS攻撃に対応できるため、余計なコストもかかりません。

          AWS WAFの運用を成功に導く: Cloudbric WMS for AWS

          (4.5)

                   
          月額費用47,500円~無料お試し30日間無償
          初期費用0円最短導入期間要問い合わせ

          Cloudbric WMS for AWSとは、クラウドブリック株式会社が運営しているAWS WAFに特化した運用サービスです。 AWS WAFは、専門的な知識が必要で、運用のためには複雑な設定が必要になるケースも多いため、自社に専門的なリソースがない場合は運用が難しいケースもあります。

          脅威インテリジェンスの専門性

               

          Cloudbric WMSでは、114カ国700,000サイト以上から収集される脅威情報と、日本を含んだ3カ国にて特許を取得している、自社開発の独自AI技術に基づいた危険度スコアリングによる脅威IPの遮断とS3ログ分析による攻撃遮断が可能となっています。

          高度化されたカスタム・ルール

          Cloudbric WMSは、日本を含んだ5カ国にて特許取得済みの論理演算検知ロジックをコーディングして、Webアプリケーションを守るために必要なセキュリティをカスタム・ルールにて提案してくれます。

          配コンサルティングとサポート付き

          Cloudbric WMSは、セキュリティ・ルール適用、誤検知対応はもちろん、その他の機能設定までを任せることができるコンサルティング付きのサービスとなっています。 24時間365日のモニタリングとサポートを提供しており、導入から利用までの全プロセスにおける柔軟なサポートが可能です。

          複数のセキュリティ対策がオールインワン: BLUE Sphere

          (4.5)

          月額費用45,000円〜無料お試しあり
          初期費用要問い合わせ最短導入期間要問い合わせ

          WAFをはじめとしたDDoS防御やDNS監視など、複数の機能に加え、もしもの時の損害にも対応できるサイバーセキュリティ保険を付帯しているサービスで、WEBサイトのセキュリティ課題を一気に解消することができます。

          複数のセキュリティ対策をオールインワンで提供

          BLUE Sphereであれば基本機能の章で紹介した複数の機能が一つの製品にまとまっているため、包括的にWEBサイトを防御することができます。BLUE Sphereは非常にコストパフォーマンスに優れている製品だと言えるでしょう。

          登録ドメイン数が無制限

          WAFを提供しているサービスのほとんどが、登録するWEBサイト数(ドメイン数)に制限があります。 しかしBLUE Sphereは、複数のサイトを運営している企業でも契約の結び直しや追加料金を払うことなくドメインを追加することができます。

          改ざん検知も可能

          攻撃者がWEBサーバに不正ログインをしてWEBサイトを書き換えてしまうサイバー攻撃も軽視できない重大な問題となっています。 WEBサイトを改ざんされるとサービスが利用できなくなったり、サイト訪問者へのウイルス感染などの危険性があるため、改ざん時には早急に検知する対策が望まれます。

          類似サービス: Securify

          (4.5)

                             
          月額費用要お問合せ無料お試し2週間
          初期費用要お問合せ最低導入期間要問い合わせ

          Securifyとは、株式会社スリーシェイクが運営している脆弱性診断ツールです。 外部セキュリティベンダーでは難しかったスピーディーかつ手軽な脆弱性診断を実現し、セキュリティレベルを可視化、DevSecOpsへの取り組みを支援します。

             

          最短3ステップで診断開始

          Securifyの脆弱性診断は、簡単かつ短いステップで実現できます。 まずはプロジェクト名と内容を入力してプロジェクトを作成、診断対象のドメインまたはサブドメインを入力、最後に診断対象のURLを登録するだけで脆弱性の診断を始めることが可能です。

          シンプルで使いやすいインターフェース

          Securifyは、シンプルで直感的に操作ができるユーザーインターフェースで設計されています。 現在の診断状況や危険度は、ダッシュボードから一目で確認することができ、セキュリティに関する専門的な知識がない場合でも、脆弱性診断を実施、管理することができます。

          わかりやすい診断結果で改善をサポート

          Securifyの診断結果画面では、発見された脆弱性の危険度をスコアによって可視化することができ、その脆弱性によって起こりうる問題や修正方法の例を日本語で丁寧に解説してくれます。 脆弱性と判断した根拠となるリクエストや概要解説、修正方法の提案など、トリアージに必要な情報を提示してもらえるため、自社で修正が必要な情報を調査する手間が発生しません。

          類似サービス: SiteGuard

          (4.5)

                             
          月額費用25,000円~無料お試し要問い合わせ
          初期費用要問い合わせ最低導入期間要問い合わせ

          SiteGuardとは、EGセキュアソリューションズ株式会社が運営しているWAFです。 手軽に導入できるクラウド型や、カスタマイズ性に優れたソフトウェア型、ゲートウェイ型でサービスを提供しており、Webサイトの安全性を高めることができます。 100万サイト以上※で導入されている実績があり、純国産WAFのため、開発・販売・サポートをすべて自社で対応することができ、安心して利用することができるサービスです。

                 

          柔軟な導入が可能

          SiteGuardは、導入企業のシステム環境に合わせた3種類の製品を提供しています。 SiteGuard Cloud Editionは、DNS切り替え型のクラウド型WAF製品です。DNSの設定変更によりWAFを導入できるため、新たな機器の設置やインストール作業は不要です。

          様々な攻撃を検出、防御

          SiteGuardは、Webアプリケーションの脆弱性を悪用した様々な攻撃を検出し、Webサイトを保護することができます。 様々な脅威からWebサイトを守ることができ、WordPressなどのCMSを利用したWebサイトの保護も可能です。

          簡単導入・簡単運用!

          Cloud Editionはマネージド型のクラウド WAFのため、日々の運用もエンジニアの伴走によりサポートいたします。 また、シンプルに利用できるよう設計されており、必要最小限の設定項目に絞り込まれているため、短期間で導入できる点も優れています。

        広告

        リード情報をお求めの企業様へ
        STRATE[ストラテ]に貴社サービスを掲載しませんか?

        まずは無料で掲載