WAFとは、Webアプリケーションの脆弱性を悪用した攻撃などから、Webアプリケーションを保護するソフトウェアまたはハードウェアです。Web Application Firewallの略で、定義はIPAのWeb Application Firewall読本（2011年12月の改訂第2版）によります。
今日やることは、自社サイトの入力欄を数えることです。問い合わせ、資料請求、会員ログイン、検索窓、見積もり依頼を書き出し、それぞれのデータがどこに保管され、誰が修正できるのかを1行ずつ埋めます。
この表が埋まると、WAFの要否はかなり判断しやすくなります。
WAFはどんな仕組みで攻撃を防ぐ？
WAFは、Webサイトと利用者の間の通信の中身を、設定した検出パターンに沿って機械的に検査します。IPAの読本は、期待できる効果として次の3つを挙げています。
- 脆弱性を悪用した攻撃からWebアプリケーションを防御する
- 脆弱性を悪用した攻撃を検出する
- 複数のWebアプリケーションへの攻撃をまとめて防御する
現在の製品でも基本の役割は同じです。たとえばAWS WAFの公式文書は、利用者がアプリケーションに送るWebリクエストを監視し、アクセスを制御するために使うものと説明しています。
読本は2011年の資料なので、製品の種類や価格の話はそのまま今に当てはめないでください。判断の考え方と留意点を読む資料として使えます。
ファイアウォールとは何が違う？
ファイアウォールが見るのは、IPアドレスやポート番号など、通信の送信元と送信先の情報です。社内のファイル共有にインターネットから入れないようにする、といった使い方をします。
WAFは通信の中身を見ます。公開しているWebサイトへの通信は、ファイアウォールを通る必要があるので、中身の検査は別の役割になります。社内ネットワークの出入口の機器を見直すなら、ファイアウォール機器の製品比較が別に要ります。
WAFで防げないことは？
この点を先に押さえないと、導入したあとに判断を誤ります。
IPAの読本は、WAFを脆弱性の修正といった根本的な対策ではなく、攻撃による影響を低減する対策と位置づけています。安全なウェブサイトの作り方も、原因を無くす根本的な解決と、影響を軽減する保険的対策を分けています。同書の本文では、保険的対策のみに頼る設計は推奨されないとしたうえで、すぐに直せないときの暫定対策になると説明しています。
具体的には、次の3点が残ります。
| 残る問題 |
中身 |
手当て |
| すべての攻撃は防げない |
脆弱性を狙った攻撃の種類によっては防御できない可能性がある |
防ぎたい攻撃に対応しているかを事前に確認する |
| 正常な通信を止めることがある |
機械的な検査のため、偽陽性で利用者の通信を遮断する場合がある |
導入後にログを見て設定を調整する担当を置く |
| 盗まれたIDでの侵入 |
正しいIDでのログインは別の対策の領域 |
多要素認証、IDの棚卸し |
最後の行は、読本の記述ではなく私たちの整理です。入口全体の順番は不正アクセスの入口と防ぎ方で見られます。
製造業のサイトで起きやすい偽陽性の例で考えます。たとえば、問い合わせフォームに図番や型番、記号の多い仕様をそのまま入力してもらう場合です。文字列によっては検出パターンに当たる可能性があるので、試験期間を設けて、実際の入力例で確かめる必要があります。
自社サイトにWAFは要る？判断の基準は？
次の4つを順に確かめます。IPAの読本の「WAFが有効な状況」を、中小企業のサイトに当てはめて整理した私たちの基準です。法令や公的機関が決めた線引きではありません。
| サイトの状況 |
判断 |
| 会社案内だけで入力欄もログインもなく、更新の担当もいる |
更新と管理画面の守りを先に整える。WAFは急がない |
| 問い合わせや資料請求のフォームがあり、受信データをサーバーに保管している |
検討する。保管をやめられるなら、それも比べる |
| フォームやCMSの改修を頼める相手がいない、サポートが切れている |
検討する理由が強い。並行して作り替えの計画も立てる |
| 会員ログイン、取引先向けの見積もりや図面、注文情報を扱う |
導入を前提に比べる。脆弱性診断も合わせて考える |
入力欄とログインの有無を見る
入力欄もログイン機能もないサイトでも、CMSで動いていれば公開中のアプリケーションがあります。WAFが要らないと決めるのは、静的なHTMLで管理画面も外に出ていないなど、構成を確かめたあとにします。
修正のしやすさを見る
読本は、WAFが有効な状況として、開発会社に改修を依頼できない場合や、直接管理できないアプリケーションに対策したい場合、攻撃をすぐに防御する必要がある場合を挙げています。
中小企業に多いのは、開発を依頼した会社が保守をやめている、改修費用が予算に収まらないという場面です。たとえば、機械部品メーカーが10年前に作った会員向けの図面ダウンロード機能を、社内の誰も直せない場合です。WAFで時間を稼ぎながら、作り替えや閉鎖を決めるという順番が考えられます。
費用を比べるときの注意
読本は、WAFには製品価格や設置の費用だけでなく、保守、ログの確認、検出パターンの更新などの運用費用がかかるとしています。改修やほかの対策の費用と比べるときは、導入費と運用費の合計で見てください。
種類は自社の構成で絞る
読本は、ネットワークの構成を変えられないならサーバーに入れる型やサービスとして提供される型、サーバーの構成を変えられないならネットワーク設置型を選べると説明しています。
選ぶときに聞く項目は次のとおりです。
- 防ぎたい攻撃に対応しているか
- 導入でサイトの速度や可用性にどんな影響が出るか
- 設定変更とログの確認を誰がするか
- 検出パターンの更新はどちらが担当するか
- WAFが止まったときに、サイトがどうなるか
各社の仕様はWAFの製品比較で並べて見られます。
導入したあとは何をする？
入れて終わりにはなりません。読本によると、検出した通信をそのまま通す「通過処理」は、一般に導入時の検証や記録のために設定します。最初は通信を止めずに記録だけを取り、正常な問い合わせが検出されていないかを確かめる、という進め方ができます。
本番で遮断を始めたあとに見るものは、主に2つです。
- ログ：どの通信を不正と判定したか。接続元のIPアドレス、接続先のURL、判定した箇所などを記録する機能があります
- 問い合わせの減少：フォームが急に静かになったら、正常な通信を止めていないかを疑います
社内に見る人がいない場合は、商用のWAFなら運用を外部に委託することもできます。委託するときは、遮断の設定を誰の判断で変えるのか、誤って止めたときに誰へ連絡するのかを、契約前に決めておきます。
WAFと一緒に考える対策は？
WAFを入れても、根本の確認は残ります。脆弱性が実際にあるかを調べるのが診断で、脆弱性診断サービスの比較で範囲と方法を見比べられます。
改ざんされたことに気づく手段も別に要ります。Webサイト改ざん検知の製品比較が該当します。
中小企業の基準としては、IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版があります。「5分でできる！情報セキュリティ自社診断」に「ウェブサイトを安全に運用する」という項目が加わったので、WAFの検討の前に自社の状態を確かめる材料になります。
WAFで手当てできる範囲を見きわめるには、ほかの攻撃との違いも知っておくと役立ちます。アクセスを集中させてサイトを止める攻撃はDDoS攻撃への備えの決め方、通信の暗号化はSSL証明書の確かめ方で扱っています。Webサイト全体の守り方はWebサイト・サーバー防御のカテゴリにまとめています。
