WAFの設定で決めるのは、守る範囲、遮断するか記録するかの動かし方、誤検知の直し方、ログを見る担当の4つです。レンタルサーバーでは選べる項目が少なく、クラウドでは細かく決められる分だけ運用の手間が増えます。
今日やることは、正常な操作の一覧を作ることです。問い合わせの送信、ファイルの添付、CMSの記事の更新、プラグインの更新、決済や予約などを書き出します。これが、WAFを有効にしたあとの確認リストになります。
WAFの設定で何を決める？
IPAのWAF読本（2011年 改訂第2版）は、導入の前に、守りたいウェブアプリケーションと防ぎたい攻撃を洗い出し、ログの運用や検出パターンの更新を検討しておくよう示しています。古い資料ですが、考え方は製品を選ばず使えます。これを踏まえて、中小企業で決める項目を4つにまとめました。
| 決めること |
中身 |
決めないと起きること |
| 守る範囲 |
サイト全体か、フォームや管理画面か |
守りたい場所が対象から漏れる |
| 動かし方 |
最初は記録だけか、すぐ遮断するか |
正常な操作が突然止まる |
| 誤検知の直し方 |
止める範囲と、戻す手順 |
全部切ったまま忘れる |
| ログの担当 |
誰がいつ見るか |
攻撃も誤検知も気づかない |
WAFは根本的な対策ではありません。IPAの読本は、実装面の根本的な対策ではなく、攻撃の影響を低減する運用面の対策と位置づけています。CMSやプラグインの更新は、WAFを入れても続けます。
レンタルサーバーのWAFはどう設定する？
会社案内やフォームが中心のサイトなら、レンタルサーバーの機能を有効にするところから始められます。IPAの補足資料（2019年）も、ネットワークの変更やソフトウェアの追加ができない組織にとって、有効な選択肢としています。
ただし、機能はサービスごとに違います。2社の公式の手順を見ると、調整できる範囲の差が分かります。
| 確認する点 |
エックスサーバー |
さくらのレンタルサーバ |
| 設定の単位 |
攻撃の項目ごとに選ぶ |
ドメインごとに利用するか選ぶ |
| 検知時の動作 |
アクセスを拒否しエラーページを表示 |
攻撃と判断したアクセスを遮断 |
| 確認の注意 |
反映に最大30分程度かかる場合がある |
検出ログは前日分で、即時に出ない |
| そのほかの注意 |
100％の防御を保証するものではない |
PHPなどの動作やCDNの併用に影響がある |
表はエックスサーバーのマニュアル（新サーバーパネル）とさくらのサポート情報によります。エックスサーバーで選べる項目は、XSS、SQL、ファイル、メール、コマンド、PHPの6つです。さくらはシグネチャ型のSiteGuardを使っています。
設定の順番は次のとおりです。
- アクセスの少ない時間に有効にする
- 反映を待ち、正常な操作の一覧を上から試す
- 動かない操作があれば、時刻とURLを控える
- WAFのログや設定を確かめ、影響している項目を絞る
- 調整のあとで、もう一度一覧を試す
さくらの案内には、CGIやPHPプログラムのインストールに影響がある場合は、前もってWAFを無効にするよう書かれています。作業のあとに有効へ戻す担当まで決めてください。
クラウドのWAFは何が違う？
クラウドのWAFは、ルールの選択、例外、ログの送り先まで自社で決められます。最大の違いは、遮断の前に記録だけで試せることです。
AWS WAFでは、ログ、指標、リクエストのサンプルを有効にし、テストするルールをカウントモードにします。ただし、カウントのルールは後続のルールの評価を止めないので、本番の遮断とは結果が一致しない場合があります。
Azureのアプリケーションゲートウェイには、記録する検出モードと遮断する防止モードがあります。Microsoftは、新しいWAFを短期間だけ検出モードで動かし、ログをもとに例外やカスタムルールを更新してから、防止モードへ移す流れを示しています。
Cloudflareは、すべてのプランで無料のマネージドルールを提供し、上位のルールはプランで分かれます。例外で特定の条件のルールを飛ばす機能や、ルールの動作を変える機能もあります。
費用の見方も違います。AWS WAFの料金例では、Web ACL 1つ、ルール19個、月1,000万リクエストで月30米ドルです。Bot Controlなどの追加機能は別料金です。DDoS攻撃への備えまで考えるなら、AWS Shieldの違いと料金もあわせて見てください。
自社で調整する人がいないなら、運用まで含むサービスを比べます。IPAの補足資料（2019年）は、小規模な組織や運用の人員を用意できない場合に、クラウドサービス型のWAFを導入する企業が見られると述べています。候補はWAFの製品比較で見比べられます。
誤検知が起きたらどうする？
誤検知は起きるものとして手順を決めておきます。IPAの読本によれば、WAFは検出パターンで機械的に検査するので、正常な通信を不正と判定する偽陽性と、攻撃を見逃す偽陰性の両方が起こり得ます。
たとえば、制御機器メーカーの技術相談フォームに「ping」「mail」といった語が入る場合で考えます。エックスサーバーのコマンドの項目は、kill、ftp、mail、ping、lsなどの文字列を含むアクセスを検知するので、相談の文面によっては止まる可能性があります。CMSで記事にスクリプトのタグを入れる操作も、XSSの項目に当たることがあります。
順番は次の4つです。
- 発生した時刻、URL、操作を控える。画面の表示を写真に残す
- ログで止めたルールや項目を探す。エックスサーバーのよくある質問は、403エラーの原因の切り分けとして設定をOFFにして確かめる手順を案内している
- 止める範囲をできるだけ狭くする。項目単位でOFFにするか、クラウドなら対象のURLやルールだけ例外にする
- もう一度、正常な操作を試し、変更の内容と理由を記録する
クラウドでは、AWSの手順のように、誤検知を起こす通信だけを別のルールで許可する方法があります。全体を無効にするより、影響を狭く保てます。
避けたいのは、誤検知のたびに全部をOFFにして、そのまま戻さないことです。 IPAの読本も、遮断を避けるために検出パターンを無効にせざるを得ない場合があると触れています。無効にした分だけ攻撃は通りやすくなるので、理由と戻す日を記録します。レンタルサーバーで項目単位より細かく調整できないなら、サーバー会社に相談するか、ほかの方式を検討します。
ログは誰がいつ見る？
有効にしただけでは、攻撃も誤検知も分かりません。IPAの読本は、誤検知の有無や攻撃の傾向を見たいときは、数時間おきなど短い頻度で監査ログを確かめる検討を示しています。
中小企業なら、有効にした直後の1週間と、それ以降で頻度を分けるのが現実的です。次の項目を担当者の予定に入れます。
- 導入直後は毎営業日、遮断された通信と問い合わせの有無を見る
- 落ち着いたら月1回、遮断の多いURLと項目を見る
- サイトの改修、プラグインの更新、ルールの更新のあとは、正常な操作の一覧を試す
IPAの読本は、新しい検出パターンで偽陽性が生じる恐れにも触れています。ルールが自動で更新されるサービスでは、ある日から急に止まることも想定して、連絡先を決めておきます。
WAFのほかに決めることは？
WAFは、すべての攻撃を止める設備ではありません。ほかの対策と役割を分けて考えます。
- サーバーの中まで守るなら、サーバーセキュリティの製品比較を確かめる
- 改ざんに早く気づくなら、Web改ざん検知の製品比較を見る
- 大量の通信で止められる攻撃には、DoSとDDoSの防ぎ方の違いを確かめる
- 通信の暗号化は、SSL証明書の選び方で別に判断する
Webサイト全体の守り方は、Webサイトとサーバーのセキュリティで順に確かめられます。
