WAFとファイアウォールの違いは？両方が必要な会社と守る場所の差

WAFとファイアウォールの違いは守る場所です。ファイアウォールは通信の宛先や送信元で出入口を管理し、WAFはWebアプリケーションへの通信の中身を調べます。

今日やることは、自社が公開しているWebサイトを書き出し、それぞれに「問い合わせフォーム」「ログイン」「検索」「データベースとのやりとり」⁠があるかに印をつけることです。印がついたサイトが、WAFの検討対象です。社内にファイアウォールがあるかどうかとは別に判断します。

根拠にするのは、IPAのWeb Application Firewall 読本 改訂第2版（2011年）⁠と導入に向けた検討項目（2019年）⁠で⁠す⁠。少し古い資料ですが、役割の違いの説明はそのまま使えます。Webサイトの守りの全体はWebセキュリティの解説⁠で扱っています。

ファイアウォールでは、なぜWebサイトへの攻撃を止められない？

ファイアウォールは、送信元と送信先の情報（IPアドレスやポート番号など）⁠をもとにアクセスを制限します。社内のファイル共有にインターネットから入れないようにする、といった使い方です。公開する必要のない入口を閉じられるのが強みです。

ところがWebサイトは、誰でも見られるように公開しているものです。読本は、ファイアウォールでアクセスを制限するわけにはいかないので、Webアプリの脆弱性を悪用する攻撃は防げないと説明しています。

建物にたとえると、ファイアウォールは来訪者の行き先を見て、関係者以外が入れない扉を閉める警備です。Webサイトは来客用の入口を開けておく必要があります。来客を装って持ち込まれる荷物の中身までは、この警備では調べません。その荷物を調べるのがWAFの役目です。読本は、データベースを不正に操作するSQLインジェクション攻撃の特徴を含む通信を遮断する例を挙げています。

WAF、ファイアウォール、IPSの守る場所はどう違う？

名前が似た3つ⁠を並べると、見ている場所の差が分かります。

読本によれば、IPSとWAFはどちらも検出パターンで通信の中身を検査します。WAFはWebアプリに特化していて、攻撃のパターンで調べる方法に加え、正常な通信を定義して調べる方法も使えるのが特徴です。製品の種類と性能はIDS／IPSの比較、社内の出入口の機器はファイアウォールの比較⁠で確かめられます。

最近のファイアウォール製品にはIPSなどの機能を組み込んだものがあります。機器の名前で判断せず、契約している機能の一覧を確かめます。「ファイアウォールの中にWAFの機能もあるはず⁠」⁠と思い込まず、Webアプリへの通信を調べる機能が有効になっているかを保守会社に聞いてください。

両方が必要なのは、どんな会社？

社内ネットワークをインターネットにつなぐ会社なら、規模を問わずファイアウォールの役割は要ります。論点は、そこにWAFを足すかどうかです。次の条件を順に見ていきます。

逆に、会社案内だけの静的なページで入力画面もデータベースもない場合は、優先度は下がります。読本が扱うWAFの役目はWebアプリの保護なので、守るアプリがなければ効果の出る場面が限られます。その場合はサーバーの更新や管理画面の守りを先に見直します。

更新がすぐにできないサイトでは、WAFの意味が大きくなります。IPAの検討項目は、2017年⁠のApache Struts2の脆弱性を例に挙げています。脆弱性の公開から国内で被害が起きるまで短期間だったのに対し、複数のWAFベンダーが翌日中に攻撃を遮断するシグネチャを出していました。IPAはこうした場合に、運用が適切であれば被害を水際で止められる可能性があると書いています。「止められる」ではなく「可能性がある」という書き方です。

製造業の場合、何から確かめる？

たとえば、金属加工の会社が次の3つ⁠を持っている場合を考えます。

1. 製品カタログだけの会社サイト
2. 図面を受け取る問い合わせフォーム
3. 取引先が納期を確認する会員向けのWebシステム

1は入力画面が無ければ優先度は下がります。2は入力を受けるので対象です。3は取引先の情報とログインがあるので、最初に見ます。工場や本社の社内ネットワークの出入口はファイアウォールの担当で、この3つ⁠のどれをWAFで守っても代わりにはなりません。

サイトがレンタルサーバーにある場合は、機器を買う前に契約を確かめます。IPAの検討項目は、WAFを標準で提供するレンタルサーバー事業者が増えていると書いています。自社の契約に含まれているのに使っていない、ということもあります。

WAFを入れても残る仕事は？

3つあります。

1つ目は、弱点そのものの修正です。IPAはWAFを被害の緩和策と位置づけ、ソフトウェアの修正などの根本的な解決とWAFのような保険的な対策の両面で検討するよう勧めています。

2つ目は、検知できない攻撃への備えです。検討項目は「WAFを導入すればすべての攻撃を防御できる」⁠と⁠い⁠う認識を誤りとしています。シグネチャが提供されるまで検知できない攻撃があり、一般的なWAFが監視するのはHTTPとHTTPSだけです。SSHを使ったサーバーへの不正アクセスや、FTPを使った不正なアップロードの試みは検知できません。

3つ目は、誤検知の対応です。読本は、正常な通信を不正と判定して遮断してしまう場合があると説明しています。お客様のフォーム送信が止まっても、WAFの設定が原因だと気づくには運用の体制が要ります。誰が確認するかで選ぶ製品が変わるので、クラウド型と機器型で確かめる項目⁠を合わせて読んでください。

万一入られたときの動きは、不正アクセスされたときの初動と届け出の順番⁠に整理しました。製品の種類と価格はWAFの比較で並べて確かめられます。

入れる順番はどう決める？

新しい機器を買う前に、今あるものの確認から始めます。

1. 社内ネットワークの出入口にあるファイアウォールの設定と更新の状況を確かめる
2. 公開サイトを書き出し、入力画面とデータベースの有無を確認する
3. CMSやプラグインの更新の状況を確かめる
4. レンタルサーバーやクラウドの契約にWAFが含まれていないか調べる
5. 足りない場合に、運用の担当を決めてからWAFの種類を選ぶ

この順番は私たちの整理です。Webサイトの作りの留意点は、IPAの安全なウェブサイトの作り方⁠で確かめられます。ファイアウォールとWAFは、どちらかを選ぶ関係ではありません。