WAF製品の比較の見方は？クラウド型と機器型で確かめる項目を整理

WAF製品は、機能の数より先に、導入後の設定の見直しと誤検知の確認を誰が担うかで比べます。

今日やることは、社内の担当者の名前を1人書くことです。「WAFが正常な通信を止めたとき、誰がログを見て、誰が設定を直すか⁠」⁠。社内に書ける人がいなければクラウド型か運用の委託から検討し、書ける人がいれば機器型まで候補に広げられます。

比較の軸には、IPAのWeb Application Firewallの導入に向けた検討項目（2019年）⁠を使います。古い資料ですが、誰が運用するかという論点は変わっていません。製品の機能は各社の最新の資料で確かめてください。Webサイトの守りの全体はWebセキュリティの解説⁠で扱っています。そもそも自社にWAFが要るかはWAFとファイアウォールの違い⁠で確かめられます。

クラウド型と機器型は何が違う？

IPAはWAFを3種類に分けています。

• アプライアンス型：組織のネットワークに専用の機器を置き、Webサーバーへの通信を通して検査する。仮想アプライアンスとして提供される場合もある
• ソフトウェア型：Webサーバーにソフトとして入れて検査する
• サービス型：組織の外にあるサービスを経由して検査する（この記事のクラウド型）

この記事では、検索でよく比べられるクラウド型と機器型を中心に見ます。IPAの検討項目が示す傾向は、次のとおりです。

費用は「傾向」⁠で⁠す⁠。IPA自身が、通信量やサービス内容、環境によって異なると断っています。監視するURLや通信量が多いサイトでは、クラウド型のほうが高くなる場合もあります。

製品によっては、この分類をまたぎます。たとえばFortinetのFortiWebは、ハードウェア、仮想マシン、SaaSの形で提供されると公式に説明しています。F5のAdvanced WAFも、クラウドとハードウェアの提供先を案内しています。製品名ではなく、自社が契約する形で比べます。

誤検知の対応を誰がするかで、なぜ結果が変わる？

WAFは通信を機械的に検査するので、判定を間違えることがあります。IPAのWAF読本は、正常な通信を不正と判定する偽陽性と、不正な通信を正常と判定する偽陰性の両方を説明しています。

偽陽性が起きると、お客様の正常な操作がWAFで止まります。たとえば、部品メーカーの見積もりフォームで、特殊な記号を含む型番の入力が攻撃に似た形に見えて、送信できなくなる場合です。お客様が「送れない」⁠と電話をくれるとは限りません。自社のサイトの作りが独特なほど、検知対象の調整が必要になるとIPAの資料にもあります。

ここで確かめるのは、次の4つ⁠の問いです。

クラウド型は、設定の大部分を提供者が担うので楽になります。その代わり、調整できる項目はサービスに依存し、運営者の意向に沿った設定ができない場合があります。機器型は自由に調整できますが、ログの確認も見直しも自社の責任です。

運用の担当がいないのに機器型を選ぶ必要がある場合は、委託という手があります。IPAの資料は、WAFの正常性の監視や攻撃を検知したときの連絡を請け負う会社があること、委託先によって管理できる製品が異なることを書いています。契約の前に、委託先が候補の製品を扱えるかを確かめます。

導入のときは、いきなり遮断していい？

遮断を有効にする前に、記録だけで試す進め方があります。

MicrosoftのAzure WAFのベストプラクティスは、調整中はトラフィックを記録するだけで遮断しない検出モードを使い、調整のあとで防止モードに切り替えるよう書いています。同じ資料は、検出モードのままでは保護にならないと注意しています。切り替えを忘れると、入れただけで何も止めていない状態になります。

AWSの誤検知の管理についての解説は、開発環境やステージング環境で試し、本番ではカウントモードで確かめてから適用する方法を案内しています。ログを定期的に見て、止められた正しい通信を探すことも勧めています。Cloudflareの資料にもWAFの例外を作る手順⁠があります。

名前は製品ごとに違っても、確かめることは同じです。記録だけのモードがあるか、例外を画面で作れるか、その作業を誰がするかです。

比較表で確かめる項目は？

製品を並べるときは、次の順で確かめます。上の項目で候補が減るので、機能の細かい差は最後で足ります。

1の確認で済む場合があります。IPAの資料は、WAFを標準で提供するレンタルサーバー事業者が増えていると書いています。新しく買う前に、今の契約を確かめてください。

3つ⁠の基準を点で数えたいときは、IPAの検討項目の表3-1が使えます。導入の緊急度、社内で設定を検討できるか、サイトの停止が致命的か、などの質問に答えると、3種類のうち合う型の見当がつきます。

WAFの比較で別に見るものは？

WAFだけで受けきれない話が2つあります。

1つ目は大量の通信で止める攻撃です。WAFはWebアプリへの通信を調べる製品で、回線そのものが埋まる攻撃まで受けられるとは限りません。内閣サイバーセキュリティセンターの2025年2月⁠の注意喚起⁠が挙げた対策にはWAFも含まれますが、回線事業者やクラウドの提供する遮断、CDNの利用も別に並んでいます。止まると困るサイトは、DDoS対策サービスの比較も見ます。実際にどんな業務が止まったかはDDoS攻撃の事例のまとめ⁠で確かめられます。

2つ目は書き換えられたあとの発見です。WAFをすり抜けた攻撃があれば、ページの改ざんに気づく手段は別に要ります。Web改ざん検知の比較は、検査の間隔や自動復旧で製品の差を確かめられます。

製品の種類と価格はWAFの比較にまとめています。運用の担当者を決めてから表を見ると、候補を絞りやすくなります。