WAFとは

WAFとは

WAF（Web Application Firewall）とは、Webサイトやアプリに届く通信の中身をチェックし、脆弱性を狙った攻撃を検知・遮断するセキュリティの仕組みです。問い合わせフォーム、会員ログイン、ECサイトの決済画面など、利用者が情報を入力するWebサイトを守るために使われます。

ファイアウォールとの違い

一般的なファイアウォールは、通信の「送り元・宛先・ポート番号」を見て通すかどうかを判断します。いわば建物の入口で「どこから来た誰か」を確認する警備員です。

WAFは、通信の「中身」まで確認します。フォームに入力された文字列にデータベースを操作する命令が紛れていないか、といった点を見て、Webアプリの弱点を突く攻撃を止めます。

WAFで防げる主な攻撃

• SQLインジェクション: 入力欄にデータベースを操作する命令を入れ、顧客情報を盗み出す

• クロスサイトスクリプティング（XSS）: 不正なスクリプトを埋め込み、閲覧者の情報を盗む

• ブルートフォース攻撃: ログイン画面でパスワードを総当たりで試す

• 既知の脆弱性を狙った攻撃: WordPressのプラグインなど、公開済みの弱点を突く通信

WAFの種類

クラウド型: 通信をWAF事業者のサービス経由にする方式。月額数千円から利用でき、中小企業のWebサイトでは最も現実的

ホスト型: Webサーバーにソフトウェアとして入れる方式。レンタルサーバーの標準機能として提供されていることも多い

アプライアンス型: 専用機器をネットワークに設置する方式。大規模サイト向け

WAFだけでは足りない理由

WAFはあくまで「攻撃を水際で止める」仕組みで、Webサイト自体の脆弱性をなくすものではありません。IPAの「安全なウェブサイトの作り方」でも、根本的な対策はWebアプリの作り方そのもので行い、WAFは補助的な対策と位置づけられています。CMSやプラグインの更新、不要な機能の削除と組み合わせることが前提です。

具体例

ある工務店のWordPressサイトで、ログイン画面への総当たり攻撃が1日に数千回届いていることがサーバーのログからわかりました。レンタルサーバーのWAF機能を有効にし、管理画面へのアクセスを社内のIPアドレスに限定したところ、不正なログイン試行はほぼなくなりました。

WordPressの具体的な対策はWordPressのセキュリティ対策、Webサイト全体の守り方はWebサイトのセキュリティ対策ガイドで解説しています。

関連サービス

Swaaabでは、Webサイトの基本的なセキュリティ対策の点検や、更新作業が少なくて済む静的サイトへの移行をAIセキュリティ対策支援とWeb制作でご相談いただけます。本格的な脆弱性診断は、提携する専門事業者と連携してご提案します。