Web Application Firewall（WAF）とは？
WAF（Web Application Firewall）は、Webアプリケーションとインターネット間のHTTPトラフィックをフィルター処理および監視することで、Webアプリケーションを保護するのに役立ちます。一般に、クロスサイト偽装攻撃、クロスサイトスクリプティング（XSS）攻撃、ファイルインクルード攻撃、SQLインジェクション攻撃などのような攻撃からWebアプリケーションを保護します。WAFは、プロトコルレイヤー7防御（OSIモデル内）であり、すべてのタイプの攻撃を防御するようには設計されていません。通常、こうした攻撃軽減策は、一連のツールの一部であり、組み合わせることで、さまざまな攻撃ベクトルに対する包括的な防御策となります。
Webアプリケーションの前にWAFをデプロイすることにより、Webアプリケーションとインターネットの間にシールドが張られます。プロキシサーバーは、仲介者を使用してクライアントマシンのIDを保護しますが、WAFはリバースプロキシの一種であり、クライアントがサーバーに到達する前にWAFを通過させることでサーバーを暴露から保護します。
WAFは、一般にポリシーと呼ばれる一連のルールを通じて動作します。こうしたポリシーは、悪意のあるトラフィックをフィルター処理することでアプリケーションにおける脆弱性から保護することを目的としています。WAFの価値は、その迅速性とポリシーの変更を簡単に行える簡便性にあり、さまざまな攻撃ベクトルに迅速に対応できます。DDoS攻撃では、WAFポリシーを変更することでレート制限を素早く実装できます。
WAFにおけるブラックリスト方式とホワイトリスト方式の違いとは？
ブラックリスト（ネガティブセキュリティモデル）に基づいて動作するWAFは、既知の攻撃から保護します。ブラックリストWAFを、ドレスコード（服装規定） を守っていない客の入場を拒否するよう指示されているクラブの警備員と考えてください。逆に、ホワイトリスト（ポジティブセキュリティモデル）に基づくWAFは、事前に承認されたトラフィックのみを許可します。これは、プライベートパーティの警備員のようなものであり、リストに名前のある人物のみの入場を許可します。ブラックリストとホワイトリストには、それぞれにメリットとデメリットがあるため、多くのWAFは両方を実装するハイブリッドセキュリティモデルを提供します。
ネットワークベース、ホストベース、クラウドベースのWAFとは？
WAFはこの3つの方法のうち1つで実装することができますが、それぞれにメリットとデメリットがあります。
- 通常、ネットワークベースのWAFは、ハードウェアベースです。ローカルインストールのためレイテンシーを最小化しますが、ネットワークベースのWAFは、最も高価なオプションであり、物理的な機器の収納と保守も必要です。
- ホストベースのWAFは、アプリケーションのソフトウェアに完全に統合されている場合があります。このソリューションは、ネットワークベースのWAFよりも安価であり、より高いカスタマイズ性を備えています。ホストベースのWAFの欠点は、ローカルサーバーリソースの消費、実装の複雑さ、メンテナンスコストです。通常、そうした要素によりエンジニアリング時間が必要となりコストがかかる場合があります。
- クラウドベースのWAFは、非常に簡単に実装できる廉価なオプションを提供します。通常、トラフィックをリダイレクトするようDNSを変更するといったようなターンキー方式の実装が可能です。また、クラウドベースのWAFでは、サービスとしてセキュリティに対して月払いまたは年払いの料金を支払うため最小限の初期費用で済みます。また、ユーザー側での追加の作業やコストなしに、最新の脅威から保護するために常に更新されるソリューションを提供することもできます。クラウドベースのWAFの欠点は、サードパーティに責任を移譲するため、WAFの一部機能がブラックボックス化する恐れがあります。CloudflareのクラウドベースのWAFソリューションについては、こちらをご覧ください。