通常、WAFはWebサイト／Webアプリケーションに脆弱性が含まれていたとしても、安全に運用できるように保護することを意図して設置されるセキュリティデバイスである。逆に言えば、WAFから見れば背後のWebサイト／Webアプリケーションには脆弱性が存在するというのが大前提となっている。こうした状況にもかかわらず、あえて診断機能を実装しているのは、同社がPCI DSSへの対応を重視しているからだとプロダクトマネージメントディレクターの根岸正人氏はいう。

フォーティネットジャパン プロダクトマネージメントディレクターの根岸正人氏

　PCI DSSでは、「要件6：安全性の高いシステムとアプリケーションを開発し、保守する」という項目の中で「少なくとも年1回のセキュリティ脆弱性レビュー」または「WAFの設置」のいずれかを義務付けている（要件6.6）。WAFの設置だけでも要件を満たしているのだが、さらに定期的に実施できる脆弱性診断の機能が備われば万全といえる。

　さらに言えば、WAFがあればWebサイト／Webアプリケーションに脆弱性が存在しても構わない、という発想はリスク要因になり得る。WAFによる保護に加えて、Webアプリケーションのプログラム開発も可能な限りセキュアな形で行うことを推進していくことはセキュリティを高める上で重要な取り組みだ。

Webサイトの復旧

　もう1つの特徴的な機能が、Webサイトの復旧機能だ。Webサイトは、悪意あるユーザーによるガンブラー（Gumblar）攻撃などでマルウェアに感染する危険性があるが、FortiWebではWebサイトの内容を定期的にチェックしてオリジナルと相違がないかどうかを確認し、変更を検出した場合にはバックアップされているオリジナルのファイルを復旧する機能が実装されている。これもWAFとしてはあまり例のないユニークな機能だ。

Webコンテンツの改ざん検知と自動復旧機能

　一般的なWAFの場合、改ざんされないように保護するところまでは取り組むが、変更されているかどうかのチェックをしたり、バックアップから復旧するといった処理までは行わないのが普通だ。しかし、改ざんされたWebサイトを放置していると、その間にどんどん被害が拡大してしまうリスクもある。管理者に通知して対応を促すのは当然として、即座に自動復旧してしまうことで被害の拡大を未然に防ぐという発想は保護レベルを引き上げる上で効果的な対応だといえる。

運用管理負担への配慮

　FortiWebでは、セキュリティポリシー設定の負担にも配慮を払い、簡単に運用開始できるようにしている。基本ポリシー設定はウィザードで容易に設定でき、さらに詳細ポリシー設定には自動学習機能の支援が提供されている。こうした運用管理や設定面での容易さの追求は、エンドユーザーが自分で設定を行うためのものだ。それは運用管理していくことも視野に入れた対応だが、セキュリティの維持には高度な技術力が必要となるため、やはり専門家であるMSSP（Managed Security Service Provider）によるマネージドサービスを利用したいと考えるユーザーも少なくないだろう。

自動学習機能でのポリシー自動生成

　さらにFortiWebでは、フォーティネットが定期的にシグネチャのアップデートを提供しており、常に最新の保護機能が利用できるように配慮されている。シグネチャは際限なく増えていくわけではなく、古いものや相対的に脅威レベルが低下したと思われる攻撃に対応するシグネチャは削除されることもある。容量的な限界もあるため、それ自体は避けられないことなのだが、MSSPによっては、独自の運用ノウハウと情報に基づいて同社が提供するシグネチャに加え、MSSP独自の保護を加えたいと考えることもあるだろう。

　こうした場合に利用できる機能として、FortiWebではMSSP向けの特別な機能として、MSSPが自社の顧客向けにカスタマイズしたシグネチャを配布する機能を用意している。これを活用することで、MSSPは独自の技術力をアピールする機会が得られることになる。FortiWebでは、こうした運用形態も想定した上でMSSPが独自の付加価値を提供できるような機能を組み込んでいる。

　脆弱性診断機能も同様だが、WAFの機能が向上してくると、それを踏まえてより高度なセキュリティサービスを提供することが求められる。脆弱性診断機能がデバイスに標準で実装されれば、単に診断を行うだけのサービスは成立しなくなるが、今度は診断結果を踏まえてWebサイト／Webアプリケーションプログラムの改修を支援したり、よりセキュアなアプリケーションプログラム開発のためのノウハウを提供したりといったサービスの需要が生まれるわけだ。

　フォーティネットでは、WAFとしての製品機能の強化に取り組むと同時に、同社単独では実現が困難なセキュリティサービスを提供するパートナーのビジネスのしやすさにも配慮しているのである。

　このほか、細かい点ではあるが製品の運用管理画面のメッセージはほぼ完全に日本語化されており、UTM製品であるFortiGateと統合管理するための運用管理ツールとなるFortiManager／FortiAnalyzerといった周辺ツールが充実している点なども同社のソリューションのアドバンテージといえる。

幅広い市場に対応するライアンアップ体制

　最後にラインアップだが、FortiWebは、ローエンド、ミッドレンジ、ハイエンドそれぞれ対応する3製品が用意されている。

　ローエンドに位置付けられる「FortiWeb-400B」はスループット100Mbpsで246万1000円という設定であり、高価というイメージがあるWAFをより導入しやすい価格帯で提供している。また、より高性能を必要とするユーザー向けのミッドレンジ製品「FortiWeb-1000C」はスループット500Mbpsで615万4000円。ハイエンドの「FortiWeb-3000C」はスループット1Gbpsで1231万円となっており、大規模なWebサイトでの採用にも十分対応できるだけの性能を確保している。

　UTMと同様、アプライアンスの中核となるプロセッサには独自開発のFortiASICを採用している点も同社製品のみの特長だ。現在では汎用のx86系プロセッサを利用したアプライアンス製品が主流となっているが、ネットワークでのセキュリティ処理に特化した機能を実装した独自のASICを活用することで、より高性能な製品を低コストで実現している。