アプライアンスといっても、WAFはネットワークに接続し、電源を投入するだけで運用できるわけではない。次々に新種が出現するインターネット上の脅威に対応してポリシーやシグネチャを随時アップデートし続ける必要があるのはもちろん、誤検知を防ぐための対応が必要だ。

　WAFは、危険と判断されたトラフィックを遮断することでWebサイトを防御するが、誤検知があると、本来は通過させるべきトラフィックを遮断してしまう可能性がある。これは、エンドユーザーから見れば「なぜかWebサイトにアクセスできなくなった」という状況であり、事実上サービス停止状態を作り出してしまうことにもなる。

　こうした状況を避けるために、WAFを導入する際にはまず一定期間モニタリング動作のみで運用し、どのようなトラフィックを危険と判断しているのかを実データに基づいて確認。必要に応じてカスタマイズ／チューニングを行うことで誤検知をなくしてから本番稼働に入る、という手順を踏む。さらに、導入時に1回だけこの作業を行えば済むというわけではない。新たな脅威に対応して新規のシグネチャが導入された際には、それが新たな誤検知を生む可能性もあるため、モニタリングとチューニングは運用期間中、継続的に行っていく必要がある。

日立情報システムズ ネットワークサービス事業部 ネットワークインテグレーション本部 第二部 第3グループ主任技師 藤田晶彦氏

　上記のような理由から、「WAF運用に伴う作業負担は決して軽くはなく、ユーザー企業の立場からすれば企業内にセキュリティに関する高い技術力を備えた担当者がいるとは限らない。Webサイトを防御するためにWAFの導入を考えているが、運用管理の負担が重すぎるというのがユーザー企業の本音だろう」（ネットワークサービス事業部 ネットワークインテグレーション本部 第二部 第3グループ主任技師 藤田晶彦氏）。

　こうした声に応えて日立情報システムズが用意したのが、同社のセキュリティ対応の拠点であるSHIELDセキュリティセンタでWAFの運用代行を行うWAF on-Demandである。同社では、ユーザー側のWebシステムとどのような形で接続するかといった点も含め、さまざまな導入パターンに柔軟に対応する。

　WAF on-Demandの最もシンプルな構成で利用例が多いのは、SHIELDセキュリティセンタに設置されたWAFとユーザーのWebサイトをHTTPS（SSL）で接続する形だ。これは、ユーザーのWebサイトとSHELDセキュリティセンタの間に専用線を敷設して直結、あるいはインターネットVPNを利用して接続する。さらに、SHIELDセキュリティセンタのハウジングサービスを利用し、ユーザーのWebサイト自体をSHIELDセキュリティセンタ内に移動。WAFを含めたWebサイトの運用全体を任せてしまうこともできる。

サービスの基本構成

　WAF on-Demandの基本構成では、WAF製品としてJP-SecureのSiteGuardをSHIELDセキュリティセンタに設置する形になる。製品選定は、同社のSIでの経験を踏まえたもので、同社が評価した多数の製品の中から自信を持ってユーザーに推奨できる製品として選んだという。シグネチャ／定義ファイルを日本国内で開発しているため、緊急時に迅速な対応ができる点がメリットだ。ただし、SiteGuard以外のWAF製品では対応できないということではなく、SHIELDセキュリティセンタ側に運用管理のノウハウがある製品であれば、他のWAF製品を利用することも可能だという。

　似たような構成としては、「WAF on-Demand（出張版）」というサービスもある。これは、ユーザーのWebサイトに設置されたWAFを、SHIELDセキュリティセンタからリモートで運用監視を行うサービスだ。これも、既に導入済みのWAFアプライアンスがあるというユーザーに対応するサービスとして有用だろう。

　WAF on-Demandの利用料金は、初期費用が15万7500円。契約単位は回線帯域1Mbps単位で、月額費用が9万9750円からとなっている。同サービスのユーザーにはB2Bコマースサイトなどの運営者が多く、トラフィック量はさほど多くはないものの、セキュリティは極めて重視する、というユーザーが多いことからこうした価格設定になっているようだ。同社では、特に10Mbps以下の帯域で済むユーザーの場合のコストメリットが大きいとしている。

　なお、日立情報システムズは2011年10月1日付で日立電子サービスと合併することが発表されている。中堅・中小規模企業向けのシステム構築とデータセンターを活用したシステム運用に強みのあった日立情報システムズに対し、日立電子サービスは全国に展開する320ものサービス拠点を活用した地域密着型のオンサイト保守サービスに強みがある。この両社が一緒になることで、ユーザーに密着した網羅的にきめ細かなワンストップサービスを提供できる体制が整うことになる。

インフラサービス営業統括本部 市場開拓本部 主任技師 佐々木慎一氏

　WAF on-Demandに関しても、より広範なユーザーのニーズに対応できる体制を整えることを目指して、さらに安価で手軽に利用できるメニューの拡充などを計画しているという。「WAF on-Demandは、日本の企業が望む『自社のニーズにきめ細かく対応してくれるサービス』をWAFの分野で提供してきた。だが、Webセキュリティに対するユーザーの関心がこれまでになく高まっている現在、従来以上に幅広い顧客層、特に首都圏以外のユーザーからの問い合わせも増加している。日本市場の特性に合った日本流のサービスとして、ますます存在感を高めていきたい」（インフラサービス営業統括本部 市場開拓本部 主任技師 佐々木慎一氏）