「WAF」製品紹介【第10回】NEC

Webサーバ上で直接守るソフトウェア型WAF「NEC InfoCage SiteShell」

InfoCage SiteShellは、Webサーバ上に追加ソフトウェアをインストールすることでWebアプリケーションを保護するWAFだ。ネットワークの構成変更などは一切必要なく迅速に導入できる。

公開 2011年07月12日 09時00分

更新 2012年09月04日 15時09分

[渡邉利和]

印刷する

WebサーバがWAF機能を備える

　NECのInfoCage SiteShellは、Webサーバ上に直接インストールするソフトウェア型のWAFだ。

　一般的にアプライアンス型のWAFの場合、ユーザーからのアクセスがWebサーバに到達する手前でWAFがパケットをチェックできるように、ネットワークの経路途中に挟み込むような形で設置する。このため、DNSの設定変更やリバースプロキシの設定など、何らかのネットワーク設定の変更は避けられない。稼働中のネットワークに変更を加えるため、慎重な作業が必要だ。検証のために、ある程度の作業期間を確保することになるだろう。

　対してInfoCage SiteShellは、同製品をインストールしたWebサーバ上で稼働するWebアプリケーションを保護する、という直感的に理解しやすい構成になる（※1）。Webサーバソフトウェア（Apache／IIS）が受信したリクエストがWebアプリケーションに渡る前に、パケットをチェックする。WAF機能はWebサーバと同じハードウェア上で実行される。平均的なCPU利用率は、Webサーバソフトウェアの10％程度に相当するという。

（※1）サーバインストール型だけでなく、ネットワーク設置型として導入することも可能。InfoCage SiteShell専用に用意したサーバにソフトウェアをインストールし、Webサーバの前方で動作させることもできる。

InfoCage SiteShellの運用イメージ

　InfoCage SiteShellは、サーバ上に直接インストールして利用することから、外部のデータセンターのレンタルサーバを利用している場合でも導入が容易だという。レンタルサーバの場合、ネットワーク接続型のWAFを設置できるかどうかはデータセンター側のサービスメニューの設定に依存する。ソフトウェア型ならデータセンター側の対応に依存せず、自分のWebサイトを自力で確実に保護できる。

製品の基本構成

　InfoCage SiteShellは、NECの独自開発によるWAFだ。WAFを選定する際、現状は海外製品の比率が高く、サポート体制や日本独自で発見された脅威への対応速度などに不安を感じることも少なくないだろう。国内の代表的なIT企業であるNECの自社開発製品であるInfoCage SiteShellは、こうした不安を感じることはない。「全国をくまなくカバーするサービス網を構築しているNECならではの安心感や、製品のメッセージからサポート／サービスの窓口まで、全て日本語だけで用が足りる点も国内ユーザーにとっては魅力的だといえる」（NECシステムテクノロジー第四ソフトウェア事業部下田仁史氏）

下田氏

　一方で、Webアプリケーションに対する脅威や攻撃は日本国内でのみ発生するわけではなく、この点ではグローバルな情報収集が欠かせない。NECでは、国内だけでなく中国とインドにセキュリティ製品の開発拠点を確保している。それぞれの拠点では、中国語と英語による情報収集が行われている。ワールドワイドで発生する最新の脅威にいち早く対処できる体制だ。

　ライセンス体系は、年間ライセンスとプロダクト購入の2つの形態が用意されている。年間ライセンスは、1年間の製品使用権と保守がセットになったもので、1サーバ（物理サーバ）当たり年間60万円となる。プロダクト購入は永続的な製品使用権を購入するもので、2サーバ分で250万円となる。この場合は保守更新サービスの価格として製品価格の20％が毎年必要になる。

　2サーバの場合、保守更新サービスが年間50万円になるため、年間ライセンスの方が有利だ。しかし10サーバ分のプロダクト購入は400万円に設定され、保守更新サービスは年間80万となる。よって、この規模になるとプロダクト購入の方が有利となる。サーバごとにインストールする形式のため、物理サーバの台数が増えると負担増となってしまう点を配慮したライセンス体系というわけだ。

　保護機能に関しては、クロスサイトスクリプティング、SQLインジェクション、セッションハイジャック／リプレイ、OSコマンドインジェクション、パストラバーサル、バッファオーバーフロー対策、クロスサイトリクエストフォージェリ、パラメータ改ざん対策、強制的ブラウズ、エラーコードの10種類の攻撃に対応するブラックリスト型防御となる。

　米国の非営利団体であるOWASP（The Open Web Application Security Project）が発表している“Top 10”のうち、WAFで対処可能な7種類の攻撃全てに対応しているのもInfoCage SiteShellの特徴だ。ブラックリスト型のため、導入したユーザー側で対応すべき運用管理作業はごくわずかで済む。ブラックリストの更新は、必要に応じて随時行われるが、実績としてはおおむね3カ月に1回程度実施されているという。

　なおNECでは、ホスティングサービス事業者向けのWAFサービスも用意。ホスティング事業者が、エンドユーザー向けにInfoCage SiteShellをオプション機能として提供できるようになっている。実際に、NECグループでインターネットサービスを提供するBIGLOBEでは、IaaS型パブリッククラウドサービス「BIGLOBEクラウドホスティング」の有償オプションとしてInfoCage SiteShellの提供を開始している（※2）。必要なときに必要なWebサーバを的確に保護できるという点で、ソフトウェア型のWAFには大きなアドバンテージがあるといえるだろう。

運用管理設定は専用のコンソール（GUI画面）上でできる

（※2）動作環境、価格・ライセンス体系は「BIGLOBEクラウドホスティング」に準ずる。

　InfoCage SiteShell の対応WebサーバソフトウェアはApacheとIIS。Apache版の対応OSはWindows Server 2003／2008／2008 R2、Red Had Enterprise Linux 4／5で、Apache HTTP Server 1.3／2.0／2,2をサポートする。IIS版の対応OSはWindows Server 2003／2008／2008 R2で、Internet Information Services 6.0／7.0／7.5をサポートする。

印刷する