さらに、IAサーバにLinux環境を構築し、SiteGuradをインストールした形でアプライアンス化することも可能だ。同社自身ではアプライアンス製品の販売は行っていないが、同社のOEMパートナーがSiteGuardを使ったWAFアプライアンスを製品化している。

　こうしたアプライアンスはOEMパートナーのブランドで販売されるため、SiteGuardという製品名が前面に出ることはない。よって、それと意識せずにSiteGuardを活用しているユーザー企業も少なからずあるものと想像される。

　SiteGuardは、現在では当たり前になった感もあるブラックリスト型防御の採用に関しても先駆者の立場にある。それまで主流だったホワイトリスト型防御は、理論的には高い防御能力を発揮することが期待されながらも、現場での設定の煩雑さと、頻繁なコンテンツ更新を要するサイトには適用し難いという点が問題視され、WAF自体の有効性を疑問視する見方も生まれるような状況だった。

　これに対してブラックリスト型は、設定の負担が大幅に軽減され、かつ実用上十分なレベルの保護を簡単に実現できる。現在ではブラックリスト型がWAFの中心となっていることは周知の通りだ。

　一方、ブラックリスト型WAFで問題になるのはブラックリスト型防御を実現するための“シグネチャ”の開発能力で、ここが弱いと製品としての保護能力も確保できない。ジェイピー・セキュアでは、国内でも有数のセキュリティサービス企業であるLAC（ラック）との密接な提携関係を構築しており、シグネチャの開発にはLACのノウハウがふんだんに盛り込まれている。こうした提携が実現したのは、両社の人的交流もさることながら、やはり早い時期からWAF製品に取り組んできた経験の長さや実績の豊富さが高く評価されていることと無関係ではないだろう。

取締役 技術部長 齊藤和男氏

　また、国産製品ということもあって、開発拠点が国内にあり、国内でのセキュリティ動向やユーザーニーズの変化にいち早く対応できる体制にある点も強みだ。「運用管理時のユーザーインタフェース画面から各種ドキュメント類、サポート対応に至るまで、全てを完全に日本語ベースで提供している」（同社 取締役 技術部長 齊藤和男氏）

　海外ベンダー製品の中には、日本語化が完全でなかったり、あるいは最初から英語版での提供となっている製品もある。機能面では全く問題ないとしても、やはり一見した際の分かりやすさなどでは日本語の方に軍配が上がるのは間違いない。ユーザー側の運用管理担当者が英語表示に慣れているとは限らない点からも、国内ユーザーの多くは完全日本語化された製品の方を高く評価するだろう。

定評のある防御力

　シグネチャの開発でLACとの協業体制が構築されていることは前述の通りだが、その防御力に関しても定評がある。第三者によって実施された製品間の比較テストなどでも優秀な成績を挙げていることはもちろん、ユニークなのは特別なチューニングなしのデフォルト状態でこの成果が達成されている点だ。

　テストによっては各製品の最良の防御能力について比較するという観点から、あらかじめテスト内容が開示され、事前にベンダー側で最適な設定を施すことが認められる形式もある。しかしSiteGuardはその際も特にデフォルトの設定から変更せずにテストに参加し、全てのテスト項目をクリアしたという。この、デフォルトでの防御能力の高さがユーザー環境に導入した際の運用管理負担の軽減に大きく貢献することは間違いない。

　ソフトウェア型であることのメリットとして、さまざまなネットワーク構成に対応しやすいことも挙げられる。例えば、パブリッククラウド型のIaaS（Infrastructure as a Service）環境でWebサーバを運用するような場合、アプライアンス型のWAFを設置するのは不可能か、もしくは事業者側で特別な対応を行う必要があることが大半だ。それがソフトウェア型の場合には、ユーザー企業が独自に設定して運用できる。

　トポロジに関しても、アプライアンス型と同様のリバースプロキシやインライン構成とすることもできれば、Webサーバと同じサーバ上にインストールする共存構成にもできるなど、ソフトウェアならではの柔軟性がある。ライセンスはサーバ数を基準とした方式でネットワーク帯域などは無関係なので、プラットフォームとなるハードウェアやネットワーク環境を適切に選択するだけでよい。規模拡大の際にコストが予想以上に膨れ上がってしまう懸念もない。

　なお、今後はソフトウェア型のメリットをより生かす方向で、例えばApacheやIISといった主要なWebサーバに対応したロードモジュール版を提供することなどが検討されているという。

　SiteGuardは、アプライアンス製品の内部で利用されている他、セキュリティを担当するSI事業者が推奨製品として選定している例も多い。ユーザー企業が自社単独で製品を選定し、導入／運用まで行う例はそう多くはなく、通常はSI事業者が製品の選定から運用までをサポートすることになることを考えると、こうした事業者が選んでいる製品だという点は大きな安心感につながるだろう。