まる分かりIT基礎解説「Webアプリケーションファイアウォール」

Webサイトのセキュリティ対策に――読めば分かる！　WAF

Webアプリケーションファイアウォールの仕組みや、選定導入時のポイント、国内提供中のWAF12製品の情報をまとめた。

公開 2011年09月13日 09時00分

更新 2012年09月04日 14時41分

[渡邉利和]

印刷する

　WAF（Web Application Firewall）は、名前の通りWebアプリケーションの保護を目的に導入するセキュリティソリューションだ。現在のWebは、ユーザーとインタラクティブなやりとりを行い、商取引などの経済活動の場としても活用されている。個人情報や経済的に重要な情報なども保持しているため、セキュリティの維持が重要となる。

　クレジットカード情報に関するセキュリティ基準「PCI DSS（Payment Card Industry Data Security Standards）」の要件6.6では、「一般公開されているWebアプリケーションは、常時、新しい脅威と脆弱性に対処し、以下のいずれかの手法によって既知の攻撃から保護する必要がある」としている。PCI DSSは、国際的なクレジットカードブランド5社（American Express、Discover、JCB、MasterCard、VISA）が共同で設立した業界団体PCI SSC（Payment Card Industry Security Standards Council）によって制定された。

　このように国際規模のセキュリティ基準でも、具体的な対策手法の1つとしてWAFの導入を明記している。少なくともクレジットカード決済を行うWebサイトでは、WAFの導入が強く推奨されている状況だ。PCI DSSの最初のバージョンは2004年末に公開され、その時点からWAFの重要性は繰り返し喚起されている。それにもかかわらず、普及ペースはゆっくりだったのが現実だ。しかし最近では、度重なる著名サイトのセキュリティ侵害事案などもあり、普及が加速し始めているといわれている。アイ・ティ・アールによる調査では、2010年度のWAF市場規模は2009年度比で62.7％増という大幅な伸びを示しているという（関連リンク：「ITR Market View：ネットワーク＆セキュリティ・アプライアンス市場2011」プレスリリース）。

　なかなか普及が進まなかったWAFの市場がここにきて拡大を示している背景には、Webサイトのセキュリティが破られた際の影響の大きさが認知されてきた影響もあるだろう。加えて、WAF製品自体の進化によって以前よりも導入障壁が下がってきたことも大きいと思われる。

攻撃防御は「ホワイトリスト型」と「ブラックリスト型」

　初期のWAF製品は、ホワイトリスト型防御を基本とする製品が中心だった。WAFを通過してWebサーバに到達できる「安全なトラフィック」の特徴を定義した「ホワイトリスト」を作成し、ホワイトリストに合致しないトラフィックは遮断するというものだ。適切に定義されたホワイトリストを準備できればセキュリティレベルは高く、現在でもその有用性は決して失われてはいない。しかし、ホワイトリストの定義やメンテナンスには高度な技術力が必要で、運用負担が重くなりがちなことが欠点だといえる。

　実際に、WAF製品の主力がホワイトリスト型だった時代には、製品を導入したものの使いこなせなかったという事例も少なからず発生したといわれている。ホワイトリストの定義は、WebサーバでどのようなWebアプリケーションが動作しているかによって変わる。どうしても個々のサイトごとの個別対応が必要になることも、ホワイトリスト型の運用負担を劇的に軽減することを困難にしている。

　こうしたホワイトリスト型の欠点を踏まえて現在主流となりつつあるのが、ブラックリスト型防御を中心としたWAF製品だ。ブラックリスト型では、ホワイトリストとは逆に遮断すべきトラフィックの特徴を「ブラックリスト」に定義し、ブラックリストに合致しないトラフィックは通過させる。

　この場合、WAFベンダーやセキュリティベンダーなどが既知の攻撃手法に対応したブラックリストを作成／配布することで、一定レベルの防御を一律に担保でき、ユーザー側の負担は大幅に軽減される。基本的な考え方としては、クライアントPC向けのアンチウイルスソフトウェアと同様の防御手法だと考えることもできるだろう。ベンダー側から定期的にブラックリスト（シグネチャのアップデートで常に最新の脅威に対応）の配布を受けられる点も、アンチウイルスソフトウェアとよく似ている。

　ホワイトリスト型とブラックリスト型をセキュリティ強度という観点から比較すると、リストで明示的に指定されていない「グレーな領域」に対する挙動が差異として挙げられる。ホワイトリスト型は、明示的にホワイトリストで指定されたトラフィック以外は原則遮断するので、グレー領域のトラフィックは通過できない。逆にブラックリスト型は、ブラックリストにないグレー領域のトラフィックは原則通過させる。

　すると、明示的に安全と目されるトラフィック以外は通過させないホワイトリスト型の方が、セキュリティ面ではより安全のように思える。しかし、ホワイトリスト型は本来通過させるべき正常通信を遮断してしまうリスクも高いため、設定には細心の注意が必要となる。現在主流のWAF製品は、ブラックリスト型防御を中心に据えつつ、ユーザーによるカスタム設定でホワイトリスト型防御も必要に応じて適用できる、という形に落ち着いている。

「アプライアンス」「ソフトウェア」「SaaS」の提供形態から選択

　次に、製品の実装形態では大きく「アプライアンス型」と「ソフトウェア型」に分類できる。アプライアンス型は、文字通りWAFソフトウェアが稼働するハードウェアデバイスとして製品化されているものだ。ルータやスイッチといったネットワーク機器と同様の扱いができる点が特徴となる。特にブラックリスト型防御を採用する製品では、ネットワークに接続して電源を入れるだけで基本的な防御が即有効になる、といった導入の容易さをアピールする製品も目立つ。

　ソフトウェア型は、ユーザーが適切なサーバ機を用意し、その上でWAFソフトウェアを稼働させる。Webサーバを実行しているサーバにWAFソフトウェアを同居させる場合もあり、小規模なWebサイトの場合はサーバの台数を増やさずに済むという利点がある。

　なお、選択に際しては帯域制限も考慮しておく必要があるだろう。アプライアンス型の場合、対応するネットワーク帯域の規模に応じてモデルが分かれているのが一般的だ。一方、ソフトウェア型の場合は台数ベースのライセンスを取るのが主流で、トラフィックの処理能力はサーバの処理能力次第となることが多い。運用管理負担やサーバの台数、設置場所の制約、ネットワークトポロジー上の制約など、検討すべき要素は多岐にわたる。一概にどちらが低コストかを断じることはできず、それぞれの状況に応じて選択することになる。

　なお、近年ではWAFの設置や運用を事業者のデータセンターで行うSaaS型のサービスも登場している。インターネットを介してWAF機能を利用できるため、パブリッククラウド環境でWAFを運用する場合にはこうした形態が便利だろう。内部的にはアプライアンス型もしくはソフトウェア型のWAFが運用されていることになるが、ユーザーはその差について特に気にする必要はない。

主なWAF製品とサービス

　最後に、これまで連載で紹介したWAF製品について簡単にまとめておこう。

主なWAF製品（提供元の50音順）

製品名	提供元	防御手法	提供形態	特徴	解説記事
Imperva SecureSphere Web Application Firewall	Imperva（インパーバ）	ブラックリスト型主体	アプライアンス型	市場の先駆者として高い評価を得ている。シグネチャに自動学習機能を組み合わせ、さらにレピュテーションに基づくセキュリティも併用できる	先駆者としてトップシェアを獲得した「Imperva SecureSphere WAF」
F5 BIG-IP Application Security Manager	F5ネットワークス	ブラックリスト型主体	アプライアンス型（BIG-IPのアドオンモジュール）	Webアプリケーションのパフォーマンスを劣化させないための工夫をさまざま盛り込んでいる。充実したリポーティング機能なども大規模サイトで有用だろう	エンタープライズ向けの高度な運用管理が可能なWAF「F5 BIG-IP Application Security Manager」
NEC InfoCage SiteShell	NEC	ブラックリスト型（国内開発）	ソフトウェア型	Webサーバ上にインストールするソフトウェアWAF。ネットワーク構成の変更などが不要で導入が容易	Webサーバ上で直接守るソフトウェア型WAF「NEC InfoCage SiteShell」
Citrix NetScaler Application Firewall	シトリックス・システムズ	ホワイトリスト型主体	アプライアンス型	自動的にアプリケーションの動作を判別し、セキュリティポリシーを強化するための推奨情報を生成するNetScaler学習エンジンを搭載。ゼロデイアタックにも対応可能なハイブリッドセキュリティモデルを採用する	L7スイッチとも連携可能なWAF「Citrix NetScaler Application Firewall」
Scutum	セキュアスカイ・テクノロジー	ブラックリスト型主体（国内開発）	SaaS型	脆弱性診断の経験を即座に反映するSaaS型サービス。最短1週間で利用開始でき、最低利用期間1カ月の月額課金制なので必要なときに必要な期間だけ利用することも可能	低コスト・短納期導入を可能にした国産SaaS型WAF「Scutum」
SiteGuard	ジェイピー・セキュア	ブラックリスト型主体（国内開発）	ソフトウェア型	純国産のWAFソフトウェアで、国内のセキュリティ専門企業として著名なLACがチューニングしたトラステッドシグネチャを標準装備する。独立したサーバ上でも、Webサーバ上でも運用できる	国産WAFの先駆けで信頼を集めるソフトウェア型WAF「SiteGuard」
NetAttest WAF	ソリトンシステムズ	ブラックリスト型主体（国内開発）	アプライアンス型	国内開発のWAFエンジン「SiteGuard」を採用したアプライアンス製品。LACがチューニングしたシグネチャが自動更新で利用できる	国産WAFベンダーとして異彩を放つ「Net’Attest WAF」
CheckPoint Web Security	チェック・ポイントソフトウェアテクノロジーズ	ブラックリスト型主体	アプライアンス型（ソフトウェアブレード）	特許出願中の「Malicious Code Protector」によって、シグネチャなしでも悪意あるコードの検出が可能	ファイアウォール／IPSと連携してWebサイトを保護する「Check Point Web Security」
AppWall	日本ラドウェア	ブラックリスト型主体で両者併用	アプライアンス型	Webサイトのパスごとに異なるセキュリティポリシーを適用でき、ホワイトリストとブラックリストの併用や使い分けが容易。自己学習型のダイナミック・プロファイリング機能も実装する	インテリジェントな自動学習機能で設定負荷を軽減する「AppWall」
Fortinet FortiWeb	フォーティネット	ブラックリスト型主体	アプライアンス型	脆弱性スキャナモジュールを搭載し、Webアプリケーションの脆弱性診断機能も持つ。サーバロードバランシングも可能で、高速性とセキュリティを両立する	Webサイトの診断・防御・復旧を1台でカバーするWAF「Fortinet FortiWeb」
Barracuda Web Application Firewall	バラクーダネットワークス	ブラックリスト型主体	アプライアンス型	小規模サイトでも導入しやすい価格設定。WAF機能に加えてアプリケーションアクセスコントロールや高速化など、多彩な機能を実装する	開梱後30分でOK！のWAF「Barracuda Web Application Firewall」
Webセキュリティ on-Demand Webアプリケーションファイアウォール（WAF機能）	日立情報システムズ	ブラックリスト型主体（国内開発）	SaaS型	月額課金制で利用できるSaaS型サービス。SI的なアプローチで、ユーザーの希望に応じて冗長化対応や帯域変更などの豊富なオプションを提供可能	SI事業者ならではのきめ細かなサービスを提供する「WAF on-Demand」