WAFは、ネットワークに設置する「ネットワーク型WAF」、Webサーバにインストールする「ホスト型WAF」、クラウドサービスとして利用する「クラウド型WAF」の3つに大別される。

ネットワーク型WAF

　WAFの伝統的な実装がネットワーク型WAFであり、幾つかのメリットとデメリットがある。最大のメリットは、通常はハードウェアベースでありローカルに置くので、遅延やパフォーマンスの悪影響が少ないことだ。一方、購入費用も運用費用も高くつく傾向があることが最大のデメリットである。

ホスト型WAF

　ホスト型WAFは一般的に、Webアプリケーションサーバなど、Webアプリケーションに最も近い場所にインストールする。メリットは、パフォーマンスが高くカスタマイズの選択肢が広いことだ。一般的に導入コストも低いこともメリットとなる。だが大企業では、柔軟性とスケーラビリティが物足りない恐れがある。

　ホスト型WAFの一例であるオープンソースWAFの「ModSecurity」は、Webサーバソフト「Apache HTTP Server」にモジュールとしてインストールする。アプリケーションはWAF機能をフル活用でき、WAF機能の処理に伴うオーバーヘッドはサーバでローカルに処理できる。

クラウド型WAF

　購入後すぐに利用できる“ターンキー製品”を求める企業にとって、クラウド型WAFはWAFを低コストかつ少ない労力で導入する機会を提供する。導入は容易で、多くの場合、DNSに簡単な変更を加えてアプリケーショントラフィックをリダイレクトするだけで済む。サブスクリプションベースで利用可能なのも利点だ。

　デメリットとして一般的に挙げられるのは、カスタマイズとパフォーマンスの制限である。ただし、当座をしのぐ目的では、迅速に導入できて重宝することが多い。

WAFを使ってアプリケーションとネットワークのセキュリティを確保

　どのような形態のWebサービスを提供する場合でも、攻撃を防ぐことは重大な課題だ。このため、こうした技術サービスをインターネットに公開している全ての企業が、WAFの使用で恩恵を受けられる。もちろん、今日のほとんどの企業がこの記述に当てはまる。

　ごくシンプルなWebサイトをインターネットに公開している企業でも、攻撃を受けるリスクにさらされている。企業がインターネット経由で顧客に何らかのサービスを提供している場合も、ビジネスパートナー間で利用するイントラネット用のインタフェースを持っている場合も同様だ。このように、WAFを導入する理由はますます増えつつある。

　包括的なセキュリティ機能をWebアプリケーションに搭載し、最新の状態に保つのは困難だ。だがWAFを使用すれば、2つの効果が得られる。既知の脅威に対する保護（ウイルス対策ソフトウェアと同様の効果）と、未知の脅威に対する保護だ。

　WAFで簡単に検知される既知の脅威の例として、「SQLインジェクション」がある。この脅威は通常、入力検証とWAFによるデータベースレベルの保護を組み合わせることで阻止できる。

　今後、どのような脅威が登場するかは分からないが、脅威がフォームフィールドのオーバーフローを攻撃手段として使用する場合は、WAFで阻止できる。アプリケーションがその脅威を処理するようにコーディングされていないとしても、である。

WAFの恩恵を最も受けるのは誰か

　あらゆる規模の企業がWAFを活用できるが、この技術の恩恵を最も受けられる顧客セグメントは、インターネットで商品を提供している企業だろう。例えば、Webホスティング企業、オンライン銀行、ソーシャルメディア事業者、モバイルアプリケーション開発会社といった企業にとって、アプリケーションのセキュリティ対策を強化するのに、WAFの集中管理機能や一括更新機能が役立つ。

WAFの管理とサポート

　WAFの管理とサポートの在り方は、主にWAFの導入形態によって異なる。

　ネットワーク型WAFでは、セキュリティやネットワークの担当チームが自社の環境に合わせて構成を管理することが多い。ネットワーク型WAFの運用管理は通常、ベンダーがマネージドサービスとしても提供する。これを利用すると、ユーザー企業が担う管理はかなり簡素化できる。

　WAFはシグネチャや構成オプションを統合管理するので、何十種ものアプリケーションを非常に少ない労力と費用で保護できる。主要なネットワーク型WAFベンダーのほとんどは、複数のアプライアンス間でルールや設定のレプリケーションができるようにしている。そのため、大規模な導入や構成が可能だ。

　ホスト型WAFの管理には厄介なことがある。ホスト型WAFはローカルのWebアプリケーションサーバで動作するので、効果的に実行するには、多くのローカルサーバリソースを使用しなければならないからだ。また、ホスト型WAFはソフトウェアベースなので、サーバ管理チームとセキュリティ管理チームが協力して、インストールと管理に関与しなければならない可能性がある。

　クラウド型WAFは通常、サービス事業者が管理し、構成用のインタフェースを顧客に提供する。このインタフェースでは一般的に、顧客のセキュリティチームやアプリケーションチームがファイアウォール設定をカスタマイズできる。この設定では、WAFがSQLインジェクションや分散型サービス拒否（DDoS）攻撃など、特定の脅威にどう対処するかなどを定義できる。通知オプションや特定のルールセットを無効にする機能も用意する。

　誰がWAFを管理するかにかかわらず、社内のアプリケーションチームか開発チームも、その管理に関与する必要がある。それはなぜか。不適切に構成されたWAFは、保護対象アプリケーションの可用性やパフォーマンスに悪影響を与える恐れがあるからだ。

　どのタイプのWAFを導入するにしても、ITスタッフを対象とした管理研修が必要になるだろう。大抵の場合、自社でより詳細な構成管理をしようとするほど、より充実した研修が必要になる。

　もう1つの選択肢は、こうした研修の代わりに費用を掛けて専門サービスを利用することだ。専門サービスを手掛けるコンサルタントを起用すれば、企業は既存ITスタッフの研修をしなくても、新たに採用したWAFの導入をスピードアップしたり、長期にわたって既存WAFの管理を委託したりできる。

WAF導入・運用のハードウェアコストとソフトウェアコスト

　WAFのハードウェアコストは、“タダ”から数百万ドルまで大きなばらつきがある。ハードウェアコストは、技術の導入に必要な物理コンポーネントのコストに関連している。例えば、ハードウェアコストを一切掛けずにダウンロードしてインストールできるWAFのオープンソース実装もある。しかし、これらの実装では多くの場合、開発時間やスタッフ研修、サポート作業に関連した多大なソフトウェアコストが掛かる。

　さらに、選択したWAFのタイプによって、運用やサポートに関わるハードウェアコストが左右される。また、アプリケーションの挙動を大きく変更すると、それに応じて時間や労力の面で、ソフトウェアコストが必ず跳ね上がることにも留意しよう。

　クラウド型WAFは、導入や運用、サポートのコストがネットワーク型WAFよりも大幅に安上がりになる。ホスト型WAFはコストが両者の中間で、小規模なアプリケーションに適している。

WAFは何では“ない”か

　WAFは、入力フィルタリングやユーザー認証／権限付与など、アプリケーションの適切なセキュリティ対策に代わるものではない。安全なWebアプリケーションを実現するための多層的なアプローチにおける1つの要素という位置付けだ。

　またWAFは、設定を済ませたら忘れていられる技術でもない。アプリケーションの変更や脅威の進化に合わせて、ルールや構成オプションを適切にメンテナンスするよう注意しなければならない。

　WAFと「次世代ファイアウォール（NGFW）」を区別することも重要だ。WAFは、限定された範囲のプロトコルのアプリケーショントラフィック検査を目的としており、こうしたトラフィックに特化している。NGFWは、既存のネットワークファイアウォールを代替する、あるいは補強する包括的な製品だ。

　NGFWは、WAFのコンポーネントを含むことがあるかもしれない。ただし、企業内でWAFよりもはるかに大きなスコープ（とコスト）で機能することを目的としている。