WAF製品は、OSI基本参照モデルのレイヤー7、つまりアプリケーションレイヤーでWebサーバを保護することを主な目標としたセキュリティ製品だ。2000年代中ごろから企業への採用が進んできた。技術の成熟度と採用率を示すガートナーの「ハイプサイクル」では、成熟期に当たる「啓蒙活動期」の後期にあり、主流技術として認識される「生産性の安定期」に入ろうとしている（図1）。

図1　WAF製品のハイプサイクル上の位置付け。現在は啓蒙活動期（Slope of Enlightenment）の後期にある（出典：ガートナー2013年7月）《クリックで拡大》

　現在販売されているWAF製品は、以下の4タイプに大別できる。

• アプライアンス型
• ソフトウェア型
• クラウド型
• ADCモジュール

アプライアンス型

　最も一般的なWAF製品の形態といえるのが、アプライアンス型WAFだ。WAF製品を主力に据えるベンダーが提供することが多いので、「最新の機能がいち早く実装されやすく、サポートも充実している傾向がある」と礒田氏は説明する。通信量の変化を基にサービス妨害（DoS）攻撃に対処する機能など、周辺機能を充実させた製品も多い。一方で、アプライアンスの設置や運用が必要となり、コストや作業負荷が掛かるのが課題だ。

　アプライアンス型WAFには、バラクーダネットワークスジャパンの「Barracuda Web Application Firewall」、Imperva Japanの「SecureSphere Web Application Firewall」、フォーティネットジャパンの「FortiWeb」などがある。

ソフトウェア型

　アプライアンスではなく、Webサーバへ直接インストールするWAF製品が、「エージェント型WAF」とも呼ばれるソフトウェア型WAFだ。稼働環境の自由度の高さがソフトウェア型の利点だが、Webサーバの他の処理に影響を与えたり、WebサーバのOSやミドルウェアなどに依存する点が課題となる。

　オンプレミス環境でも利用できるが、最近では「『Amazon Web Services（AWS）』をはじめとするクラウドサービスのセキュリティ対策として引き合いがある」と礒田氏は語る。Web関連のシステムをクラウドサービスへ移行する企業が、アプライアンス型WAFの代替として採用するケースが増えつつあるという。例えばNECの「InfoCage SiteShell」は、AWSでの稼働を可能にしている。

クラウド型

　「最近、ユーザー企業からの問い合わせが増えている」と礒田氏が説明するのが、WAF機能をサービスとして利用できるクラウド型WAFだ。最大の特徴は、WAFシステムをユーザー拠点に構築する必要がないので、導入時や運用時の負荷を軽減できること。月額1万円以下で利用できるサービスも登場するなど、低料金化も進みつつある。一方で、制御方法がブラックリスト方式に限定されるなど、アプライアンス型やソフトウェア型WAFと比べて機能や設定可能項目が限定されるのが一般的だ。

　クラウド型WAFでは、国内ベンダーのサービスが比較的充実している。具体的には、セキュアスカイ・テクノロジー「Scutum（スキュータム）」に加え、ScutumのWAFエンジンを利用するシマンテック・ウェブサイトセキュリティの「シマンテック クラウド型WAF」、サイバーセキュリティクラウドの「攻撃遮断くん」シリーズなどがある。

ADCモジュール

　アプリケーションデリバリコントローラー（ADC）の中には、WAF機能を標準もしくは有料オプションのモジュールとして用意する製品がある。既にADCを導入している企業であれば、モジュールを追加したり有効化したりすればWAF機能を利用できるので、手軽に導入できるのが、ADCモジュール型WAFの利点だ。一方、「最新機能の提供の迅速さやサポートの手厚さといった点では、アプライアンス型やソフトウェア型といったWAF専用製品に軍配が上がる」と礒田氏は説明する。

　A10ネットワークスの「Thunder ADCシリーズ」、F5ネットワークスジャパンの「BIG-IPシリーズ」などが、ADCモジュール型WAFを用意する。バラクーダネットワークスジャパンの「Barracuda Load Balancer ADC」のように、WAF専用製品とADC製品を併売するベンダーが、ADC製品向けにADCモジュール型WAFを提供するケースもある。

WAF製品の選定ポイント

　メリットやデメリットもさまざまな4タイプのWAF製品の中から、企業は適切な製品をどう選定すべきなのか。礒田氏によると、ADC製品を既に導入済みなのであれば、まずはADCモジュール型WAFを優先的に検討するのが基本的な選定方法となる。「比較的大規模な企業であれば、ADC製品を導入している可能性が高い。ADCモジュール型WAFであれば、ネットワークやシステム構成を変えることなく利用できるので試行もしやすい」と同氏は語る。

　ADCモジュール型WAFの機能では自社のニーズに合わない、またはより高度な制御をしたいという企業は、アプライアンス型WAFやソフトウェア型WAFが選定対象になる。特にWeb関連システムのクラウドサービスへの移行を検討する企業にとっては、ソフトウェア型WAFが有力な選択肢となる。

　一方、保護対象のシステムに専任のセキュリティ要員が割けなかったり、導入に掛かる負荷を軽減したいと考える企業にとっては、クラウド型WAFが役立つだろう。ソフトウェア型WAFと同様、Webシステムをクラウドサービスで稼働させる場合にも、クラウド型WAFが有効な選択肢となる。

　以上は、あくまでもWAF製品のタイプ別に大まかな選定基準を示したにすぎない。自社にとって適切なWAF製品を選定するには、基本的なことだが「まず自社が対処すべきリスクを把握するのが最も重要なことだ」と礒田氏は語る。守るべき資産の価値、その資産に対して想定される具体的な脅威、その脅威への対策状況など、現状を整理した上で、自社に適切な機能や性能を持つWAF製品を選ぶ必要がある。