WAFとRASPの根本的な違いは、採用しているセキュリティモデルにある。WAFはブラックリスト方式で、既知の悪意のパターンを特定してブロックする。膨大な量の攻撃シグネチャと疑わしい動作のリストを保有し、悪意のある既知の動作に合致するトラフィックを遮断する。

　WAFのアプローチは既知の攻撃パターンには有効だが、正当なリクエストも誤って攻撃と判断する可能性がある。ゼロデイ攻撃（ベンダーが認識しておらず、修正プログラムが公開されていない脆弱＜ぜいじゃく＞性を悪用する攻撃）などの新しい攻撃や、巧みに作成されたペイロード（マルウェアの実行を可能にするプログラム）の検知が難しい。

　SQLクエリ（データベース言語「SQL」による問い合わせ）に悪意のある操作を挿入する「SQLインジェクション攻撃」を例に考えてみよう。WAFが「1' OR '1'='1」をブロックするようにルールに組み込んでいれば、攻撃を防ぐことができる。しかし、「1' OR 2>1-」という異なるペイロードは検知できない。WAFが「1' OR 2>1-」をブロックするためにはこの規則をブラックリストに追加する必要がある。攻撃者が次々と新しい攻撃パターンを生み出し、WAFがそれを追いかけてルールを追加し続ける「いたちごっこ」になるわけだ。

　一方のRASPはホワイトリスト方式を採用している。つまり、正しいアプリケーションの動作を学習および理解して、想定される動作とは異なる動作を警告またはブロックする。

　RASPはアプリケーションの内部で動作する。そのため、アプリケーションの動作、データの流れといったコンテキストをリアルタイムで把握して、セキュリティの観点からより正確な判断を下すことができる。入力されたペイロードに関係なく脅威を検出できるため、Webアプリケーションに対するゼロデイ攻撃を検出して阻止できる可能性が高くなる。正常な通信を攻撃だと誤検知する可能性も減る。

機能以外の差異

　セキュリティの仕組み以外に、コストや運用の観点でもWAFとRASPには違いがある。一般的にはRASPは運用やコストへの影響がWAFより大きい。まず、RASPをWebアプリケーションに組み込まなければならない。通常、開発チームは開発段階でRASPを組み込む。RASPがWebアプリケーションに組み込まれるため、Webアプリケーションの実行時にオーバーヘッド（余分な処理負荷）が生じる。開発チームには追加ソフトウェアコンポーネントの管理が求められるため、開発と運用のサイクルが複雑になる。そのためDevOps（開発と運用の融合）チームはRASPに対して厳しい評価を下す傾向にある。

　これに対してWAFには普遍性と低コストというメリットがある。近年のファイアウォールやゲートウェイ、プロキシ製品では、標準的な構成要素として無料またはオープンソースソフトウェア（OSS）のWAFが付随している。

　OSSのWAFとしては「ModSecurity」が有名で、Webサーバ構築のためのソフトウェア「Apache HTTP Server」やOSSのWebサーバ「nginx」（エンジンエックス）などで利用できる。

　RASPはベンダーから有償の製品として提供されるものが多く、ベンダーからサポートを受けられるプログラミング言語も限られている。

　WAFとRASPでは、セキュリティの仕組みも求められる運用も異なる。WAFは事前定義された規則に基づいて判断する境界上の防御システムとして機能するのに対し、RASPはアプリケーション内部で機能して、より深いコンテキストに基づいた認識を提供する。どちらのアプローチにも長所がある。

　既知の攻撃パターンを迅速にブロックすることに長けているWAFに対し、RASPは既知の脅威と新たな脅威の両方に対してより細やかな保護を提供できる。WAFは既存のWebアプリケーションや運用に与える影響は限られているが、事前に定めた規則が適切でない場合は正規のユーザーに影響を及ぼす恐れがある。RASPは誤検知の可能性は低いが、導入に手間がかかることや、Webアプリケーションへのオーバーヘッド（一定の処理に伴って発生する余分な負荷）も考慮する必要がある。

RASPとWAFのどちらを採用するか、それとも両方採用するか

　WAFとRASPは相互に排他的なセキュリティツールではなく、Webアプリケーションの脅威を異なる層で防ぐ補完的な関係にある。

　WAFは既知の攻撃パターンに対して幅広い保護を提供し、複数のアプリケーションに迅速に導入できる。悪意があるように思えるトラフィックがアプリケーションに接触する前に取り除く最初の重要な防御線としての役割を果たす。

　RASPは内部からアプリケーションを保護し、WAFの防御壁を突破した高度な攻撃を検出する追加のセキュリティ層としての役割を果たす。コンテキストを認識する保護は、機密情報や金融取引を扱う重要なアプリケーションでは特に重要になる。

　次のように両テクノロジーの実装を検討するのが望ましい。

• 一般的なWeb攻撃や悪意のあるトラフィックに対する最初の防御壁としてWAFを使用する。
• 正確なコンテキストベースの保護を必要とする重要なWebアプリケーションにRASPを導入する。
• 両テクノロジーの補完的な性質を生かして多層防御を実現する。

　この組み合わせアプローチによって、Webアプリケーションを包括的に保護できるだけでなく、セキュリティのニーズ、運用上の考慮事項、リソースの制約のバランスを取ることができる。