「WAF」製品紹介【第11回】ジェイピー・セキュア

国産WAFの先駆けで信頼を集めるソフトウェア型WAF「SiteGuard」

ジェイピー・セキュアが国内のセキュリティベンダーとしていち早く製品化したソフトウェア型のWAFは、SI事業者をはじめとする「ITの専門家」に選定されるこの分野の定番製品となっている。

公開 2011年07月26日 09時00分

更新 2012年09月04日 15時02分

[渡邉利和]

印刷する Googleで優先するソースとして追加

　ITの分野では、どうしても新しい技術や製品は米国などでまず生まれ、それが日本国内にも持ち込まれるという経緯をたどる例が多い。WAFも例外ではなく、最初にWAFというコンセプトが生まれ、製品化されたのは日本ではなかった。代表的な製品と目されるものの多くは、海外ベンダーの製品であるのが実情だ。

　ただし、こうした海外製品が常に国内ユーザーの全ての需要を満たすわけではないのも確かである。実際に、国産ベンダーの製品を使いたいと望むユーザーも多く存在する。もちろん、製品として確かな機能／品質を備えていることが大前提となるが、その上でサポート体制やレスポンスの速さなど、海外ベンダーにはどうしてもまねできない優位が国産ベンダーには存在するからだ。

セキュリティ専門家との連携

　ジェイピー・セキュアが国内のセキュリティベンダーとしていち早く製品化した「SiteGuard」は、Linux用として実装されたソフトウェア型のWAFだ。WebサーバがLinux上で稼働している場合はWebサーバと同じサーバ上にインストールできるし、Webサーバとは別にWAF専用のLinuxサーバを用意するという形にもできる。

　さらに、IAサーバにLinux環境を構築し、SiteGuradをインストールした形でアプライアンス化することも可能だ。同社自身ではアプライアンス製品の販売は行っていないが、同社のOEMパートナーがSiteGuardを使ったWAFアプライアンスを製品化している。

SiteGuardを使ったWAFに関する記事はこちら

　こうしたアプライアンスはOEMパートナーのブランドで販売されるため、SiteGuardという製品名が前面に出ることはない。よって、それと意識せずにSiteGuardを活用しているユーザー企業も少なからずあるものと想像される。

　SiteGuardは、現在では当たり前になった感もあるブラックリスト型防御の採用に関しても先駆者の立場にある。それまで主流だったホワイトリスト型防御は、理論的には高い防御能力を発揮することが期待されながらも、現場での設定の煩雑さと、頻繁なコンテンツ更新を要するサイトには適用し難いという点が問題視され、WAF自体の有効性を疑問視する見方も生まれるような状況だった。

　これに対してブラックリスト型は、設定の負担が大幅に軽減され、かつ実用上十分なレベルの保護を簡単に実現できる。現在ではブラックリスト型がWAFの中心となっていることは周知の通りだ。

　一方、ブラックリスト型WAFで問題になるのはブラックリスト型防御を実現するための“シグネチャ”の開発能力で、ここが弱いと製品としての保護能力も確保できない。ジェイピー・セキュアでは、国内でも有数のセキュリティサービス企業であるLAC（ラック）との密接な提携関係を構築しており、シグネチャの開発にはLACのノウハウがふんだんに盛り込まれている。こうした提携が実現したのは、両社の人的交流もさることながら、やはり早い時期からWAF製品に取り組んできた経験の長さや実績の豊富さが高く評価されていることと無関係ではないだろう。

取締役技術部長齊藤和男氏

　また、国産製品ということもあって、開発拠点が国内にあり、国内でのセキュリティ動向やユーザーニーズの変化にいち早く対応できる体制にある点も強みだ。「運用管理時のユーザーインタフェース画面から各種ドキュメント類、サポート対応に至るまで、全てを完全に日本語ベースで提供している」（同社取締役技術部長齊藤和男氏）

　海外ベンダー製品の中には、日本語化が完全でなかったり、あるいは最初から英語版での提供となっている製品もある。機能面では全く問題ないとしても、やはり一見した際の分かりやすさなどでは日本語の方に軍配が上がるのは間違いない。ユーザー側の運用管理担当者が英語表示に慣れているとは限らない点からも、国内ユーザーの多くは完全日本語化された製品の方を高く評価するだろう。

定評のある防御力

　シグネチャの開発でLACとの協業体制が構築されていることは前述の通りだが、その防御力に関しても定評がある。第三者によって実施された製品間の比較テストなどでも優秀な成績を挙げていることはもちろん、ユニークなのは特別なチューニングなしのデフォルト状態でこの成果が達成されている点だ。

　テストによっては各製品の最良の防御能力について比較するという観点から、あらかじめテスト内容が開示され、事前にベンダー側で最適な設定を施すことが認められる形式もある。しかしSiteGuardはその際も特にデフォルトの設定から変更せずにテストに参加し、全てのテスト項目をクリアしたという。この、デフォルトでの防御能力の高さがユーザー環境に導入した際の運用管理負担の軽減に大きく貢献することは間違いない。

　ソフトウェア型であることのメリットとして、さまざまなネットワーク構成に対応しやすいことも挙げられる。例えば、パブリッククラウド型のIaaS（Infrastructure as a Service）環境でWebサーバを運用するような場合、アプライアンス型のWAFを設置するのは不可能か、もしくは事業者側で特別な対応を行う必要があることが大半だ。それがソフトウェア型の場合には、ユーザー企業が独自に設定して運用できる。

　トポロジに関しても、アプライアンス型と同様のリバースプロキシやインライン構成とすることもできれば、Webサーバと同じサーバ上にインストールする共存構成にもできるなど、ソフトウェアならではの柔軟性がある。ライセンスはサーバ数を基準とした方式でネットワーク帯域などは無関係なので、プラットフォームとなるハードウェアやネットワーク環境を適切に選択するだけでよい。規模拡大の際にコストが予想以上に膨れ上がってしまう懸念もない。

　なお、今後はソフトウェア型のメリットをより生かす方向で、例えばApacheやIISといった主要なWebサーバに対応したロードモジュール版を提供することなどが検討されているという。

　SiteGuardは、アプライアンス製品の内部で利用されている他、セキュリティを担当するSI事業者が推奨製品として選定している例も多い。ユーザー企業が自社単独で製品を選定し、導入／運用まで行う例はそう多くはなく、通常はSI事業者が製品の選定から運用までをサポートすることになることを考えると、こうした事業者が選んでいる製品だという点は大きな安心感につながるだろう。

印刷する

国産WAFの先駆けで信頼を集めるソフトウェア型WAF「SiteGuard」

関連記事

セキュリティ専門家との連携

SiteGuardを使ったWAFに関する記事はこちら

定評のある防御力

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

国産WAFの先駆けで信頼を集めるソフトウェア型WAF「SiteGuard」

関連記事

セキュリティ専門家との連携

SiteGuardを使ったWAFに関する記事はこちら

定評のある防御力

関連記事

Webサイト防御のためにできること

Webサイトを保護する「WAF」製品紹介

セキュリティ運用管理の専門家が語る、失敗しないWAFの選び方

「費用対効果見えにくい」Webアプリケーション脆弱性診断、その有用性は？

ジェイピー・セキュア、純国産WAF製品の最新版でVMwareに対応

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓