Webサイトのセキュリティ対策に――読めば分かる！ WAF：まる分かりIT基礎解説「Webアプリケーションファイアウォール」

Webアプリケーションファイアウォールの仕組みや、選定導入時のポイント、国内提供中のWAF12製品の情報をまとめた。

[渡邉利和]

　WAF（Web Application Firewall）は、名前の通りWebアプリケーションの保護を目的に導入するセキュリティソリューションだ。現在のWebは、ユーザーとインタラクティブなやりとりを行い、商取引などの経済活動の場としても活用されている。個人情報や経済的に重要な情報なども保持しているため、セキュリティの維持が重要となる。

　クレジットカード情報に関するセキュリティ基準「PCI DSS（Payment Card Industry Data Security Standards）」の要件6.6では、「一般公開されているWebアプリケーションは、常時、新しい脅威と脆弱性に対処し、以下のいずれかの手法によって既知の攻撃から保護する必要がある」としている。PCI DSSは、国際的なクレジットカードブランド5社（American Express、Discover、JCB、MasterCard、VISA）が共同で設立した業界団体PCI SSC（Payment Card Industry Security Standards Council）によって制定された。

　このように国際規模のセキュリティ基準でも、具体的な対策手法の1つとしてWAFの導入を明記している。少なくともクレジットカード決済を行うWebサイトでは、WAFの導入が強く推奨されている状況だ。PCI DSSの最初のバージョンは2004年末に公開され、その時点からWAFの重要性は繰り返し喚起されている。それにもかかわらず、普及ペースはゆっくりだったのが現実だ。しかし最近では、度重なる著名サイトのセキュリティ侵害事案などもあり、普及が加速し始めているといわれている。アイ・ティ・アールによる調査では、2010年度のWAF市場規模は2009年度比で62.7％増という大幅な伸びを示しているという（関連リンク：「ITR Market View：ネットワーク＆セキュリティ・アプライアンス市場2011」プレスリリース）。

　なかなか普及が進まなかったWAFの市場がここにきて拡大を示している背景には、Webサイトのセキュリティが破られた際の影響の大きさが認知されてきた影響もあるだろう。加えて、WAF製品自体の進化によって以前よりも導入障壁が下がってきたことも大きいと思われる。

関連記事

• 【連載】Webサイトを保護する「WAF」製品紹介
• セキュリティ運用管理の専門家が語る、失敗しないWAFの選び方

攻撃防御は「ホワイトリスト型」と「ブラックリスト型」

関連ホワイトペーパー

アプライアンス | 運用管理 | サーバ | SaaS | Webアプリケーション | 脆弱性 | PCI DSS | ベンダー | セキュリティポリシー | ファイアウォール