WAF（Web Application Firewall）
WAFとはWebアプリケーションの脆弱性を悪用したサイバー攻撃から、Webアプリケーション保護を行うセキュリティ対策です。
Firewall 、IDS/IPS、UTMでは検知不能であるアプリケーションの脆弱性を悪用した攻撃について検知・対応可能です。WAFはWebアプリケーションを安全に保護します。
情報セキュリティ対策の実態
現在では大企業周辺でもサイバー攻撃による被害が報道されており、取引先にまで影響が及んでいます。 さらに攻撃の手口は巧妙化しており、ファイヤーウォール、ウイルス対策ソフトだけでは対応が難しい状況です。 しかしながら、実態調査結果によると、情報セキュリティ対策を十分に実施していない中小企業が多数となっております。 中小企業の3割の企業がセキュリティ対策への投資を行っていない状況であり、また投資している企業でも投資額は100万円未満が半数であり、対策にかける費用が不十分と考えられる企業は８割以上にのぼります。 理由としては必要性を感じていない、費用対効果が見えない、コストがかかりすぎる等、であり、サイバー攻撃による被害を企業自身のものとして捉えていない現状があります。(※1)
※1 IPA調査報告
(https://www.ipa.go.jp/security/products/products.html : 2021年度中小企業における情報セキュリティ対策の実態調査報告書)
WAFの必要性について
昨今のWebサイトはお客様とつながる為の重要なツールであると同時に誰でもアクセスができるため、悪意を持った攻撃に常に曝されています。
様々な攻撃が現実に行われており、特にWebアプリケーションの脆弱性を狙った攻撃については、IPSやUTMによる不可能な防御には、個別の対応が必要です。
一方、Webアプリケーションの脆弱性に関する届出情報では、約７割がウェブサイトに関係しており(※2)、Webアプリケーションの脆弱性に対する対策が必要と言えます。
通常、Webサイトで使用されているソフトウエアの脆弱性が発見された場合、できるだけ早く修正が行われますが、即日修正用バッチが展開され適用できるケースは少なく、修正までの間にサイバー攻撃された事例は多く存在します。
一方でWAFのシグネチャ適用は非常に早く、脆弱性解消までの間はWAFが有効に働きます。
※2 IPA調査報告
(https://www.ipa.go.jp/security/vuln/index.html ：脆弱性に関する届出状況_2022年第1四半期)
Firewall、IDS/IPS、UTM等のセキュリティ製品とWAFの違い
サイバーセキュリティ対策として一般的なFirewall、IDS / IPS、UTMは保護できる領域が異なります。
【Firewall の保護範囲】
Firewallはネットワークレベルでのセキュリティ対策でポート番号やIPアドレスあるいはプロトコル（TCP/UDP）等によりアクセス制限を行います。
Firewallでは通信の中身を監視していない為、正常な通信を装った攻撃には対応できません。
【IDS/IPS (不正侵入検知システム/不正侵入防止システム)の保護範囲】
IDS/IPSはプラットフォームレベルでのセキュリティ対策です。通信内のパケットの中身をチェックできるため､ Firewallを通過した通信について不正なアクセスを検知します。
IDSは検知した情報を管理者へと伝えるまでの機能であり、IPSは検知したアクセスについて遮断までの処理を行います。
【UTM (統合脅威管理)の保護範囲】
UTMは複数の異なるセキュリティ機能を統合し、脅威の管理を行うシステムです。 Firewall、IPS、Anti Virus、Anti Spam、Web Filtering等のセキュリティ機能を集約しており、各社より提案されております。
【WAF (Web Application Firewall)】
WAFはFirewallやIPSが保護するネットワーク/プラットフォームレベルより上位のレイヤであるアプリケーションレベルでのセキュリティ対策であり、Web Applicationの脆弱性を悪用した攻撃に特化した防御対策です。
Web Applicationにおける通信を解析し、異常データの流出を防止します。
Webアプリケーションの脆弱性を狙った攻撃
・クロス・サイト・スクリプティング（Webサイトの悪用）
・SQLインジェクション（ユーザー情報の搾取）
・コマンド・インジェクション（システム基盤の侵害）
外部からの侵入対策の第一歩としてWAF導入を
既存システムにおけるセキュリティ対策は、ビジネスを守る観点から優先順位を考慮し実行することが望ましいです。
境界型防御を構築するには、まずFirewall、IDS/IPSの導入が必要と考えられますが、Webサイトへの攻撃実態を踏まえたハッキング防御策を検討頂くことが重要です。
その為にWebアプリケーション保護に特化したセキュリティ製品としてWAFの導入をご検討下さい。
Webサイトに悪意あるコードやスクリプトを挿入し、悪意のあるWebサイトに誘導（サイトをクロス）されユーザーは情報搾取などの被害を受けます。
また、クッキー・アクセス履歴・個人情報の漏えい、Webサイト改ざん、意図しない不正なサイトへの転送によるフィッシング詐欺、重要情報の漏えい、マルウエア感染などがあります。
このようにクロス・サイト・スクリプティングは、攻撃の影響がWebサイトだけではなく、 Webサイトのページを閲覧した一般ユーザに影響を及ぼすことになります。▲
データベースにおけるデータ操作を行うためのSQL文を用いて、攻撃対象のWebサイトにインジェクションし、悪意を持った攻撃を行います。
脆弱性を持ったWebサイトに、不正な内容を盛り込んだSQL文を注入し実行すると、SQL文の内容が実行されてしまい、その結果データベースに保存されている企業の機密情報や、クレジットカード番号を含む個人情報などが漏洩してしまいます。
またデータベースの改ざんやWebサイトの改ざん等が発生します。▲
OSコマンド・インジェクションは、Webフォーム等入力可能なフィールドから、不適切なOSコマンドを実行し、外部から自由にデータベースを操り情報を漏洩させます。
管理者が意図しないOSコマンドが実施されることで、重要情報の漏えい、ファイルの改ざん、あるいはサーバーを乗っ取ることで、他の攻撃の踏み台に利用される等、被害はシステム全体に及びます。▲
