Web Application Firewall（WAF）とは
Webアプリケーションファイアウォール（WAF）は、クロスサイトスクリプティング（XSS）、SQLインジェクション、Cookieポイズニングなど、さまざまなアプリケーション層への攻撃からWebアプリケーションを保護します。アプリケーションへの攻撃は、侵害の主な原因です。アプリケーションは、価値あるデータへの入り口となるためです。適切なWAFを導入することで、システムを侵害してデータを窃取しようとするさまざまな攻撃をブロックできます。
Webアプリケーションファイアウォール（WAF）の仕組み
WAFは、Webアプリケーションに送信される悪意のあるHTTP/Sトラフィックをフィルタリング、監視、ブロックし、未承認のデータがアプリケーション外に流出するのを防ぐことで、Webアプリケーションを保護します。これは、トラフィックが悪意のあるものか安全なものかを判断するための一連のポリシーに従って行われます。プロキシサーバーがクライアントの身元を保護する仲介役として機能するのと同様に、WAFはその逆方向で「リバースプロキシ」として機能し、悪意を持つ可能性のあるクライアントからWebアプリケーションサーバーを保護する仲介役を担います。
WAFは、ソフトウェアやアプライアンスとして導入できるほか、サービスとして提供される場合もあります。ポリシーは、個々のWebアプリケーションまたは複数のWebアプリケーションに固有のニーズに合わせてカスタマイズできます。多くのWAFでは、新たな脆弱性に対処するためにポリシーを定期的に更新する必要がありますが、機械学習の進歩により、一部のWAFでは自動更新が可能になっています。脅威を取り巻く状況が複雑さと不確実性を増し続ける中、この自動化の重要性はますます高まっています。
クライアント（Webブラウザなど）とバックエンドサーバー（アプリケーションサーバーやその他のWebサーバーなど）の間に配置されるリバースプロキシは、バックエンドサーバーからのレスポンスをキャッシュするためにも使用できます。これにより、頻繁にアクセスされるリソースの応答時間を短縮し、バックエンドサーバーの負荷を軽減できるため、Webアプリのパフォーマンス向上につながります。キャッシュされたレスポンスは、バックエンドサーバーで動的に生成されるレスポンスよりも迅速に配信できます。また、リバースプロキシによるキャッシュは、特にトラフィックが多い時間帯や静的コンテンツを配信する場合に、スケーラビリティとリソース使用効率の向上にもつながります。
Webアプリケーションファイアウォール（WAF）、侵入防止システム（IPS）、次世代ファイアウォール（NGFW）の違い
IPSは侵入防御システム、WAFはWebアプリケーションファイアウォール、NGFWは次世代ファイアウォールです。これらにはどのような違いがあるのでしょうか。
IPSは、より広範な領域を対象とするセキュリティ製品です。通常はシグネチャとポリシーに基づいており、シグネチャデータベースと定義済みのポリシーを使用して、既知の脆弱性や攻撃ベクトルを検査できます。IPSはデータベースとポリシーに基づいて基準を設定し、その基準から逸脱するトラフィックを検出するとアラートを送信します。新たな脆弱性が明らかになるにつれて、シグネチャとポリシーは拡充されます。一般に、IPSはDNS、SMTP、TELNET、RDP、SSH、FTPなど、さまざまなプロトコルのトラフィックを保護します。IPSは通常、レイヤー3とレイヤー4、つまりネットワーク層とセッション層で動作し、これらを保護します。ただし、製品によってはアプリケーション層（レイヤー7）でも限定的な保護を提供する場合があります。
Webアプリケーションファイアウォール（WAF）はアプリケーション層を保護し、アプリケーション層で個々のHTTP/Sリクエストを分析するように特別に設計されています。通常、ユーザー、セッション、アプリケーションを認識し、背後にあるWebアプリケーションと、それらが提供するサービスを把握します。そのため、WAFはユーザーとアプリケーションの仲介役として、すべての通信をアプリケーションまたはユーザーに到達する前に分析するものと考えることができます。従来型のWAFは、セキュリティポリシーで許可された操作のみが実行されるようにします。多くの組織にとって、WAFはアプリケーションを守る信頼性の高い第一の防御線であり、特に、最も多く見られるアプリケーション脆弱性の基本的なリストであるOWASP Top 10への対策に役立ちます。現在、このTop 10には以下が含まれます。
- インジェクション攻撃
- 不適切な認証
- 機密データの漏えい
- XML外部エンティティ（XXE）
- 不適切なアクセス制御
- セキュリティの設定ミス
- クロスサイトスクリプティング（XSS）
- 安全でないデシリアライゼーション
OWASP Top 10への備え方を解説したeBookを入手
こちらの短い動画をご覧ください：IPSとWAFの比較
次世代ファイアウォール（NGFW）は、Webサイト、メールアカウント、SaaSなど、インターネットへ送信されるトラフィックを監視します。簡単に言えば、Webアプリケーションではなくユーザーを保護します。NGFWは、ユーザー単位のポリシーを適用し、セキュリティポリシーにコンテキストを追加します。また、URLフィルタリング、ウイルス対策／マルウェア対策、場合によっては独自の侵入防止システム（IPS）などの機能も備えています。WAFは通常、サーバーが使用するリバースプロキシですが、NGFWは多くの場合、ブラウザなどのクライアントが使用するフォワードプロキシです。
WAFはリバースプロキシですか？
リバースプロキシサーバーはプロキシサーバーの一種で、通常はプライベートネットワーク内のファイアウォールの背後に配置され、クライアントからのリクエストを適切なバックエンドサーバーに転送します。一般にプロキシがクライアントを保護するのに対し、WAFはサーバーを保護し、特定のWebアプリケーションを保護するために導入されます。そのため、WAFはリバースプロキシの一種とみなすことができます。WAFは、アプライアンス、サーバープラグイン、フィルターなどの形態で提供され、アプリケーションに合わせてカスタマイズできる場合があります。
WAFのさまざまな導入方法
WAFには複数の導入方法があります。最適な方法は、アプリケーションの導入先、必要なサービス、希望する管理方法、求めるアーキテクチャの柔軟性とパフォーマンスのレベルによって異なります。自社で管理するのか、それとも管理を外部に委託するのか。クラウドベースのモデルが適しているのか、それともWAFをオンプレミスに配置するのか。希望する導入方法を明確にすることで、適切なWAFを判断しやすくなります。以下に選択肢を示します。
WAFの導入形態：
- クラウドベース＋フルマネージドサービス—アプリの前段にWAFを最も迅速かつ手間なく導入したい場合に最適な選択肢です（特に、社内のセキュリティ／ITリソースが限られている場合）
- クラウドベース＋セルフマネージド—トラフィック管理とセキュリティポリシーの設定を引き続き制御しながら、クラウドの柔軟性とセキュリティポリシーの移植性を最大限に活用できます
- クラウドベース＋自動プロビジョニング—クラウドでWAFを導入する最も簡単な方法であり、セキュリティポリシーを容易かつコスト効率よく展開できます
- オンプレミスのAdvanced WAF（仮想アプライアンスまたはハードウェアアプライアンス）—柔軟性、パフォーマンス、より高度なセキュリティ対策がミッションクリティカルとなる、特に厳しい導入要件に対応します
WAFの詳細と、F5のAdvanced WAFテクノロジーを使用してアプリを保護する方法をご確認ください。F5は、F5 NGINX App Protect,も提供しています。これは、F5 NGINX Plus、F5 NGINX Ingress Controller、その他のサーバーと連携する最新のWAFアプリケーションです。NGINX Plusは、大規模な拡張が可能なキャッシュソリューションとリバースプロキシも提供し、静的コンテンツや更新頻度の低いコンテンツを、幅広いクライアントに最適かつ確実に配信します。NGINX Plusキャッシュサーバーは、FastCGI、SCGI、uwsgiなどのプロトコルを使用するスクリプト言語から返される動的レスポンスにも対応できます。
