Webアプリケーションセキュリティとは
Webアプリケーションセキュリティとは、インターネット上の脅威による攻撃から、Webサーバー、Webアプリケーション、APIなどのWebサービスを保護するためのさまざまなプロセス、テクノロジー、手法を指します。Webアプリケーションセキュリティは、データの窃取、事業継続の中断、その他のサイバー犯罪による被害から、データ、顧客、組織を守るうえで極めて重要です。
Webアプリケーションセキュリティとは
多くの推計によると、サイバー犯罪の4分の3以上が、アプリケーションとその脆弱性を標的としています。Webアプリケーションセキュリティ製品とポリシーは、Webアプリケーションファイアウォール（WAF）、ユーザー向け多要素認証（MFA）、ユーザーの状態とプライバシーの状態を維持するためのCookieの使用、保護、検証、さらにユーザー入力がアプリケーションで処理される前に悪意のあるものではないことを確認する各種の検証方法などを通じて、アプリケーションの保護に努めます。
Webアプリケーションセキュリティが重要な理由
オンラインバンキングやリモートワーク用アプリから、個人向けエンターテインメント配信、eコマースに至るまで、現代社会はアプリによって支えられています。アプリケーションが攻撃者の主要な標的となるのも不思議ではありません。攻撃者は、設計上の欠陥をはじめ、API、オープンソースコード、サードパーティ製ウィジェット、アクセス制御の脆弱性を悪用します。
Webアプリケーションに対する一般的な攻撃には、次のようなものがあります。
- ブルートフォース攻撃
- クレデンシャルスタッフィング
- SQLインジェクションおよびフォームジャッキングインジェクション
- クロスサイトスクリプティング
- Cookieポイズニング
- 中間者（MITM）攻撃およびマン・イン・ザ・ブラウザー攻撃
- 機密データの漏えい
- 安全でないデシリアライゼーション
- セッションハイジャック
最近のある調査では1、2024年までにサイバー犯罪によって全業界で5.2兆ドル相当の価値が失われると推定されています。別の調査では、それ以前に年間損失額が6兆ドルに達すると推定されています2。こうしたコストを抑え、可能であればなくすためには、セキュリティデバイスとテクノロジーが不可欠です。Webアプリケーションに対する脅威は、金銭やデータを直接盗むだけでなく、資産、顧客からの信頼、企業の評判を損なう可能性があります。そのため、あらゆる規模の組織にとって、Webアプリケーションセキュリティは必須です。
Webアプリケーションセキュリティの仕組み
Webアプリケーションセキュリティにはさまざまなアプローチがあり、それぞれ異なる脆弱性に対処します。 Webアプリケーションファイアウォール（WAF）は、より包括的なアプローチの1つであり、Webアプリケーションとユーザー間のトラフィックを監視およびフィルタリングすることで、さまざまな種類の攻撃からWebアプリケーションを保護します。安全なトラフィックかどうかの判断に役立つポリシーを設定することで、WAFは悪意のあるトラフィックをブロックし、Webアプリケーションへの到達や、アプリからの不正なデータ流出を防ぐことができます。
その他のWebアプリケーションセキュリティ手法では、たとえば、ユーザー認証とアクセス管理、アプリケーション脆弱性スキャナー、Cookie管理、トラフィックの可視化、IP拒否リストなどに重点を置いています。
F5はWebアプリケーションセキュリティにどう対応するのか
F5 Advanced WAFは、アプリケーション層の暗号化と、機械学習および脅威インテリジェンスに基づく振る舞い分析によってアプリケーションの脆弱性を緩和し、組織によるアプリケーションと機密性の高い顧客データの保護を支援します。
The Silverline Web Application Firewallは、運用効率、柔軟性、専門家によるサポートを重視する企業向けに、クラウドベースのマネージドサービスとしてアプリケーション保護を提供します。
F5 WebSafe and MobileSafe は、セキュリティが確保されていない可能性のあるモバイルデバイスやブラウザーを介したトランザクションの保護を支援し、ユーザーに意識させることなく不正行為から保護します。
1 Chris Thompson、 サイバー犯罪によって金融機関が被るコストとは？、 Accenture（2019年7月15日）
2 2019年版公式年次サイバー犯罪レポート、Cybersecurity Ventures（2018年12月
