WAF（Web Application Firewall）は、WebサイトやWebアプリの前に立って、危ないアクセスを自動で見分けて止める仕組みです。会社の受付で、普通のお客さんはそのまま通し、明らかに怪しい人はその場で止め、判断の難しい人は確認してから通す。その受付を、Webの入口で24時間続けてくれます。
特に得意なのが、フォームの入力欄や URL に不自然な文字列を紛れ込ませて、システムを誤動作させようとする攻撃の検知です。問い合わせフォーム、ECサイトのログインや決済の画面、公開している WordPress などの CMS が、守りたい対象の代表例です。サーバーの改修に手をつける前に、まず入口の防御を固めたいときにも使われます。
ファイアウォールとは見ている場所が違う
名前が似ているファイアウォールとは、確かめている中身が違います。
| 見ているもの | たとえると | |
|---|---|---|
| ファイアウォール | 通信の送り元、宛先、ポート番号 | 入館証を持っているか |
| WAF | Webへのリクエストの中身（入力された文字列など） | 持ち込む荷物に危険物がないか |
入館証が本物でも、荷物に危険物が入っていれば止めたい。そこを受け持つのが WAF です。逆に、WAF が見ているのは Web の層だけなので、サーバー全体の防御や、OS やアカウントの問題まで肩代わりしてくれるわけではありません。
入れた日から始まる仕事
WAF は、導入して終わりにはなりません。
入れたばかりの頃は、普通のお客さんを怪しい人と見間違える誤検知が出ることがあります。ログを見ながらルールを調整し、正しいアクセスまで止めていないかを確かめます。アラートを見る人、どのアクセスを除外するかを判断する人も、あらかじめ決めておきましょう。
入口で止められるようになっても、アプリそのものの弱点が消えるわけではありません。アプリの修正やアップデート、ログインの強化、監視と合わせて使うことで、はじめて守りが厚くなります。