近年、既存のセキュリティソリューションだけでは防ぐのが難しいほど、サイバー攻撃が高度化しており、Webアプリケーションもその標的のひとつとなっています。
そこで重要なのが、Webアプリケーションを守るツールの一つ「WAF」です。WAFは、不正なアクセスを監視・分析し、不審なアクセスがあった際には、Webアプリケーションを攻撃から防御します。
本記事では、WAFの機能や特徴に触れながら、導入検討時に押さえておくべきポイントを解説します。
ページコンテンツ
WAFとは？
WAFとは、「Web Application Firewall」の略称です。Webアプリケーションの脆弱性を突いた攻撃からWebサーバを保護することを目的にWAFが導入されます。
特に近年は、不正アクセスが大幅に増加しており、企業や一般消費者からも多くの被害が報告されています。そのような背景もあり、WebセキュリティにおけるWAFの必要性がますます高まっています。
総務省が発表した資料によると、令和5年における不正アクセスの認知件数は過去5年間の中でも最多を記録しました。
引用元：不正アクセアス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況｜総務省
不正アクセスによる被害で最も多かったのは、インターネットバンキングでの不正送金で、次にメールの盗み見による情報の不正入手です。
また、ウェブサイトの改ざん・消去による不正アクセス被害も発生しており、Webページのセキュリティ設定不備により個人情報が漏えいしたケースやECサイトへの不正アクセスにより、クレジットカード情報が漏えいした被害が起きています。
WAFを導入して、ウェブサイトの改ざん・消去による不正アクセスを防ぐ対策が今後さらに求められます。
WAFを導入する利点
Webアプリケーションと連携しているデータベース上には、重要な情報が保存されることが多いため、サイバー攻撃の標的になりやすいです。
特に、お客さまの情報や企業の機密情報などが抜き取られた際には、企業の信頼や損失は計りしれません。
WAFを導入すると、ウェブサイトの改ざん、不正アクセスなどのWebアプリケーションの脆弱性を悪用する攻撃から守ることができます。
WAFの重要性
ウェブサイトでお客さまの情報やクレジットカード情報などを扱っている場合、ウェブサイトが攻撃を受けた際に情報漏えい事故に繋がりかねません。
ウェブサイトを攻撃から守ることで、情報漏えいリスクの低下や安定したサービスの継続提供を実現でき、企業の信頼性や長期的な利益向上に繋がります。
また、個人情報保護法に基づき、企業が個人情報を漏えいしてしまった場合は、本人への損害賠償責任が発生します。
このような法的責任は、企業経営に大きなリスクをもたらすため、事前にWAFを導入してサイバー攻撃によって生じる情報漏えいを未然に防ぐことが大切です。
WAFが防ぐ攻撃とは？
WAFを導入すると、不正アクセスやプログラムの改ざん、情報の窃取などを目的とした悪意のある通信がWebアプリケーションに達する前に検知されます。
WAFが防げる主なサイバー攻撃は次のとおりです。
- SQLインジェクション
- OSコマンドインジェクション
- ディレクトリ・トラバーサル
- クロスサイトスクリプティング
- DDoS攻撃
- バッファオーバーフロー
各サイバー攻撃の概要について解説します。
SQLインジェクション
SQLインジェクションとは、Webアプリケーションの脆弱性が認められるプログラムに、データベースを操作するための命令文を注入してサイバー攻撃を仕掛ける方法です。データベース上のカード情報やお客さまの情報など機密性の高い情報を盗むことを目的に実行されます。
OSコマンドインジェクション
OSコマンドインジェクションとは、Webアプリケーションのプログラムに悪意のあるOSコマンドを紛れ込ませ、意図しない動作を実行させるサイバー攻撃です。
攻撃者は、入力フォームやURLパラメータなどに特殊な文字列を挿入することで、本来想定されていないコマンドをサーバ側で実行させます。
ディレクトリ・トラバーサル
ディレクトリ・トラバーサルとは、Webアプリケーションの脆弱性を悪用し、Webサーバ上のファイルに不正アクセスする行為です。
具体的には、WebアプリケーションのURLに特殊な文字列を含めることで、本来アクセスできないはずのファイルやディレクトリへのアクセスを可能にします。
クロスサイトスクリプティング
クロスサイトスクリプティングも、Webアプリケーションの脆弱性を悪用したサイバー攻撃の一種です。
悪意のあるスクリプトコードをウェブサイトに埋め込み、ユーザーがそのページを閲覧した際に、意図しない動作を実行させます。
情報漏えいやWebサービスの機能に異常をきたす恐れがあります。
DDoS攻撃
DDoS攻撃とは、「Distributed Denial of Service attack」の略称で、複数のコンピュータからウェブサイトやサーバに対して、大量のアクセスやデータを送信することで、通常のサービス提供を妨害します。
バッファオーバーフロー
バッファオーバーフローとは、プログラムのメモリ領域に、想定を超えるデータ量を送信することで、プログラムに異常動作を起こす攻撃です。
WAFの種類
WAFは形態として３つの種類があります。ここでは下記3種類のWAFについて、特徴に触れていきながら解説します。自社の環境に合わせて、どのWAFを導入するか検討しましょう。
- ソフトウェア型WAF
- アプライアンス型WAF
- クラウド型WAF
ソフトウェア型WAF
ソフトウェア型WAFは、Webサーバにインストールして使用するWAFです。
デメリットとしてWebサーバに負荷をかける仕組みなので、処理性能が低くなるほか、セキュリティに関する専門知識が必要な点が挙げられます。
アプライアンス型WAF
アプライアンス型WAFは、専用のアプライアンスとして提供されるWAFです。アプライアンス型WAFは、高い処理能力と安定性を備えており、セキュリティ機能が充実しています。
デメリットは、メンテナンスやカスタマイズにあたって専門の技術者が必要で、クラウド型よりもコストが高くなりやすい点です。
クラウド型WAF
近年注目されているのがクラウド型のWAFです。クラウド型WAFは、インターネット上のサービスとして提供されており、導入や運用が簡単と言われています。専用のソフトウェアや機器の購入が必要ないため、コストも抑えることが可能です。
また、メンテナンスはベンダー側で実施するため、負担がかからないのもメリットの一つです。
WAFを活用してWebセキュリティを強化しよう
ここまでWAFの種類や重要性をご紹介しました。
WAF製品なら、従来型のシグネチャ―方式ではなく、ロジックエンジンを利用している
「Cloudbric WAF＋」がおすすめです。
Cloudbric WAF＋は従来のWAFの機能はもちろん、Webセキュリティに必要な５つのサービスを１つのプラットフォームで管理ができます。
また、Webセキュリティをさらに強化する策として、Web改ざん瞬間検知・瞬間復旧ソフトウェア「WebARGUS（ウェブアルゴス）」もおすすめです。
WebARGUSは、改ざんの検知から復旧までを0.1秒未満で自動で行います。Webセキュリティでお悩みの方はぜひ以下資料から「Cloudbric WAF＋」や「WebARGUS」の詳細をご覧下さい。
Cloudbric WAF+（クラウドブリック ワフ プラス）
