はじめに
本資料の目的
本資料は、WebサーバーやWebアプリケーションを守るためのWAF（Web Application Firewall）について、基本から運用まで分かりやすく整理したものです。これからWAFを導入・検討する方や運用担当者が、全体像を短時間でつかめるように作成しました。
WAFとは簡単に
WAFは、Webアプリの通信内容を見て悪意ある操作を止める防御装置です。たとえば、入力欄に仕込まれた不正な文字列（SQLインジェクション）や悪用されるスクリプト（XSS）を検出して遮断します。
対象読者
- システム管理者や開発者
- セキュリティ担当者や導入を検討中の方
- WAFの基礎を知りたい運用担当者
本資料の使い方
各章で定義、役割、仕組み、代表的な攻撃、動作モード、機密データ保護、他ツールとの連携を順に説明します。実例を交えて理解を助ける構成です。章ごとに読み進めるだけで、WAFの要点をつかめます。
注意事項
専門用語は極力控え、分かりやすい具体例を示します。最新情報や個別環境への適用は、別途検討してください。
2. WAFの基本定義
WAFとは
WAF（Web Application Firewall）は、Webアプリケーションを狙う攻撃から守る専用の防御装置です。ネットワークの入り口で通信を遮断する従来型のファイアウォールと違い、HTTP/HTTPSなどアプリケーション層の通信内容そのものを詳しく検査します。
何を検査するか（具体例）
例えば、ログインフォームに送られる入力やAPIのリクエスト本文、クッキーの値などをチェックします。これにより、SQLインジェクションでデータベースを不正に操作する試みや、悪意あるスクリプトを埋め込むXSS攻撃を検出して防げます。
従来のファイアウォールとの違い
従来のファイアウォールは主にIPアドレスやポート番号を基に通信を制御します。WAFは通信内容の文脈を理解し、不正な文字列や異常な振る舞いを検出する点で役割が異なります。
導入形態の例
WAFはソフトウェア、ハードウェア、クラウド型などで提供されます。小規模なサイトならクラウド型で手軽に導入でき、企業なら専用アプライアンスやアプリ内組み込みで細かく制御できます。
なぜ重要か
Webサービスは攻撃の対象になりやすいため、アプリケーション層での防御は重要です。WAFを導入すると、被害を未然に防ぎやすくなり、機密情報の漏えいリスクを低減できます。
3. WAFの役割と防御対象
配置と基本的な役割
WAFはWebサーバーの前段に置き、送受信するHTTP/HTTPS通信を検査します。悪意あるリクエストを検出して遮断し、アプリケーションに到達する前に攻撃を止めます。特に金融機関や個人情報を扱うサイトで多く導入され、脆弱なアプリケーションに追加の防御レイヤを提供します。
主な防御対象（具体例で説明）
- SQLインジェクション: ログイン画面や検索フォームに不正な入力が入り、データベースから情報を抜き取る行為を遮断します。
- クロスサイトスクリプティング（XSS）: コメント欄などに悪意あるスクリプトを埋め込み、他の利用者のブラウザで実行される攻撃を防ぎます。
- 不正なファイルアップロード: 悪意あるファイルのアップロードを検知し、サーバーで実行されるリスクを減らします。
- ボットやスクレイピング、認証試行の濫用: 大量アクセスや総当たり攻撃を検出してブロックします。
- APIの乱用や不正なヘッダー操作: APIエンドポイントへの不適切な呼び出しを監視します。
導入のメリットと注意点
WAFは短期的に攻撃の多くを防ぎ、運用者に余裕を与えます。一方で誤検知（正しいトラフィックをブロックする）や設定の手間が発生します。運用ではログ確認とルール調整を継続的に行うことが重要です。
4. WAFの仕組みと動作原理
概要
WAF（Web Application Firewall）は、HTTPリクエストをリアルタイムで監視し不正な通信を遮断します。パケットキャプチャ方式で受信データを解析し、攻撃の兆候を見つけます。一般の閲覧には影響を与えず、悪意あるアクセスだけを止めることを目指します。
パケットキャプチャ方式（リアルタイム検査）
WAFは通信を通過させる前にヘッダーやクエリ文字列、ボディを検査します。たとえばフォーム送信の内容やURLのパラメータをその場でチェックし、不審な文字列があれば処理を止めます。
ルールの種類：ブロックリスト型と許可リスト型
ブロックリスト型は既知の悪意あるパターンを登録して検出・遮断します。許可リスト型は安全と確認した操作だけを通します。実運用では両者を組み合わせて誤検知を減らします。
検査対象と具体例
- ヘッダー：認証情報やRefererを確認します。
- クエリ文字列：URLのパラメータ中の特殊文字や長すぎる値を検出します。
- ボディ：投稿フォーム内のスクリプトやSQL風の文を探します（例：”‘ OR ‘1’=’1″や””）。
検出後の動作
検出時は即時ブロック、チャレンジ（CAPTCHA提示）やログ記録・アラート送信を行います。運用ポリシーに応じて応答を変えます。
運用上の注意点
誤検知を減らすためにチューニングが必要です。また暗号化通信は復号して検査する設定が求められる場合があります。性能影響を考え、適切なハードウェアや設定で運用してください。
5. WAFの防御対象となる攻撃
WAFはウェブアプリに対するさまざまな攻撃を検出して遮断します。ここでは代表的な攻撃と、WAFがどのように対応するかを具体例を交えて説明します。
SQLインジェクション（SQLi）
攻撃者が入力欄に「’ OR ‘1’=’1」のような不正なクエリを入れてデータを盗む手口です。WAFは危険な文字列や構文を検出してブロックします。例：ログインフォームで不正クエリを弾く。
クロスサイトスクリプティング（XSS）
alert(1)
のようなスクリプトを挿入し、利用者のブラウザで不正な動作をさせます。WAFはスクリプトタグや危険なJavaScriptパターンを検出して遮断します。格納型・反射型の両方に対応します。
DDoS・大量アクセス
短時間に大量のリクエストを送ることでサービスを停止させる攻撃です。WAFはレートリミット、IP評判、ボット検知やチャレンジ（CAPTCHA）で流入を抑えます。
ファイルアップロード攻撃
拡張子を偽装したマルウェアや悪意あるスクリプトのアップロードを狙います。WAFはMIMEタイプ検査、ファイルサイズや拡張子の制限、ウイルススキャンとの連携で対処します。
コマンドインジェクション・パス操作
“../etc/passwd”のようにファイルへ不正にアクセスする試みや、シェルコマンドを注入する攻撃です。危険な文字列やパターンを検出して遮断します。
API悪用・認可バイパス
不正なパラメータで権限を越えてデータを取得するIDORや、APIキーの乱用を狙う攻撃です。WAFはスキーマ検証やレート制限、トークンチェックで補助します。
これら以外にもヘッダ改ざんやセッション攻撃など多様な手口があります。WAFはパターン検出とルール適用で幅広く防御します。
6. WAFの動作モードと設定
動作モードの種類
WAFは主に「ブロックモード」と「記録のみモード（モニタリング）」で動作します。ブロックモードはSQLインジェクションや不正なリクエストを検知すると即座に遮断します。記録のみモードは危険と判断したリクエストをログに残し、通信は許可します。学習（チューニング）モードを備える製品もあり、正常な振る舞いを学習してルールを自動調整します。
導入時の推奨手順
- まず記録のみモードで運用を開始し、一定期間ログを収集します（例：1～2週間）。
- ログを確認して誤検知（false positive）を洗い出し、例外ルールやホワイトリストを作成します。具体例：管理画面のPOSTが誤検知される場合、そのパスを許可します。
- テストで問題がなければ、段階的にブロックモードを有効にします。重要なエンドポイントは最初は緩めのルールにします。
代表的な設定項目
- ルールセット選択（例：OWASP Core Rule Set）
- しきい値（スコア閾値）やレート制限（短時間での大量リクエストを遮断）
- ホワイトリスト／ブラックリスト（特定IPやURIの除外）
- TLSオフロードの有無（暗号化されたトラフィックを解析するか）
- ログ出力先とアラート連携（SIEMやメール通知）
運用上の注意
- 誤検知を放置すると正当な利用者に影響します。ログは定期的に見直してください。
- 緊急時のバイパス機能やロールバック手順を用意します。
- ルールの自動更新を利用する場合でも、自社アプリ固有の設定は手動で管理します。
- 設定変更はまずステージング環境で検証し、段階的に本番へ反映してください。
7. WAFの機密データ保護とコンプライアンス
機密データ保護の役割
WAFはクレジットカード番号や個人識別情報（PII）などを狙う攻撃を検知・遮断します。たとえば、フォーム入力にカード番号のような文字列が送られるとき、不正なパターンやスクリプト注入をブロックします。これにより、データベースに届く前に悪意ある入力を止められます。
機能例と具体的効果
- 仮想パッチ（Virtual Patching）：アプリの脆弱性に対してサーバ側で一時的に対策を当て、攻撃を防ぎます。公開前の修正時間を稼げます。
- データマスキング／ログのサニタイズ：ログに平文の機密情報を残さないようにし、運用者が誤って機密を閲覧するリスクを下げます。
- 入力検査とパターン検出：クレジットカード番号やマイナンバーの形式を検出し、不正送信を遮断します。
コンプライアンスとの関係
WAFはPCI DSSなどの要件達成に役立ちます。具体的には、カード会員データの保護、アクセス監査ログの生成、不正アクセスの抑止に貢献します。WAF単体で完全に準拠するわけではなく、暗号化やアクセス制御、運用手順と合わせて使う必要があります。
設定時の注意点（実践的アドバイス）
- 機密フィールドを特定する：フォームやAPIで扱うカード番号や住所などを明確にします。2. ログ設計を見直す：機密値をマスクし、必要最低限の情報だけを残します。3. ルールの精緻化：誤検知を減らすためにホワイトリストや正規表現を適切に設定します。4. 定期的なレビュー：ルールやログ設定を運用状況に応じて見直します。
他技術との併用
WAFはDLP（データ漏えい防止）や暗号化、認証基盤と組み合わせると効果が高まります。たとえばTLSで通信を保護し、サーバ側でトークン化（カード番号を別の値に置換）すると、WAFでの検出・遮断と合わせて二重の抑止力になります。
これらを実践することで、WAFは機密データの保護とコンプライアンス対応に有効な手段となります。
8. 他のセキュリティツールとの連携
概要
WAFは単独で使うよりも、IDS/IPSやファイアウォール、SIEMなどと連携すると効果が高まります。多層防御の一部として役割を分担し、誤検知の抑制や迅速な対応を実現します。
連携先と役割（具体例）
- ファイアウォール：ネットワーク層の不正を遮断し、WAFはアプリ層の攻撃を対処します。
- IDS/IPS：異常を検知してWAFにルール更新を促すフローが取れます。
- SIEM：WAFのログを集約して相関分析や長期的な脅威分析を行います。
- DLPや認証基盤：機密データや認証異常をWAFと共有し保護を強化します。
具体的な連携ワークフロー
- WAFが攻撃をブロックしてイベントを生成。
- イベントをSIEMへ送信し、相関ルールで重大度判定。
- SIEMが自動化プレイブックでIPSやファイアウォールに防御指示を出す。
この流れで対応時間を短縮できます。
導入時の注意点と運用のコツ
- ログ形式を統一し、監視側で読みやすくする。
- まず監視モードで運用し、誤検知を調整する。
- ルールの優先度を明確にして競合を避ける。
- 自動化は段階的に導入し、影響を確認する。
運用で得られる効果
連携により検知精度が上がり対応速度が改善します。各ツールの長所を生かし、総合的なセキュリティが向上します。
