3つのポイント

• POINT 01

  現在、保護対象のサイト数は100 万サイト超、 官公庁や金融機関をはじめ規模・業種問わず幅広い環境で導入実績がございます

• POINT 02

  ウェブサーバー数百台や数万VM など大規模環境で安定稼働しており、 高い運用性が求められる大手レンタルサーバーの多くで標準採用

• POINT 03

  WAF市場初期より国産専業メーカーとして販売期間13 年以上、 IPA発行「WAF 読本」へ監修協力するなど公的機関からの信用を獲得

製品・サービス概要

資料サンプル

製品・サービス詳細

WAFとは

WAFは、SQLインジェクションやXSS（クロスサイトスクリプティング）などのWebアプリケーションの脆弱性を悪用する攻撃からWebサイトを保護するセキュリティ対策です。Web Application Firewallの略称で、それぞれの単語の頭文字からWAF（ワフ）と呼ばれています。よく知られているネットワークの境界線でアクセスを制御するファイアウォールとは異なり、通信内容をアプリケーションレベルで検査できるのが特徴です。

ECサイトやインターネットバンキングのように、会員の個人情報やクレジットカード情報などを取り扱い、ユーザーからのリクエストに応じて動的にページを作成するWebサイトが主な保護対象となります。

WAFとファイアウォール、IPSの違い

同じファイアウォールという名称を含んでいますが、IPアドレスやポート番号、通信方向といったルールをもとにアクセスを制御する一般的なファイアウォールとは異なり、WAFはHTTP通信の内容を検査することでWebサイトに対する不正アクセスを検出します。また、OSの脆弱性やワームなどの特徴的な通信を検出し、システムを幅広く防御するセキュリティ対策として、IPS（不正侵入防止システム）がありますが、IPSではWebアプリケーションの脆弱性を悪用した攻撃を防ぎきることはできません。

WAFによる攻撃の防御

WAFによる防御の基本はシグネチャ検査です。検出ルール（シグネチャ）に基づき、HTTPリクエスト（要求行、要求ヘッダ、要求本文）およびHTTPレスポンス（ステータスコード、応答ヘッダ、応答本文）に含まれる各種データを検査して攻撃を検出します。

どのような企業がWAFを導入するべきか？

WAFは、Webアプリケーションの脆弱性を悪用した攻撃による個人情報の窃取や改ざんなどから、Webサイトを保護するセキュリティ対策です。

ECサイトやインターネットバンキングのように、会員の個人情報やクレジットカード情報などを取り扱い、ユーザーからのリクエストに応じて動的にページを作成するWebサイトが主な保護対象となります。

WAFの導入で防御できる攻撃

WAFを導入することで、以下のような攻撃を防ぎ、Webサイトのセキュリティレベルを向上させることができます。

SQLインジェクション

SQL文を含んだ入力データを送信してデータベースに不正にアクセスする。データベース内の機密情報の漏洩やデータ改ざんにより、大きな被害を受ける恐れがある。

XSS（クロスサイトスクリプティング）

脆弱な標的サイトにアクセスするように仕向けることで、Webサイトが本来想定していない機能（スクリプト実行など）をブラウザ側で実行させる。Cookieのセッション情報が盗まれるなどの恐れがある。

CSRF（クロスサイトリクエストフォージェリ）

対象Webサイトの投稿や登録といった重要な機能について、他のサイトから本来の手順を経ずにクライアントに実行させる。なりすまし投稿などに悪用される恐れがある。

OSコマンドインジェクション

OSコマンドを含んだ入力データを送信してサーバー上のリソースに不正にアクセスする。サーバー上で任意のコマンドが実行された結果、大きな被害を受ける恐れがある。

ディレクトリトラバーサル

ディレクトリパスを遡ってサーバー上のファイルに不正にアクセスする。本来公開を意図していないファイルへの参照・実行の恐れがある。

改行コードインジェクション（HTTPヘッダ、メールヘッダ）

改行コードを含んだ入力データを送信して、HTTPレスポンスヘッダやHTTPレスポンスを改ざんする。クライアントは偽りのCookieやページ内容による影響を受ける可能性がある。任意のメールヘッダの挿入や本文の改変、不正なメール送信に悪用される可能性もある。

XXE（XML External Entity）

XMLには実態参照と呼ばれる内部・外部（URL）リソースを読み込む構文があり、XXEはアプリケーションがXMLを処理する際にこの構文を悪用される脆弱性。サーバー内の不正なファイル参照のほか、他のサーバーへ攻撃を仕掛けるSSRF（Server Side Request Forgery）につながる恐れもある。

クリックジャッキング

Webサイト上のリンクやボタンを偽装・隠ぺい、視覚的に騙してクリックに誘導し、利用者の意図しない操作を行わせる攻撃手法。意図しない商品購入や投稿、悪意あるサイトに誘導されるなどの恐れがある。

企業情報