【WAF製品】おすすめ22選を比較！無料ソフト・選び方も紹介

WAFとは、Webアプリケーションの保護に特化したセキュリティ製品です。Webアプリケーションへの不審な動きを検知し、Webサイトの改ざんやWebサーバーへの攻撃を遮断します。自社のWebサイトやWebサービスを保有する企業であれば、必須のシステムです。この記事では、おすすめのWAF製品20選を紹介します。WAFのタイプ別に解説しますので、WAF導入を検討中の方はぜひご活用ください。

この記事の目次

1 WAFとは
2 WAFの種類とは
3 WAF導入の必要性
4 無料から始められるWAF製品おすすめ4選
5 有料WAF製品のおすすめ18選【タイプ別】
6 おすすめWAF製品22選一覧表
7 WAF製品選定を失敗しないためのポイント
8 よくある質問
9 まとめ

WAFとは

WAFとはWebアプリケーションの脆弱性を悪用したサイバー攻撃を防御するためのシステムのことです。正式には、Web Application Firewallとつづり、「ワフ」と呼ばれることが多いです。

サーバーで動作するWebアプリケーションは、PHPやRubyなどのプログラミング言語で開発されるのが一般的ですが、プログラミングのバグで、脆弱性が発生し、サイバー攻撃に悪用されることがあります。例えば「クロスサイトスクリプティング」や「SQLインジェクション」などは代表的なサイバー攻撃です。

WAFはこのようなWebアプリケーションの動作を監視し、不正なふるまいを検知すると、動作をブロックしたり、ログを記録したりできます。このような機能によりWebアプリケーションのユーザーの情報漏洩を保護などのセキュリティ対策が実現できます。

参照WAFとは？セキュリティ対策の仕組みを初心者にもわかりやすく解説

WAFの機能・役割とは

WAFにはさまざまな機能と役割があります。WAFの機能と役割についてまとめました。

機能	機能の内容
動作のブロック	あらかじめ登録されている不正な動作を検知したらブロックする機能
通信のログ保存	あらかじめ登録されている不正な動作を検知したらログに保存する機能
シグネチャの更新	シグネチャ（不正な通信パターン）を最新の状態に更新する機能
レポート機能	不正な通信、攻撃の種類、攻撃元など統計情報をレポートにして表示させる機能
IPアドレスブロック	特定のIPアドレスからの通信をブロックする機能
特定URLの除外機能	特定のURLへのアクセスを防御対象から除外する機能

ここで紹介した機能はWAFにはさまざまな製品があり、搭載されている機能も製品ごとに異なります。自社に必要な機能や、WAFに求める目的に応じて製品を選ぶと良いでしょう。

WAFのメリット・デメリット

Webアプリケーションの脆弱性対策としてWAFの導入は効果的ですが、メリットだけでなくデメリットもあります。

メリット

まずWAF導入のメリットは、脆弱性のあるWebアプリケーションが動作していても、WAFが導入されていれば、サイバー攻撃を防げることです。WAFによるセキュリティ保護はソフトウェアやシステムによるものなので、人間がリアルタイムで監視することなく動作します。そのため万が一のサイバー攻撃に対しても、迅速な対応が可能です。
またWebアプリケーションの開発において、脆弱性を完全になくすことは困難です。動作中のWebアプリケーションに脆弱性が発見されても、何らかの理由で修正できないこともあるでしょう。このような場合もWAFを導入しておくことで、サイバー攻撃を防ぐことができます。

デメリット

一方、WAFには導入にコストがかかるというデメリットも無視できません。WAFにはさまざまな種類がありますが、高性能で高機能なWAFは高額ですし、WAFを導入したいサーバーの数が多ければ、その分、WAF導入の個数とも跳ね上ります。
また、どのようなWAFであっても、確実にサイバー攻撃から防御しきれると言えるものはありません。これは導入されたWAFの本来の性能や設定内容が理由となります。設定内容の理由としては、例えばWAFのAという設定により、Xという脆弱性が防御しきれなかったなどのケースです。

また逆にWebアプリケーションとして正常な機能であっても、WAFがサイバー攻撃と誤検知して動作をブロックしてしまうということもあります。これについてはWAFのホワイトリストの設定である程度の改善が可能です。

WAFとファイアウォール、IDS/IPS、SSLとの違い

ネットワーク機器にはWAFのほかに、通常のファイアウォールやIDS/IPSがあります。これらとの違いについて説明します。

もともとWAFは、古くから使われていたファイアウォールの機能をもとに開発されたものです。ファイアウォールは、もともと設定されているルールにしたがって通信を許可したりブロックしたりする仕組みのことです。主に外部のネットワークと内部のネットワークの境界線に設置されることが多く、IPアドレスやポート番号、プロトコル、通信方向などを設定して通信を制御します。ファイアウォールは単純にこれらのルールによって通信を制御するだけなので、WAFのようにサイバー攻撃を検知して防御する機能は持ちません。

ほかのネットワーク機器としてIDSやIPSがあります。IDSは不正侵入検知システムとよばれ、ネットワークに生じた不正な通信を検知し管理者へ通信する機能を持ちます。IPSは不正侵入防止システムとよばれ、ネットワークに生じた不正な通信をブロックするところまで動作します。IDSやIPSもあくまで通信レベルでの制御によるものなので、WAFのようなWebアプリケーションのための防御とは言えません。

Webサイトのセキュリティ対策として古くからSSLという技術があります。SSLとはSecure Sockets Layerの略語で、Webサーバーとクライアントとの間の通信を暗号化する技術のことです。WAFはWebアプリケーションを導入しているWebサイトを保護するのに対して、SSLは通信を暗号化することでWebサイトの訪問者の情報を守ることを目的としています。

ファイアウォールやIDS/IPS、SSLは単独での使用でも効果がありますが、それぞれセキュリティ対策としての機能が異なります。そのため、できればWAFも含めて複数の対策を組み合わせて使うことが望ましいでしょう。

参照ファイアウォール(Firewall)とは？仕組みを解説

参照IDS・IPSとは？不正侵入検知・防御サービスの仕組みや役割

WAFの種類とは

WAFには導入形態により「アプライアンス型」「ソフトウェア型」「クラウド型」の3つに分類できます。これら3つを詳しく説明します。

アプライアンス型

アプライアンス型は、WAFの機能を持つ専用機器を自社に設置するタイプです。自社の環境に応じて独自のWAFシステムが導入でき、防御対象となるWebサーバーの台数が多い場合のコストパフォーマンスに優れています。しかし自社内にWAFを設置する場所の確保が必要であり、多額のコストが必要です。

ソフトウェア型

WAFの機能を持つソフトウェアを購入してサーバーにインストールするタイプです。専用機器は不要ですが、サーバーの数だけインストールしなければならないため、サーバー数が多いとコストは高くなります。

クラウド型

クラウドサービスとして提供されているタイプです。コストも非常に安く、簡単に導入できますが、WAFとしてのセキュリティ性能はそれほど高くなく、細かい設定のカスタマイズに対応していないものも多いです。またクラウドが障害などでサービス停止すると、WAFの機能も止まってしまいます。

WAF導入の必要性

さまざまなサービスがインターネットで提供されている現代では、Webアプリケーションは高度になり、中には多くのユーザーを抱えているものも少なくありません。このようなWebアプリケーションでは、たった一度のサイバー攻撃がサービスの命運を大きく変えることも少なくありません。そのためWebアプリケーションのセキュリティ対策としてのWAF導入の必要性は高まっているのです。

WAF製品資料請求はこちら

無料から始められるWAF製品おすすめ4選

WAFを導入したいけど、コストは抑えたいと考えている企業も多いでしょう。そこで、ここでは無料で導入することができるWAF製品や、無料トライアルプランがある製品を4つご紹介します。

SiteGuard(Cloud Edithion/Server Edithion/Proxy Edithion)

サイトhttps://siteguard.jp-secure.com

国産WAF「SiteGuardシリーズ」は、クラウド型・ソフトウェア型に対応したWebセキュリティ製品です。
お客様のWebサイトの環境、運用方針に合わせた3つの製品をラインナップし、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーションの脆弱性を悪用する攻撃からWebサイトを保護します。
（外部脅威対策）
Webサイトの脆弱性を修正することが難しい場合の対策や万一の事態に備えた運用面での対策として、様々なニーズにお応えし、お客様の安心安全なWebサイトの運営に貢献いたします。
◆クラウド型WAF「SiteGuard Cloud Edition」
DNS切替による導入で、新しい機器の設置やインストール不要。運用お任せ

◆ホスト型WAF「SiteGuard Server Edition」
Apche/Nginx/IISのモジュールとして動作し、シンプル且つカスタマイズ性抜群

◆ゲートウェイ型WAF「SiteGuard Proxy Edition」
ソフトウェアのプロキシとして動作する多機能タイプの製品

AIONCLOUD

サイトhttps://www.aioncloud.com/ja/new-waf-jp/

AIONCLOUDは、累積出荷台数15,000台超の実績を誇るクラウド型WAFサービスです。ウェブサイトのトラフィックや訪問回数、受けた攻撃に関する詳細なステータスをリアルタイムで監視できるほか、さまざまな攻撃からWebサイトを保護してくれます。

万一、マルウェアを検出した場合は素早い対応で拡大を防止して、脅威を学習する機能も搭載。未知の不正に対しても、しっかりとセキュリティ保護が可能です。また、世界40ヵ所のIDCにサービスインフラを保有しており、脅威インテリジェントを自動で更新し続けています。

無料の場合は月に5GBまでの制限がありますので、まずはWAF製品を試してみたい、という場合におすすめです。

WafCharm

サイトhttps://www.wafcharm.com/

WafCharmは、AWS WAFやAzure WAFに特化したWAF自動運用サービスです。WafCharmを利用すれば、自社にセキュリティエンジニアがいなくてもAWS WAFやAzure WAFの運用を行うことができます。

WafCharmには30日間の無料トライアルプランがありますので、上記2つのWAF運用を考えている場合は、候補として検討してみることをおすすめします。

DIT Security

サイトhttps://security.ditgroup.jp/

DIT Securityは、30日間の無料お試し期間があるトータルセキュリティサービスです。クラウド型のWAFや脆弱性診断を提供しており、Webサイトの改ざんを未然に防ぎます。不審な動きの検知から復旧まで総合的にサポートしてくれるため、情報セキュリティ部門を持たない企業でも安心して利用できるでしょう。

有料WAF製品のおすすめ18選【タイプ別】

WAF製品は、「アプライアンス型」「ソフトウェア型」「クラウド型」の3種類があります。詳しい違いは、以下の表をご覧ください。

種類	概要	導入・運用	注意点
アプライアンス型	WAF専用機器を自社に設置	導入・運用コストとともに高いシステムの柔軟性に優れる	自社運用には専門スタッフが必要。複数のサーバーを持つ企業に最適
ソフトウェア型	購入したWAFソフトウェアをサーバーにインストール	導入コストを抑えやすいサーバー数が多いと費用がかさむ	自社運用には一定の専門知識が必要。サーバーが多い企業にはコスパが悪い
クラウド型	クラウドサービスとして提供されるWAF	導入コストが低く、運用も簡単細かいカスタマイズはできない	非IT企業でも手軽に導入・運用できる反面、ベンダーのサービス障害のリスク有り

種類

概要

導入・運用

注意点

アプライアンス型

WAF専用機器を自社に設置

導入・運用コストとともに高い

システムの柔軟性に優れる

自社運用には専門スタッフが必要。複数のサーバーを持つ企業に最適

ソフトウェア型

購入したWAFソフトウェアをサーバーにインストール

導入コストを抑えやすい

サーバー数が多いと費用がかさむ

自社運用には一定の専門知識が必要。サーバーが多い企業にはコスパが悪い

クラウド型

クラウドサービスとして提供されるWAF

導入コストが低く、運用も簡単

細かいカスタマイズはできない

非IT企業でも手軽に導入・運用できる反面、ベンダーのサービス障害のリスク有り

続いて、WAFのタイプ別におすすめの製品を紹介します。