Version1.2徹底解説)2010年9月24日7:10<要件6.6_後篇>v1.1のリリース当時、WAF導入に向けての課題はコストにあった。数年前までは、冗長化した構成で導入すると、最低でも1,000万円程度の導入コストが必要であり、要件6.6の解釈がよれてしまったことは否めない。現在ではWAF自体の導入コストも下がってきている。当初のWAFは、iMPERVAなどに代表されるゲートウェイ型が一般的で、導入によりネットワーク構成がより複雑になる懸念もあった。昨今のネットワークは多段構成により階層が深くなっている。ファイアウォール、ロードバランサ、ゲートウェイ型のアンチウィルスなど、これ以上、階層を重ねてしまうと、障害時の解析が困難を極める。運用面からWAFは避けたいとの声もあったことも事実である。最近はWebサーバにモジュール型でインストールするタイプも出てきているため、その懸念も解消している。ゲートウェイ型よりスムーズに導入でき、WAFも身近な存在になった。DSSに限らず確実にコントロールレベルを上げてくれる。低価格化したWAFも考慮の余地はある。WAFに関してはスペックが明確に定義されていない。ここもよく質問を受けるところだが、要件の意図にしたがえば、要件6.5に示す10の脆弱性が検知できるものが望ましいだろう。DSSの次バージョンでは、WAFのスペックを定義した上で、導入を進めるべしという方針が出ることを期待する。ASVによるインターネット経由のスキャニングサービスでは6.6(及び6.5、11.3)の要件を満たすことはできないので注意していただきたい。Top10の脆弱性の検知、カタログスペックとして載っていたとしても、クロスサイトスクリプティングやSQLインジェクションは、ユーザ認証のプロセスを経ないと検査の完全性は保証できない。この手のサービスの厄介なことは、カタログスペックで検査を行い、検査が不完全であったとしてもクリーンな結果が返ってくることである。セション系の脆弱性はツールだけでは完全に発見できないため、手動の検査を加えることは避けられない。Webアプリケーションが大量にある場合、すべて検査会社に依頼するのはコストが肥大化する可能性がある。そのため、検査の実施者は開発チームから独立性を実証できる人物であり、一定の力量を持ち合わせていれば社内のスタッフでも構わないとしている。Version1.2徹底解説」の一部分をご紹介したものです。システムなどクレジットカード不正対策ソリューションを提供(アクル)設立25年以上の実績を誇る決済サービスプロバイダ。クレジットカード決済をはじめ、対面・非対面問わず豊富な決済手段を取り揃え、ニーズに合わせて最適な決済方法をご提案します。QRコードリーダーをOEM/ODMでご提供します。お客様に代わってセキュリティ認定も取得可能です。デジタルトランスフォーメーションやFintechへの取り組みを強力にご支援します。(エクサ)国内ICカードシェアNo.1(大日本印刷)シンクライアント型電子決済サービス(トランザクション・メディア・ネットワークス)「ハウス電子マネー/ギフトカードサービス」のニュース、導入事例のご紹介(富士通FIP)決済情報コラムを好評連載中!「コンビニ収納ペーパーレス決済(番号方式)のわずかな、でも大事な違い」(NTTインターネット)非対面業界唯一!!カード会社とダイレクト接続により、安心・安全・スピーディーで質の高い決済インフラサービスを提供。無断転載・複製を固く禁じます。記載されているロゴや製品・システム名は各社および商標権者の登録商標・商標です。