情報セキュリティWAF。人によっては聞き慣れない単語かもしれません。インフラ系の方やWeb系で仕事をされている方にとっては、比較的馴染みがあろうかと思います。Firewallの略ですね。読んで字のごとく、「Webアプリケーションに対するファイアウォール」を意味します。世間一般で言われているファイアウォールとはどう違うのでしょうか?次世代ファイアウォールとして、UTMの存在もありますが、これに関しては後日取り上げることにします。ファイアウォール、略してFW。日本語訳では「防火壁」という意味になります。「インターネット上の攻撃から内部ネットワークを守るための機器」という表現も出来ます。プライベートネットワーク同士でも使用することがありますので、汎用的表現としてはアリですが、正確に表現しているわけではないことになります。ここでは、「複数のネットワーク間において、適切なアクセス制御を行うための機器」としておきます。両者の違いですが、WAFはOSI参照モデル(こちらに関しても後日記事を書きます)で言うところの第7層(L7:アプリケーション層)での検知を行います。FWは第3層(L3:ネットワーク層)や第4層(L4:トランスポート層)での検知を行います。両者は見ている階層が全く違います。WAFはインターネット越しにあるクライアント(PCやスマホ・タブレット等)とWebサーバの間に設置して、SQLインジェクションやクロスサイトスクリプティング等、Webアプリケーションの脆弱性を突く攻撃から守る役目を果たします。WAFでWebサーバ向けの通信を一旦受けて、不正な通信をフィルタリングし、正常な通信のみをWebサーバに渡します。いわゆるリバースプロキシの役割も果たします。(リバースプロキシについては、改めて記事にします)実は、リバースプロキシ機能がポイントなのです。通信http(80/tcp)の場合は問題ないのですが、https(443/tcp)の場合が曲者です。httpsですと、クライアントとWebサーバの間の通信経路が暗号化されます。途中経路での通信の覗き見(悪く言えば盗聴ですね)が出来ません。セキュリティ面的には良さそうに見えますが、暗号化された通信経路の中を流れる通信が不正アクセスや攻撃だった場合はお手上げです。直接クライアントとWebサーバがhttpsで通信されては、WAFはどうしょうもありません。クライアントとWAFの間でhttps通信を行い、WAFとWebサーバの間はhttpで通信します。(ただし、この場合はWAFとWebサーバの間は信頼出来るネットワークで接続されていることが前提となります。)これにより、httpsであっても、Webサーバへの不正アクセスを未然に防ぐことが可能になります。対して、FWはIPアドレスやポート番号で判断します。特定の送信元IPアドレスからの通信を拒否したり、特定の番号への通信を拒否します。そのため、リストに載っていないIPアドレスからのWebサーバに向けた443/tcp通信は正常なものと判断します。FWではL4までしか見ないため、通信内容まで検査することが出来ません。通信内容が不正アクセスや攻撃だった場合でも通してしまいます。WAFとFWは相互補完的役割を果たします。どちらかだけあれば大丈夫ということではなく、両方用いることでWebサーバを安全に運用することが出来ます。他にIPS/IDSがありますが、こちらに関しては後日取り上げます。ftpsとsftpの違いタイトルにある両者を混同しているケースをたまに見聞きすることがあります。以前、情報処理系の研修で混同して説明している講師がおられまし...記事を読む「オンプレミスは安全で、クラウドは危険」なのか?「データはオンプレミスの方が安全。クラウドに置くなんて...」というような話を時々耳にします。手元に置いておけば、目が届くので安心だという意識...記事を読む事務所ネットワークを更新しました(無線LAN編:その2こんにちは。前回に引き続き、事務所ネットワーク更新での無線LANに関係する内容についてもう少し書いてみます。前回は無線LANを導入す...記事を読むsshに関して(1)今回はsshに関して少々書いてみます。覚え書きや情報共有的要素も含んでいます。後日記事にする予定のAWSの話にも絡んできます。A...記事を読むWPA2脆弱性の概略こんにちは。昨日に引き続き、WPA2脆弱性について少し書いてみたいと思います。昨日は一般ユーザと社内SEがどのような対策を取るべきか...記事を読むリバースプロキシと通常のプロキシ(フォワードプロキシ)の違い先日、「リバースプロキシサーバと一般的に言われるプロキシサーバはどう違うのか?」という質問を受けました。~主にポートフォワード~sshについて(1)では、「『FWにやさしい』ネタでもう少し書けそう」というところで終わっていました。今回はこのあたりの話を中心に書いてみ...記事を読むパケットフィルタリングとは?家庭用ブロードバンドルータを使ってインターネット接続を行うと、LANからインターネット側(アウトバウンド)へは全て通信を許可するけれども、...記事を読む事務所ネットワークを更新しました(無線LAN編:その3)こんにちは。少々時間が開いてしまいましたが、事務所ネットワーク更新に関する記事の続きを書いて行きます。前回の記事の最後に「IEE...記事を読む「WPA2脆弱性対策はパッチを当てる」でOKなようですこんにちは。少々間が開いてしまいましたが、WPA2脆弱性に関する前回の続きを書いてみることにします。コメントをキャンセルコメントを投稿するにはログインしてください。