LISKULについてホームその他WAFとは?セキュリティ対策に必要な理由や種類、導入効果を解説その他2019.4.18WAFとは?セキュリティ対策に必要な理由や種類、導入効果を解説TweetPocket企業にとって、Webサイトの改ざんや個人情報への不正アクセスなど「サイバー攻撃」の被害にあうことは信用問題にかかわります。そのため、アプリケーションを不正アクセスから守ってくれる「WAF」の導入は欠かせません。IDSの基本や種類別の違いなどを詳しく解説していきます。ネットワーク攻撃の種別も紹介するので、ぜひセキュリティ対策の参考にしてください。Firewallの略称で、アプリケーションの脆弱性を狙った攻撃を防ぐセキュリティシステムのことです。外部からの不審なアクセスを監視し、ネットワークを介した不正を防止します。外部アプリケーションによる不正ログイン問題は、企業が無視できないレベルになってきました。WAFは、不正ログインなどのセキュリティ問題に対し、アプリケーションレベルのセキュリティ対策を施します。IDS」というシステムがあります。それぞれの違いを理解して、自社に合ったセキュリティシステムを構築することが重要です。IDSは、どれも担当する持ち場が異なります。それぞれのセキュリティの適用範囲は、以下の通りです。ファイアウォール(FW):ネットワークレベル。IDS:サーバーやOSなどのミドルウェアレベル。WAF:アプリケーションレベル。IDSは全て、ネットワークセキュリティを向上させるための重要なファクターです。それぞれが役割を補うことで、全体のセキュリティレベルを向上させます。ファイアウォール(FW)とはファイアウォール(FW)とは、すべてのネットワーク通信を監視するセキュリティシステムです。ネットワーク通信に利用するポートを制御し、全ての不正アクセスを防止します。不正アクセスなら内部からのアクセスもブロック可能です。System」の略称で、サーバーやOSなどのミドルウェアを対象にしたセキュリティシステムのことです。ファイアウォールとWAFの中間に位置し、広い防御範囲を駆使して不正アクセスを検知します。WAFの種類WAFには、アプライアンス型・ソフトウェア型・クラウド型などがあります。ここでは、3種類のWAFについて解説していきます。1.アプライアンス型WAFアプライアンス型は、ベンダーが提供する専用サーバーをネットワーク上に設置するWAFで、サーバーの台数や環境に左右されない点が特長です。ハードウェアの購入代金・ネットワークの初期設定など、運用コストが高くなります。メリットサーバーの台数や環境に左右されないデメリット運用コストが高い、導入が長期化する場合があるこんな企業におすすめ人員やセキュリティ対策に十分な予算を確保できる企業2.ソフトウェア型WAFソフトウェア型は、ベンダーが提供するWAFソフトウェアをインストールして運用するWAFです。ハードウェアを購入する必要もなく導入も簡単ですが、サーバーごとにインストールするため、サーバーの台数が多いとコストがかかります。メリット導入コストが安いデメリットサーバー台数が多いとコストがかさむこんな企業におすすめ導入コストをなるべく抑えつつ、自社でWAFを運用したい企業3.クラウド型WAFクラウド型は、クラウド上で動作するWAFです。ベンダーが提供するWAFサービスを利用するため、導入・運用コストがかかりません。契約料を支払うことで、日々の運用やアップデートの対応など、WAF業務を外注化できます。メリット導入・運用コストが少なく、自社で運用する必要がないデメリットセキュリティがベンダーに左右されるためカスタマイズ性がないこんな企業におすすめWAF業務を外注したい企業WAFの導入効果WAFは、不正アクセスの特徴を保存した定義ファイルを元に、サーバー間を行き交う通信内容を監視します。アプリケーションレベルで利用できるので、複数のWebアプリケーションのセキュリティレベルを均質化するのにも役立ちます。それぞれのアプリケーションの脆弱性に対する漏れをなくし、ばらつきをなくすのが目的です。WAFは、脆弱性を解消するのではなく、脆弱性を利用した攻撃を防止できるため、セキュリティの即効性が高いのが特徴です。パッチ修正をすぐに適用できないWebアプリケーションなどでは、応急処置として重宝するでしょう。WAFの導入を検討している方は、以下記事もあわせてチェックしてみてください。不正な挙動が見られた場合、通信を遮断する脆弱性が発見されても即座に対応できる脆弱性を解消しなくても不正アクセスをブロックできるため、修正に時間をかけられる問題の原因究明が早く、解決までの時間を短縮できるセキュリティレベルの均質化が可能サイバー攻撃増に伴い、WAFの重要度は増しているサイバー攻撃は高度化しており、WAFの注目度も増しています。ここでは、サイバー攻撃のおもな手法である、「クロスサイトスクリプティング(XSS)」と「SQLインジェクション」について解説していきます。クロスサイトスクリプティング(XSS)「クロスサイトスクリプティング」とは、悪意のあるスクリプトを実行させることにより、問題のあるページに移動させユーザーに危害を与える攻撃手法です。Twitterや掲示板など、ユーザーがコンテンツを投稿していく動的サイトなどで使われています。脆弱性のある企業サイトの問い合わせフォームから悪意のあるスクリプトを投稿し、ホームページを改ざんするスクリプトを実行したユーザーのCookieを読み取り、個人情報を取得する脆弱性の高い企業のスクリプトリンクを掲示板に貼り、掲示板利用者に実行させる過去にはYoutubeを狙った攻撃などもあり、クロスサイトスクリプティングの虚弱性が指摘されました。詳しくはこちらをご覧ください。利用して、顧客情報を盗み取る攻撃手法です。ユーザーIDやパスワードなどのログイン情報を入力するページで、悪意のあるSQL言語を送信し、データベースに不正アクセスします。データベース上のファイルを不正に操作できるため、ホームページの改ざんも簡単におこなえます。SQL命令文を無効にする「エスケープ処理」を施せば回避できますが、アプリケーションの動作検証に時間がかかるので、WAFとの併用が有効です。(参考:【国内最高セキュリティ”AAAis”取得】ハイセキュリティなファイル転送サービス「クリプト便」)まとめWAF(ワフ)は、アプリケーションの脆弱性を利用した攻撃を防ぐために開発されたセキュリティシステムです。IDSとバランスよく組み合わせることで、高度なセキュリティが実現できます。IDSで対応できない脅威も、WAFによる排除が可能です。導入する際は、アプライアンス型・ソフトウェア型・クラウド型それぞれのメリット・デメリットを把握して、最適なものを選びましょう。最新の記事LISKUL編集部LISKUL(リスクル)は、ソウルドアウト株式会社の社員によって執筆・運営されています。Webマーケティングの成果改善の役に立つさまざまなノウハウを発信中。LISKULについて検索:。