「WAFをONにしたから安心」と思っていませんか？無料WAFと有料WAFの違いと選び方

「うちはレンタルサーバーのWAFをONにしているから大丈夫」。この一言、社内で聞いたことはありませんか。＜br＞ WAFをONにしても、改ざんや情報漏えいはゼロになりません。サーバー付属のWAFと専門ベンダーのWAFでは、設定できる範囲も、運用の支援も違います。無料か有料かは、判断の決め手になりません。自社サイトが守るべき範囲と、社内で運用を続けられるか。この二つで決めます。

Editing by Makiko Aoyagi

WAFが止める攻撃

WAF（Web Application Firewall）は、Webアプリケーションの脆弱性を狙う攻撃を検知し、遮断します。代表的なものは三つです。

• SQLインジェクション：不正なSQL文で、データベースの情報を盗む、書き換える
• クロスサイトスクリプティング（XSS）：不正なスクリプトをページに混ぜ、訪問者のブラウザーで動かす
• OSコマンドインジェクション：不正な命令で、サーバーに意図しない処理をさせる

ネットワークファイアウォールが建物の門番なら、WAFは荷物の中身を調べる保安検査場。届いたリクエストを開いて見て、攻撃の疑いがあれば止めます。ただし、管理者アカウントの乗っ取りやサーバーへの不正侵入は、止められないことがあります。ソフトの更新と認証の強化を併用するのが前提です。

レンタルサーバー付属の無料WAF

サーバー料金に含まれ、追加費用はかかりません。機能も設定項目もログの保存期間も、サーバー会社とプランで変わります。 魅力は手軽さです。WAF単体の利用料はゼロ。管理画面で切り替えれば動き出し、DNSの変更も通常は要りません（反映に時間がかかることはあります）。既知の攻撃パターンで不審なリクエストを遮断するので、小規模サイトの土台になります。

契約前に確認したい点

• 誤検知：問い合わせフォームの送信やWordPressの編集操作が、攻撃と判定されることがあります。除外設定の単位や調整範囲はサービス次第で、細かく指定できないものも。誤検知が出ても、WAFを丸ごと切らないこと。原因を調べ、必要な範囲だけ除外します。
• 更新：攻撃パターンの更新も、新しい脆弱性への対応も、提供元の方針しだいです。無料だから遅いとは限りません。それでも、更新情報の公開状況と緊急時の対応方針は、先に見ておきましょう。
• ログ：攻撃履歴を見られるサービスもありますが、保存期間も検索・出力機能もまちまちです。監査や取引先への報告があるなら、必要な記録を取り、残せるかを先に洗い出してください。

専門ベンダーの有料WAF

クラウド型の専用サービスもあれば、クラウド基盤に組み込む形もあります。DNSを切り替えて通信をWAF経由にするタイプ。CDNやロードバランサーと連携するタイプ。導入方法は一つではありません。運用代行や24時間365日のサポートも、標準で付くとは限らないため、契約に含まれる支援範囲は必ず確認してください。

できること

• サイトに合わせた調整：URLや通信条件ごとのルール、アクセス頻度の制限、例外設定に対応するサービスがあります。
• ルールの更新：専門チームが脅威情報を集め、防御ルールを更新するサービスも。ただし、未知の攻撃を必ず止められるとは限らず、新しい脆弱性への対応速度もサービスごとに違います。
• 運用の肩代わり：マネージド型なら、誤検知の調査やルール調整をベンダーに頼めます。社内に担当者がいない会社にとって、決め手は機能の多さより、この支援です。
• 攻撃の可視化：ダッシュボードやレポートで、攻撃の傾向と遮断状況を確認できます。社内報告や取引先への説明にも使えますが、WAFの導入とレポートの提出だけでISMSの要求事項は満たせません。
• ボット対策・DDoS対策との組み合わせ：同じサービスで使える場合があります。標準機能か追加オプションかは、契約前に確かめましょう。

注意したい点

• 費用：月額固定、リクエスト数に応じた従量課金、その組み合わせ。運用支援、ログ保存、追加機能、アクセス急増時の費用まで並べて比べます。
• 導入作業：構成によっては、DNS、SSL/TLS証明書、接続元IPアドレスの扱いを調整します。導入後は、フォーム送信、ログイン、決済が動くかまでテストしてください。
• 運用の手間：自社でルールを設計するタイプには、知識と工数が要ります。任せたいなら、マネージドサービスの有無と対応範囲が分かれ目です。

どちらを選ぶか

サイトの規模では決まりません。見るのは、扱う情報、停止や改ざんが起きたときの影響、社内の運用体制です。

無料WAF中心で回せるサイト

• 公開情報の掲載が中心で、会員機能や複雑な入力機能がない
• 付属WAFの機能が、必要な要件を満たしている
• 社内か保守会社が、更新、ログ確認、障害対応を担える
• バックアップと復旧手順がある

個人情報を扱わなくても、改ざんされれば、訪問者は詐欺サイトへ誘導され、不正なスクリプトも配信されます。会社案内だけだから安全、とは言えません。

有料WAFや運用支援を先に考えたいケース

• 問い合わせ、資料請求、採用応募で個人情報を扱う
• ECや会員制サイトなど、認証や決済の機能がある
• サイトの停止が、売上や業務に響く
• 取引先から、セキュリティ対策や運用記録の説明を求められる
• 誤検知の調査と調整を、急いで済ませたい
• 社内に専門担当者がおらず、運用を任せたい

フォームがあるだけで、有料WAFが必須になるとは限りません。扱う情報とシステム構成を見て、足りない対策を補えるサービスを選んでください。

WAFと一緒に進める対策

無料でも有料でも、やることは同じです。

• CMS、プラグイン、テーマを更新する
• 多要素認証を入れ、パスワードの使い回しをやめる
• 使っていないプラグインとアカウントを消す
• バックアップを取り、復旧できるかテストする
• 改ざんや不審なアクセスを監視し、ログを見る
• 連絡先と、停止・復旧の手順を決めておく

WAFは、これらに重ねる防御層です。

まず現状を確かめる

サイトが改ざんされると、自社の業務が止まります。訪問者にも取引先にも、被害が広がります。原因調査、復旧、関係者への説明と、手間も続きます。かといって、有料WAFを契約すればすべて片づくわけでもありません。 まず三つ、確かめてください。今のWAFで、何を防げるのか。どんなログが残るのか。問題が起きたとき、誰が動くのか。足りない部分があれば、有料WAFやマネージドサービスを含めて検討します。

お問い合わせ・相談する