WAFとは？Webアプリケーションファイアウォールの種類（クラウド型・基盤に付ける型・ゲートウェイ型・ホスト型）と、価格・導入・運用の選び方

WAFとは

WAFは、SQLインジェクションやクロスサイトスクリプティング（XSS）⁠の⁠よ⁠う⁠に⁠、Webアプリの弱点を狙う攻撃を止める製品です。通信の中身を調べて、攻撃と判断したものをアプリに届く前に遮断します。

アプリの弱点をすぐ直せないときの守りにも使います。EGセキュアソリューションズは、脆弱性を修正することが難しい場合の対策や、万一に備える対策としてWAFを説明しています。ただし、WAFを入れても弱点そのものは残るので、アプリの修正は別に進めます。

ファイアウォールやIPSとの違い

ファイアウォールとIPSは、ネットワークの通信を守る製品です。WAFはWebアプリへの通信の中身を見ます。サイバーセキュリティクラウドも、ファイアウォールやIPS、IDSでは防げないSQLインジェクションやXSSを防ぐ製品と説明しています。役割が違うので、片方でもう片方の代わりにはしません。

WAFの4つの種類

• クラウド型は、DNSの切り替えなどで通信を専用のクラウドに通します。機器を置かず、攻撃遮断くん、Scutum、SiteGuard Cloud Editionなどがここに入ります
• クラウド基盤に付ける型は、AWS WAFやAzure Web Application Firewallのように、使っているクラウドのサービスに付けます
• ゲートウェイ型は、サーバーの前に機器や仮想マシンを置きます。FortiWeb、F5 WAF for BIG-IP、WAPPLESがここに入ります
• ホスト型は、Webサーバーにソフトやエージェントを入れます。SiteGuard Server Editionと攻撃遮断くんのサーバセキュリティタイプがここに入ります

選ぶときに見るところ

• 通信を社外に通せるかを、最初に確かめます。通せないならゲートウェイ型かホスト型です
• 運用を誰がやるかを決めます。Scutumは利用料に専門家の運用が含まれ、Cloudbric WAF+にはマネージドサービスが付きます
• 誤検知の調整の手間を比べます。Scutumは独自開発のAI型エンジン、SiteGuard Cloud EditionはAI自動チューニング、Fastly Next-Gen WAFはSmartParseで調整を減らします
• DDoS対策の範囲を見ます。SiteGuard Cloud Editionは全プランの標準で、Scutumはオプション、攻撃遮断くんはDDoSセキュリティタイプNeoだけです

価格の見方

公式に価格を出している製品は多くありません。料金の単位も製品ごとに違います。

• 攻撃遮断くん WebセキュリティタイプNeoは、月額10,000円〜（税抜）で、ピーク時のトラフィック量で決まります
• Scutumは、月32,780円〜（税抜）で、初期費用が11〜22万円程度です
• SiteGuard Cloud Editionは、400GBプランで月額25,000円です
• SiteGuard Server Editionは、インストールするOSごとに年額252,000円〜⁠⁠⁠です
• AWS WAFとGoogle Cloud Armorは、使った分で決まる従量課金です

比べるときは、守るサイトの数、月の通信量、サーバーの台数をそろえて各社に聞きます。