流れ7の7語目 / 10

WAF

セキュリティ

在宅勤務の日の朝会。会社のWebサイトの問い合わせフォームについて

「夜中に変な入力がたくさん来てたけど、WAFで止めといたよ」

「WAF」って、何のことだろう…?

WAF(ワフ、Web Application Firewall)は、Webサイトに届くリクエストの中身を調べて、攻撃らしいものを止める守りのしくみです。

入力欄に入れられた文字まで見て判断します。

このページで分かること読む約3分・問題 3問

身近な例えで理解する

宅配便の受付では、宛先だけでなく、中身が何かを聞いて、送れない物(危険物など)なら受け付けません。

合わない部分:宅配便の受付は、送る人の申告(伝票)をもとに判断します。WAFは申告を信じるのではなく、実際に届いたリクエストの中身を見ます。

Q14択

ファイアウォールとWAFの違いとして正しいものは?

ここからは実際のしくみ

ファイアウォールとの違い

ファイアウォール(→06)は、送り元のIPアドレスやポート番号を見て、通すかどうかを決めます。443番(→05)を開けているWebサイトでは、攻撃も443番から来るので、ファイアウォールだけでは見分けられません。WAFは、その中身(入力された文字、URL、ヘッダーなど)を見ます

止めるもの

Webアプリケーションの弱点をねらう入力です。たとえば「SQLインジェクション」は、入力欄にデータベース(→53)への命令をまぎれこませる攻撃です。WAFは、こうした攻撃によくある形をルールで見つけて止めます。同じ相手からの回数が多すぎるときに止めるルールもあります

応急の守り

WAFは、弱点を直すまでの時間かせぎや、もう一枚の守りとして使います。弱点そのものは、アプリを直したり更新(→19)したりしてふさぎます

運用が必要

正しい入力を攻撃と見間違えて止める(誤検知)ことがあります。逆に、すり抜ける攻撃もあります。止めた記録(ログ →11)を見て、ルールを調整します

先輩「夜中に変な入力がたくさん来てたけど、WAFで止めといたよ」

「問い合わせフォームに、ふつうのお客さんは入れないような、攻撃によくある形の文字がたくさん送られてきた。WAFがリクエストの中身を見て、アプリに届く前に止めた」という意味です。止めて終わりではなく、アプリに弱点がないかも確かめておくのが次の仕事です。

Q2同期のひとこと

同期「WAFを入れたから、アプリの脆弱性は直さなくていいよね」

この考えの問題は?

Q34択

WAFを入れたあと、お客さんから「問い合わせが送れない」と連絡が来た。WAFの何があやしい?

ご意見・ご感想・質問・間違いのご指摘など、何でもお気軽にお寄せください。「この言葉も例えで説明してほしい」「こんな例えなら分かりやすい」という声をもとに、新しいページや例えを作ります。

意見箱は準備中です。