Web Application Firewall (WAF)

解決する課題

• SQLインジェクションやXSSなどOWASP Top 10系の攻撃をアプリ改修せずに防ぎたい
• ボットや総当たり・スクレイピングからの過剰なリクエストをレート制限したい
• 特定の国・地域や悪意あるIPからのアクセスを地理/IPベースで遮断したい
• オリジンサーバーに手を入れずに、エッジの入口で一元的にトラフィックを検査・記録したい

主要概念と用語

• WAFルール: リクエストの検査条件とアクションを定義する設定単位。カスタムルール・マネージドルール・レート制限ルールなどの種類がある
• マネージドルール: Cloudflareが提供・継続更新するシグネチャベースの検出ルール群。OWASP系の攻撃パターンや既知の脆弱性を狙った攻撃を検出する
• カスタムルール: URLパス・ヘッダ・IP・国・ボットスコアなど任意の条件式を組み合わせて作る独自ルール
• レート制限ルール: 一定時間あたりの同一送信元（IPやセッション等）のリクエスト数に上限を設け、超過分をブロック/チャレンジするルール
• アクション: マッチ時の挙動。許可（Allow）/ ログ記録のみ（Log）/ 遮断（Block）/ チャレンジ（Managed Challenge・CAPTCHA）/ JSチャレンジなどから選べる
• フェーズ（実行順序）: リクエストはマネージドルール・カスタムルール・レート制限ルールなど、あらかじめ決められた**順序（フェーズ）**で評価される
• セキュリティレベル: サイト単位で設定できる大まかな警戒度合いの指標。既知の悪性シグナルに応じてチャレンジの出しやすさを調整する

仕様・制限・クォータ

• WAFは**プロキシ設定済みのドメイン（オレンジクラウド）**に対してのみ機能する。DNSのみのレコードには適用されない
• ルールはプランごとに使えるルール数や高度な機能（レート制限の粒度、マネージドルールセットの種類など）に差がある
• ルールはリクエストのメソッド・URL・ヘッダ・クエリ文字列・ボディなどを検査対象にできる
• 主にレイヤー7（HTTP/HTTPS）を対象とし、L3/L4のボリューム型DDoSはエッジのDDoS防御機能側で別途吸収される
• カスタムルールは評価順に上から適用され、先にマッチしたルールのアクションが優先されるため、順序設計が重要

内部の仕組み

WAFはCloudflareのエッジネットワーク上のリバースプロキシ層で動作します。クライアントからのHTTPSリクエストはまずエッジで終端され、WAFがメソッド・URL・ヘッダ・クエリ・ボディを検査してルールと突き合わせます。マッチした場合は設定済みのアクション（許可/ログ/遮断/チャレンジ）を実行し、問題なければオリジンへリクエストを転送します。

この検査は世界中の各エッジロケーションで分散して行われるため、攻撃トラフィックは発生源に近い場所で早期に遮断され、オリジンやバックボーンへの到達を防げます。マネージドルールは新しい脆弱性や攻撃手法の発見に応じて継続的に更新され、利用者側での個別対応なしに防御対象が広がります。

レート制限ルールは送信元ごとのリクエストカウンタをエッジ側で保持して評価し、しきい値超過時にアクションを発動します。すべての判定結果はログとして記録され、後から検知・遮断状況を分析できます。

設計パターン / ベストプラクティス

• ログ記録で慣らしてから遮断: 本番投入前にログのみのモードで運用し、誤検知パターンを洗い出してからブロックへ昇格
• 多層防御の一部として配置: WAFはレイヤー7防御。DDoS防御・アクセス制御（Zero Trust系）・オリジン側のIP制限と組み合わせて使う
• レート制限でボット・総当たりを抑止: ログインフォームや検索APIなど負荷の高いエンドポイントに送信元単位の上限を設定
• 地理/IPフィルタで攻撃面を縮小: サービス提供地域以外や既知の悪性IPをカスタムルールで早期に遮断
• チャレンジでボットを選別: 疑わしいトラフィックにはManaged Challengeを挟み、人間と自動化ツールを切り分ける
• ルールはコード管理（IaC）: Terraform等でルールを定義し、環境間の再現性とレビュー可能性を確保

運用・監視

• WAFの判定結果はセキュリティイベントのログとして記録され、検知/遮断の傾向やルール別ヒット数を可視化できる
• ダッシュボードやログ連携でブロック率・チャレンジ発生率の急増を監視し、攻撃や誤検知を早期に検知する
• 誤検知が出た場合は、対象ルールをログ記録のみに戻すか、条件を絞った例外ルールを追加してから再度遮断へ戻す
• Zero Trust系のアクセス制御や証明書管理など他のセキュリティ機能と併用し、公開エンドポイントを横断的に保護する
• ルール変更は段階的に適用し、変更前後のブロック率・エラー率を比較してリグレッションを防ぐ

コスト

具体的な単価やプラン別の上限は変動するため、最新の料金ページで確認してください。ルール数とレート制限の利用範囲が主なコストドライバになります。

セキュリティ

• OWASP Top 10対策: SQLi・XSS等のシグネチャをマネージドルールでカバーし、アプリ改修なしに既知の攻撃を遮断
• 最小公開の原則: WAFを経由するプロキシ設定を徹底し、オリジンのIPアドレスを推測されないようにする
• TLS終端と検査: HTTPSをエッジで終端し、暗号化されたペイロードも検査対象にする
• 権限分離: WAFルールの編集権限を運用担当者に限定し、誤設定の影響範囲を抑える
• 多層防御: WAF単体に依存せず、DDoS防御・Zero Trustアクセス制御・オリジン側のファイアウォールと組み合わせる

関連サービス・比較

ハンズオン / CLI例

# wrangler CLIでログインし、アカウントにアクセスできることを確認
wrangler login
wrangler whoami

# ゾーン一覧を確認し、WAFを設定したいドメインのゾーンIDを控える
wrangler zones list

# WAFのカスタムルールやレート制限ルールはダッシュボードまたは
# Cloudflare APIから管理する。API経由でルールセットの一覧を取得する例:
curl -s -X GET "https://api.cloudflare.com/client/v4/zones/<ZONE_ID>/rulesets" \
  -H "Authorization: Bearer <API_TOKEN>" \
  -H "Content-Type: application/json"

# 特定のルールセット（例: カスタムWAFルール）の詳細を確認する例:
curl -s -X GET "https://api.cloudflare.com/client/v4/zones/<ZONE_ID>/rulesets/<RULESET_ID>" \
  -H "Authorization: Bearer <API_TOKEN>" \
  -H "Content-Type: application/json"