WAF（Web アプリケーションファイアウォール）

何を守るのか

WAF（Web Application Firewall）は、Web アプリケーションへの通信内容を検査し、アプリ層（L7）を狙う攻撃を遮断する仕組みです。守る対象は Web サイトや Web API そのもので、外部からの不正なリクエストを入口で止めます。

代表的に防ぐのは、SQL インジェクションやクロスサイトスクリプティング（XSS）といった、入力値を悪用してアプリを操る攻撃です。

仕組み・位置づけ

WAF は、やり取りされる HTTP リクエストやレスポンスの「中身」を読み取り、攻撃パターンや不正な入力を判定して通すか遮断するかを決めます。提供形態はいくつかあります。

• クラウド型：サービスとして利用し、通信を経由させて検査する。
• アプライアンス型：自社の境界に専用機器を設置する。
• ホスト型：Web サーバ上にソフトウェアとして組み込む。

FW との違い

ファイアウォール（FW）と名前は似ていますが、見ている層が違います。

• FW はネットワーク境界で、IP アドレスやポートを基準に通信の可否を判断する。HTTP 通信そのものは「通す」。
• WAF は、その FW が通した HTTP の中身まで踏み込んで検査する。Web アプリに特化している。

つまり FW が建物の入退館ゲートなら、WAF は持ち込まれた荷物の中身を検査する役割です。両者は競合せず、重ねて使います。

導入・運用のポイント

WAF は導入後のチューニングが肝心です。ルールが厳しすぎると正規の通信まで止めてしまい（誤検知）、緩すぎると攻撃を見逃します。実際のトラフィックを見ながら調整し続ける運用が前提になります。

もう一つ重要なのは、WAF は攻撃を「遮断」するもので、アプリ自体の欠陥を直すものではない点です。脆弱なコードはそのまま残るため、根本的にはアプリ側の修正が必要で、WAF はその間や万一の備えとなる防御層と捉えるのが適切です。