どんな製品か
AWS WAF は、Amazon Web Services（AWS）が提供するマネージド型の Web Application Firewall です。Web アプリケーションへの HTTP リクエストを検査し、SQL インジェクションやクロスサイトスクリプティング（XSS）といったアプリ層を狙う攻撃を入口で遮断します。
専用の機器やサーバーを自前で運用する必要がなく、AWS のサービスとして設定・管理できる点が特徴です。
横にスクロール
仕組み・特徴
AWS WAF は単体で通信を受けるのではなく、CloudFront（CDN）・Application Load Balancer（ALB）・API Gateway・AppSync といった AWS リソースの前段に「アタッチ」して働きます。リクエストは Web ACL に定義したルールで上から評価され、許可・遮断・カウント・CAPTCHA などの動作が決まります。
- ルールベースの制御: IP・地理情報・レート・リクエストの中身（ヘッダ／ボディ／URI）などを条件に細かく制御。
- マネージドルール: AWS やパートナーが用意した既製ルール群（代表的攻撃・OWASP 相当・ボット対策など）を取り込み、素早く始められる。
- レート制限・ボット制御: 過剰なリクエストの抑制や、Bot Control による自動化アクセスの判定。
- 可観測性: ログ（S3/CloudWatch/Firehose）とメトリクスで挙動を確認し、Firewall Manager で複数アカウントに一括適用できる。
他の WAF との違い
| 観点 | AWS WAF | Cloudflare / Akamai |
|---|---|---|
| 配置 | AWS リソースに紐づけ | ベンダーのエッジ網を経由 |
| 前提環境 | AWS 上のアプリ | どこでも(DNS 経由) |
| 管理 | AWS の権限・IaC に統合 | 各社の管理画面 |
| 向く場面 | インフラが AWS 中心 | マルチ環境・配信一体 |
位置づけ・注意点
「AWS 上で動く Web アプリを、AWS の枠組みのまま守りたい」場面で選ばれます。構成や権限管理を AWS に揃えやすいのが強みです。
マネージドルールを入れただけでは、正規の通信を止めてしまう（誤検知）こともあります。最初はカウントモードで挙動を観察し、実トラフィックを見ながら遮断へ切り替える運用が現実的です。ルールの評価順とコスト（リクエスト・ルール数課金）も設計時に押さえます。
総じて AWS WAF は、AWS リソースに直接紐づけて使うマネージド WAF で、AWS 中心の環境で構成・権限・IaC を揃えて防御を組み込めるのが強みです。
Security Vendor
AWS WAFを実務で読む
TL;DRは入口です。実際に選ぶ・使う段階では、何を解決するか、何と比較するか、導入後にどこで詰まるかまで見る必要があります。
解決すること
公開 Web / API の保護
比較で見る軸
対応カテゴリ: 1領域 / 主な領域: Web アプリ防御
導入後に効く点
Web アプリ層の攻撃を遮断
先に潰すリスク
ベンダー名だけで選ばず、守る対象、運用体制、既存環境との連携、検知後の対応手順まで確認する。
- 対応カテゴリ
- 1領域
- 主な領域
- Web アプリ防御
判断チェックリスト
- 自社の用途が「公開 Web / API の保護 / OWASP Top 10 対策」に近いか確認する。
- 強みである「Web アプリ層の攻撃を遮断」が本当に評価軸になるか確認する。
- 注意点の「ベンダー名だけで選ばず、守る対象、運用体制、既存環境との連携、検知後の対応手順まで確認する。」を運用で吸収できるか確認する。
- 公開値や仕様値は、対象プラン・対象機種・対象リージョンまで確認する。
- 既存システム、ID、ネットワーク、監視、バックアップとの接続方法を先に洗い出す。
- 小さく試してから、本番移行、権限設計、障害時手順、コスト監視を決める。