Webセキュリティ再入門：WAFによるWebアプリケーション保護の基本戦略を知る

　2018年末には、Webアプリケーションの保護を一般的なファイアウォールや侵入防止システムのみに頼る企業は、現在の40％から20％未満まで減るといわれている。この変化の中で、今後、Webアプリケーションファイアウォール（WAF）の位置付けはどのように変わっていくのだろうか。

　攻撃者の手法に合わせ、防御側の進化は常に大きな課題となるが、「SQLインジェクション」「クロスサイトスクリプティング」「クロスサイトリクエストフォージェリー」「リモートファイルインクルード」などの攻撃に対して、WAFは依然として有力な対策となるという。

　その一方で、トラフィックの増大とWAFによるWebレスポンスの劣化という積年の課題もある。特にDDoS（分散型使用不能攻撃）などと同時に仕掛けられるWebへの攻撃に対し、高負荷な機能の無効化やルールの間引きが必要なWAF製品の利用は避けるべきだろう。本コンテンツでは、Webセキュリティを強化するための4つのプロセスに基づき、このようにこれまで気が付かなかったWAF運用のポイントを解説する。