Webサイトを悪い攻撃から守る門番のような仕組みのこと
簡単な説明
WAFってのは、Webサイトを悪いやつから守る用心棒みたいなもん。
変なアクセスが来たら「お前ダメ！」って止めてくれる。
ふつうのファイアウォールじゃ見逃す細かい攻撃もチェックしてくれるよ。
由来
WAF（Web Application Firewall：ウェブアプリケーションファイアウォール）は、2000年代初頭から登場しました。
通常のファイアウォールでは防げない、ウェブアプリケーションを狙った攻撃（SQLインジェクションやXSSなど）が増えたため、より細かくウェブのやりとりを監視・遮断する仕組みが求められたことで登場しました。
具体的な説明
WAFは、ウェブサーバーの前に設置されて、そこに送られてくるリクエスト（アクセス要求）をチェックして不正なものをブロックします。
普通のファイアウォールがIPアドレスやポート番号をチェックするのに対し、WAFはリクエストの内容そのものを見て判断します。
たとえば、銀行のWebサイトにログインするフォームがあるとします。攻撃者がそのフォームに変な文字列（例：' OR '1'='1）を入力すると、データベースが不正に操作される可能性があります。
こうした攻撃をSQLインジェクションといいます。WAFはこのような不正な入力を検出して、ウェブサーバーに届く前に**「これは怪しい！」とブロック**してくれるのです。
WAFはOSI参照モデルのアプリケーション層（レイヤ7）で動作し、HTTPリクエストのペイロードを解析します。ルールベース（シグネチャ）方式や、ふるまい検知方式、AIによる異常検知方式を用いて、SQLインジェクション、クロスサイトスクリプティング（XSS）、CSRFなどの攻撃パターンを検出し遮断します。
あるウェブアプリケーションに対して、OWASPが提供する脆弱性スキャナ（例：OWASP ZAP）を使って疑似攻撃を実施し、WAFの前後でリクエストの通過状況を比較する実験を行いました。
結果として、WAFを導入していない場合は8割以上の攻撃が成功したのに対し、WAFを導入すると9割以上がブロックされました。
例文
「この会社のホームページにはWAFが導入されているから、不正アクセスから守られているんだよ。」
疑問
Q: ファイアウォールとWAFの違いは何ですか？
A: ファイアウォールはIPアドレスや通信ポートを監視しますが、WAFはウェブアプリケーションの内容を解析して攻撃を防ぎます。
Q: WAFを導入するとすべての攻撃を防げますか？
A: 完全ではありませんが、多くの一般的なウェブ攻撃を防ぐ効果があります。常にアップデートも重要です。
Q: WAFはどこに設置しますか？
A: 一般的には、インターネットとウェブサーバーの間に配置します。
Q: クラウドサービスでもWAFは使えますか？
A: はい、AWS、Azure、Google Cloudなどにはクラウド型WAFが用意されています。
Q: 無料で使えるWAFはありますか？
A: ModSecurityなどのオープンソースWAFがありますが、設定には専門知識が必要です。
理解度を確認する問題
Webアプリケーションへの攻撃を検出し、遮断するための仕組みとして最も適切なものはどれか。
A. スパイウェア
B. ウイルス対策ソフト
C. WAF
D. SSL証明書
正解：C
関連論文や参考URL
“An Evaluation of Web Application Firewalls for Application Layer Attacks”（2019年 IEEE）
解説： この論文では、商用およびオープンソースWAFの比較を行い、さまざまな攻撃に対する防御率を測定しました。
結果： 商用WAFは90%以上の精度で攻撃を防いだ一方、設定が不適切なオープンソースWAFでは60%程度にとどまりました。
まとめ
WAF（Web Application Firewall）は、Webアプリケーションを守る防御システムです。
SQLインジェクションやXSSなどの不正なアクセスを検知してブロックします。
通常のファイアウォールでは防げないWeb特有の攻撃に対応します。
コメント