Webアプリケーションへの攻撃にはWAF | セキュリティ対策関連コラム

NTTスマートコネクト

ハウジング・クラウド・ストリーミングの
NTTスマートコネクト

電話でのお問い合わせ
0120-418-308
平日10:00-12:00・13:00-18:00

セキュリティ対策
~ポイント解説・導入事例・コラム~

Webアプリケーションへの攻撃にはWAF

クラウド型UTMは、NTTスマートコネクトの提供するSmartConnect Network & Securityを構成するサービスの1つです。SmartConnect Network & Securityには、クラウド型UTM以外にもWAF、DDoS対策、インターネットVPNのセキュリティサービスがあります。これらサービスを紹介しましょう。まずは、Webアプリケーションの脆弱性対策となるWAFの特長を解説します。

目次

Webサイトへの攻撃に不安はありませんか?

オンラインバンキング、ショッピングサイト、会員管理、コミュニケーション……。Webサイトで提供されているサービスは多くあり、ビジネスや生活に不可欠となっています。これらWebアプリケーション(インターネットを通じて提供されるサービス)は、オープンにされていることから、常に攻撃にさらされています。
その手口は単純ではありません。
たとえば、「SQLインジェクション」があります。WebアプリケーションはSQLコマンドと呼ばれる命令により制御されていますが、SQLインジェクションは不正なSQLコマンドを送り込み、サーバーへの攻撃を実施します。
「クロスサイトスクリプティング」という攻撃は、不正なスクリプトを送りつけて、Webアプリケーションを操作しようとします。「強制ブラウジング」では本来公開していない情報やアクセスを許していない階層のページをブラウジングしようとします。さらに「Cookieの濫用」「コンテンツの脆弱性」「バックドアおよびデバッグオプション」など、Webアプリケーションが持っている脆弱性を狙ってWebサイトが攻撃されています。

WAFでWebアプリケーションの脆弱性対策

Webサイトを攻撃から守る対策としてファイアウォールとIDS/IPSがあります。しかし、「SQLインジェクション」「クロスサイトスクリプティング」「強制ブラウジング」などはWebアプリケーションの脆弱性を狙った攻撃では検出できません。
そこで開発されたのがWAFです。Web Application Firewallの略で、文字どおりWebアプリケーション用のファイアウォールです。インターネットからのアクセスとWebサーバー間の通信(HTTP/HTTPS)を精査し、Webアプリケーションへの攻撃をブロックします。
検出のベースとなるのは不正な攻撃パターンをまとめた定義ファイル「シグネチャ」です。シグネチャと通信内容を照らし合わせ、ファイアウォールとIDS/IPSではわからなかった不正な通信を見つけ出します。
WAFは不正な通信を遮断してログとして記録、攻撃者には警告メッセージを返します。WAFの制度はシグネチャの品質に依存しているため、シグネチャは頻繁に更新を繰り返しています。

クラウドだからスピード構築・コスト最適化

WAFにはアプライアンス型、ソフトフェア型、クラウド型の3種類があります。

アプライアンス型
専用ハードウェアに専用のソフトウェアをインストールして提供します。ハードウェアとともに購入する必要があり、初期投資がかかり、稼働後の運用も自社で行う必要があります。
ソフトウェア型
専用のWAFソフトウェアを購入し、サーバーにインストールして使用します。アプライアンス型と比較して導入コストは軽減できますが、稼働後のバージョンアップなどの運用は自社で行います。
クラウド型
導入コストは他と比較して、最も低く抑えることができますが、稼働後の月額使用料金がかかります。しかし、ハードウェアやソフトウェアのメンテナンスがなく、セキュリティ担当者の負荷を軽減できます。
NTTスマートコネクトのWAFはクラウド型サービスです。クラウド型のメリットはスピード構築とコスト最適化にあります。アプライアンス型とソフトウェア型は製品の選択と性能検証に時間がかかりますが、NTTスマートコネクトのWAFはDNS切替によって簡単に導入が可能で、最短7日間でサービス利用を開始できます。
NTTスマートコネクトのWAFは、世界的に評価の高いF5ネットワーク社の製品を利用しており、ハイクラスの品質のWAFをクラウドでサービス提供を受けることができます。

導入/運用コンサルティング

NTTスマートコネクトはオプションで導入/運用コンサルティングも提供しています。WAFには標準のシグネチャセットが組み込まれていますが、利用者にとって過検知となる等のリスクがあるため、導入時や稼働後のチューニングが求められます。
しかし、中小企業では「技術がなくシグネチャを変更できない」「大量のログが出力され精査できない」「アプリケーション変更のチューニングできない」などの問題があります。これをNTTグループの専門部隊がお客さまごとのリスク分析・考察を踏まえ提案を行うなど、運用を支援しています。

ポイントまとめ

WAFもUTMもまとめておまかせ

WAFの必要性は早くから認識されていましたがコストと技術力が必要なことから、一部の大企業以外には普及していませんでした。これをクラウド型サービスとすることで、幅広い企業での導入と利用のハードルが下がりました。シグネチャの更新はNTTスマートコネクトが代行しますので、常に最新の状態で、安心して利用することができます。UTMとセットで導入いただくと、より効率的・効果的なセキュリティ対策を実現していただけます。

関連リンク

ポイント解説・導入事例・コラム
一覧へ戻る

ページトップへ

ページの先頭へ

お問い合わせ・資料請求