WAF導入前に知っておきたいこと｜防げること・防げないことと脆弱性診断の違い
制作会社からWAFの導入を勧められたり、攻撃を検知したという通知が届いたりして、「WAFがあれば自社サイトは安全なのか」と迷っていませんか？
WAFはWebサイトを守るうえで役立ちますが、サイトのプログラムにある弱点そのものを修正する仕組みではありません。
そんな時は、WAFに任せることと、診断や修正を別の専門家へ頼むことを分けて考えれば安心です！
この記事では、WAFで防げること・防げないことと、導入後に脆弱性診断を活用する理由をご紹介します。
WAFがあってもサイト側の確認は必要です
セキュリティー診断さん
「WAF」ってなんだろう…？ 何かの略語なんだろうけど、さっぱりわからないよ…。
WAFとは、WebサイトやAPIへ届く通信を確認し、不審な通信を検知・遮断する仕組みです。
入口で攻撃を抑え、プログラムを修正するまで被害が広がるのを防ぐ役割があります。
| WAFでできること | WAFだけではできないこと |
|---|---|
| 不審な通信を検知する。 | プログラムの弱点を修正することです。 |
| 攻撃と判断した通信を遮断します。 | 社内パソコンや社内LANを調べることです。 |
| 攻撃による被害の拡大を抑える。 | 攻撃検知後の調査・修正判断を代行することです。 |
通常のファイアウォールがネットワークへの出入りを制御するのに対し、WAFはログインや問い合わせなど、Web上の通信内容を確認します。
ただし、WAFで攻撃を止めていても、原因となる弱点がサイト側に残ることがあります。
Web脆弱性・技術診断の全体像も確認すると、WAFによる防御と、弱点を見つけて修正する取り組みの違いを整理できます。
WAF導入前に経営者が決める事項です
セキュリティー診断さん
なるほど！ WAFは、サイトの中身を守る専門の警備員さんみたいなものなんだね！
経営者が決めるのは、細かなルール設定ではありません。
何を守り、運用を誰へ任せ、問題が起きたときに誰が判断するかを明確にします。
| 経営者が決めること | 確認する内容 |
|---|---|
| 何を守るかです。 | ログイン、問い合わせ、購入、管理画面、外部公開APIなどです。 |
| 誰へ運用を任せるかです。 | WAFの通知確認と設定調整を行う会社・担当者です。 |
| 正常利用が止まった場合の連絡先です。 | 顧客がログインや購入をできない場合の連絡経路です。 |
| 攻撃検知後の判断者です。 | 調査、暫定対処、プログラム修正を誰が判断するかです。 |
導入時は、いきなり通信を遮断するのではなく、正常な利用に影響がないかを運用担当へ確認してもらいます。
誤って正常な通信を止めた場合の戻し方や連絡先も、導入前に決めてください。
具体的な製品や確認方法を比較するときは、Webアプリ脆弱性診断ツール比較も参考になります。
WAFの設定を担当会社へ任せる場合でも、保護対象と問題発生時の責任者は自社で把握しておきましょう。
運用担当者が調整を行う際は、OWASPのWAF Advanced Ruleset Managementも技術的な参考資料になります。
WAF・脆弱性診断・プログラム修正には役割があります
セキュリティー診断さん
えっ、WAFだけじゃダメなの！ ？ それじゃあ結局、どうやってサイトを守れば良いの…？
WAF、脆弱性診断、プログラム修正は、同じ作業ではありません。
次に誰へ何を頼むか分かるよう、役割を一つの流れで整理します。
- WAFで被害を抑える：不審な通信を検知・遮断し、被害が広がるのを抑えます。
- 脆弱性診断で弱点を確認する：サイト側に残る問題と修正対象を明らかにします。
- 制作会社・開発会社が修正する：診断結果をもとにプログラムの弱点を直します。
- 再診断で解消を確認する：修正した問題が再現しないか確かめます。
WAFは修正までの守りとして活用し、診断結果は制作会社・開発会社へ修正を依頼する材料にします。
『セキュリティー診断さん』では、Webサイトに残る脆弱性を確認し、修正を相談する箇所を整理できます。
WAFの設定やプログラム修正は、それぞれの運用担当会社や制作会社・開発会社へ依頼します。
WAF導入後も診断を検討したいケースがあります
セキュリティー診断さん
そっか！ 先にプロに調べてもらえば、どこを重点的に守ればいいか分かるんだ！ 効率的だね！ (๑•̀ㅂ•́)و✧
WAF導入後も、サイト側の弱点が解消したか分からない場合は、脆弱性診断を検討できます。
特に確認したいのは、次のようなケースです。
- WAFを導入したものの、Webサイト自体を診断していない場合です。
- 攻撃検知や遮断の通知が続いている場合です。
- ログイン、問い合わせ、購入など重要な機能がある場合です。
- サイトの改修や機能追加を行った場合です。
- WAFで一時的に防いでいる問題が修正済みか分からない場合です。
診断結果を読む際は、脆弱性診断レポートの読み方を参考に、事業への影響と修正対象を確認できます。
修正状況と再診断結果を経営者が継続して確認する場合は、セキュリティ診断のKPI管理も役立ちます。
WordPressやDrupalを利用している場合は、WordPress・Drupal脆弱性診断で更新や権限などの確認項目を整理できます。
ECサイトでは、Shopifyのセキュリティ診断も参考に、決済や外部アプリ連携に関わる機能を確認してください。
『セキュリティー診断さん』を利用すれば、WAFでは直せないサイト側の弱点を確認し、制作会社・開発会社へ修正を依頼するための判断材料を得られます。
WAFを活かすにはサイトの弱点解消も必要です
WAFは不審な通信を抑え、攻撃による被害の拡大を防ぐために活用できます。
一方、サイト側の弱点は脆弱性診断で確認し、制作会社・開発会社へ修正を依頼します。
修正後は再診断を行い、問題が解消したかを確認してください。
WAFと診断方法の関係を整理するときは、脆弱性診断の種類と実施方法も参考になります。
WAFを活かしながら弱点そのものも解消したい場合は、『セキュリティー診断さん』で修正対象を確認できます。
セキュリティー診断さん
よし、WAFで攻撃を抑えながら、サイト側の弱点も診断で確認しよう！ 分かった問題は、制作会社や開発会社へ修正を頼めばいいんだね！
関連記事
同じテーマを深掘りしやすい記事を優先して表示しています。
