Web アプリケーション ファイアウォール

ウェブアプリケーションファイアウォール（WAF ）は、ウェブサービスとの間のHTTPトラフィックをフィルタリング、監視、ブロックするアプリケーションファイアウォールの特定の形式です。HTTPトラフィックを検査することで、SQLインジェクション、クロスサイトスクリプティング（XSS）、ファイルインクルード、不適切なシステム構成など、ウェブアプリケーションの既知の脆弱性を悪用した攻撃を防ぐことができます。^[1]大手金融機関のほとんどは、ウェブアプリケーションのゼロデイ脆弱性^[要出典]の緩和や、カスタム攻撃シグネチャ文字列による修正が難しいバグや弱点の緩和にWAFを利用しています。^[2]

専用の Web アプリケーション ファイアウォールは、 Web サーバー 攻撃が蔓延し始めた 1990 年代後半に市場に登場しました。

90年代後半には、ウェブアプリケーションへの攻撃の増加を解決しようと、KavadoやGilian Technologiesの初期のWAF製品が登場しました。^[要出典] 2002年には、WAF技術をより利用しやすくするために、オープンソースプロジェクトModSecurity ^[3]が結成されました。彼らは、OASISウェブアプリケーションセキュリティ技術委員会（WAS TC）の脆弱性研究に基づいて、ウェブアプリケーションを保護するためのコアルールセットを完成させました。2003年には、ウェブセキュリティの脆弱性を毎年ランキングするOpen Web Application Security Project（OWASP）のトップ10リストを通じて、ルールを拡張し標準化しました。このリストは、ウェブアプリケーションセキュリティコンプライアンスの業界標準となりました。^{[4] [5]}

それ以来、市場は成長と進化を続け、特にクレジットカード詐欺防止に重点が置かれてきました。カード所有者データの管理を標準化したPCI DSS（ Payment Card Industry Data Security Standard ）の開発により、この分野ではセキュリティの規制が強化されました。CISO Magazineによると、WAF市場は2022年までに54億8000万ドルに成長すると予想されています。^{[6] [7]}

Web アプリケーション ファイアウォールは、Web アプリケーションに特化して適用される特殊なタイプのアプリケーション ファイアウォールです。Web アプリケーションの前面に展開され、双方向の Web ベース (HTTP) トラフィックを分析して、悪意のあるものを検出してブロックします。OWASP は、WAF を「技術的な観点から、アプリケーション自体に依存しない Web アプリケーション レベルのセキュリティ ソリューション」と幅広く定義しています。^[8]要件 6.6 の PCI DSS 情報補足によると、WAF は「Web アプリケーションとクライアント エンドポイントの間に配置されたセキュリティ ポリシー適用ポイント。この機能は、アプライアンス デバイスで実行されるソフトウェアまたはハードウェア、または一般的なオペレーティング システムを実行する一般的なサーバーで実装できます。スタンドアロン デバイスの場合もあれば、他のネットワーク コンポーネントに統合されている場合もあります。」と定義されています。^[9]つまり、WAF は、Web アプリケーションの脆弱性が外部の脅威によって悪用されるのを防ぐ仮想または物理アプライアンスである可能性があります。これらの脆弱性は、アプリケーション自体がレガシー タイプであるか、設計上十分にコーディングされていないことが原因である可能性があります。 WAF は、ポリシーとも呼ばれる特別なルールセットの構成によってこれらのコードの欠陥に対処します。

これまで知られていなかった脆弱性は、侵入テストや脆弱性スキャナーによって発見されることがあります。Webアプリケーション脆弱性スキャナー(Web アプリケーション セキュリティ スキャナーとも呼ばれる) は、SAMATE NIST 500-269 で「Web アプリケーションの潜在的なセキュリティ脆弱性を検査する自動プログラム。Web アプリケーション固有の脆弱性の検索に加えて、ツールはソフトウェアのコーディング エラーも検索します。」と定義されています。 ^[10]脆弱性を解決することは、一般に修復と呼ばれます。アプリケーションでコードを修正することもできますが、通常はより迅速な対応が必要です。このような状況では、一時的ではありますが即時の修正 (仮想パッチと呼ばれる) を提供するために、Web アプリケーション固有の脆弱性に対するカスタム ポリシーの適用が必要になる場合があります。

WAF は究極のセキュリティ ソリューションではなく、ネットワーク ファイアウォールや侵入防止システムなどの他のネットワーク境界セキュリティ ソリューションと組み合わせて使用​​し、総合的な防御戦略を提供することを目的としています。

WAF は、 SANS Instituteが述べているように、通常、ポジティブ セキュリティ モデル、ネガティブ セキュリティ モデル、またはその両方の組み合わせに従います。^[11] WAF は、ルールベースのロジック、解析、シグネチャの組み合わせを使用して、クロスサイト スクリプティングや SQL インジェクションなどの攻撃を検出して防止します。一般的に、ブラウザ エミュレーション、難読化、仮想化、IP 難読化などの機能を使用して、WAF をバイパスしようとします。^[12] OWASP は、Web アプリケーションのセキュリティ上の欠陥のトップ 10 のリストを作成します。すべての商用 WAF 製品は、少なくともこれらの 10 個の欠陥をカバーしています。非商用のオプションもあります。前述のように、ModSecurity と呼ばれるよく知られたオープン ソース WAF エンジンは、これらのオプションの 1 つです。WAF エンジンだけでは十分な保護を提供するには不十分であるため、OWASP は Trustwave の Spiderlabs と協力して、ModSecurity WAF エンジンで使用するために、GitHub ^{[13]を介してコア ルール セットを整理および維持しています。 [14]}

動作モードの名前は異なる場合がありますが、WAFは基本的に3つの異なる方法でインラインで展開されます。NSS Labsによると、展開オプションは透過ブリッジ、透過リバースプロキシ、リバースプロキシです。^[15]「透過的」とは、HTTPトラフィックがWebアプリケーションに直接送信されるため、WAFはクライアントとサーバーの間で透過的であることを意味します。これは、WAFがプロキシとして機能し、クライアントのトラフィックがWAFに直接送信されるリバースプロキシとは対照的です。その後、WAFはフィルタリングされたトラフィックをWebアプリケーションに個別に送信します。これにより、IPマスキングなどの追加の利点が得られますが、パフォーマンスの遅延などの欠点が生じる可能性があります。

• アプリケーションファイアウォール
• ペイメントカード業界データセキュリティ基準(PCI DSS)
• ウェブアプリケーション
• サービスとしてのソフトウェア(SaaS)
• コンピュータセキュリティ
• ネットワークセキュリティ
• アプリケーションセキュリティ
• Webアプリケーションのセキュリティ