Webセキュリティ対策の３種の神器〜ファイアウォール、IPS、WAF〜

よくメディアで取り上げられることもある、サイバー攻撃。
今や、サイバー攻撃の対象になっているのは、大企業や官公庁のサイトだけでなく、インターネット上全てのWebサイトです。
運営側は日進月歩する様々なサイバー攻撃から、自分のサービスやユーザーの情報を守る必要があります。
この記事では、Webセキュリティ対策の基本〜ファイアウォール、IPS、WAF〜について、なぜ必要なのか、初心者にも分かりやすく説明します。
また、少し踏み込んで、それぞれの仕組みや機能、費用やサービスなどにも触れますのでぜひ参考にしてみてください。

ファイアウォール、IPS、WAFを分かりやすく解説

Webセキュリティ対策と言えば、WindowsやMacなどの家庭用PCにも標準搭載されているファイアウォールですね。

しかし、サイバー攻撃の手法が多様化している今、ファイアウォールだけではもはや安全とは言えません。

現在、Web上にあるサイト・サービスを守るには、ファイアウォールを含めた多層防御による対策が基本です。Webセキュリティ対策の３種の神器と言われる「ファイアウォール」「IPS」「WAF」はそれぞれ独自の仕組みで、Webサイトを構成する異なる部分をリスクから守る効果があります。

まずはそれぞれの簡単な特徴を説明します。

ファイアウォールはなぜ必要？　何ができる？

ファイアウォールとは直訳すると「防火壁」となり、設置箇所の内側にあるネットワークやサーバー・PC、データを、外部の攻撃から守る機能を持ちます。
ファイアウォールの最も重要な役目は「通信のフィルタリング」です。「送信元/送信先（IPアドレス・ポート）」を監視し、フィルタルールを設定することで、ルールにあうものだけを通信可能にする機能があります。

ファイアウォールでは、不正アクセス等のネットワークを利用した攻撃を防ぐことができます。

IPSはなぜ必要？　何ができる？

IPSとは「Intrusion Prevention System」の略で「不正侵入防止システム」という意味です。
IDS（Intrusion Detection System）と呼ばれる「不正侵入検知システム」と合わせてIDS/IPSと呼ばれることもあります。

IDS・IPSはファイアウォールと同じく、ネットワーク上の通信を監視します。ただし、ファイアウォールでは確認しない「通信の中身・パターン」を見て、OS/Webサーバーの脆弱性を突いた攻撃を防ぐことに特化しています。

IPSが防ぐことのできる攻撃には、大量のデータを攻撃対象へ送り付けて相手方のシステムダウンを狙うものなどがあります。

WAFはなぜ必要？　何ができる？

WAFとは「Web Application Firewall」の略であり、Webアプリケーションに特化したファイアウォールです。
通常のファイアウォールやIPSでは防御できない、Webアプリケーション層を狙った攻撃を防ぐことができます。

Webアプリケーション層への攻撃では、主にデータベースが狙われます。Webサイトで収集した各種個人情報、パスワード等が流出する等の情報漏洩被害につながります。また、Webサイトを改ざんする攻撃もあり、その場合Webサイトを訪れたユーザーの個人情報が盗み取られたりします。

ではさらにここから、ファイアウォール、IPS、WAFについてもっと詳しく解説していきましょう。

ファイアウォールの機能と仕組み

ファイアウォールの機能

ファイアウォールは設置場所によって、「パーソナルファイアウォール」と「ネットワーク用ファイアウォール」とに大別されます。

パーソナルファイアウォールは、単体のパソコン（PC）を防御することを目的としています。外部からPCへの不正なアクセスを防止するほか、PCから外部への不正な通信を遮断することもできます。

ネットワーク用ファイアウォールは、社内ネットワークなどネットワーク全体を保護する働きを持ちます。

ファイアウォールの仕組みとその効果

パーソナルファイアウォールは、ソフトウェアです。インストールされた端末へインターネットからの不正な侵入・ウイルスの侵入を防ぐ等の効果があります。また、自分のコンピュータを外部から見えなくしたりすることが可能になります。

ネットワーク用ファイアウォールは、インターネットと社内のLANとの間に設置する専用ツールです。外部からの不正な通信データを遮断する機能や、許可された通信データだけを通過させる機能を持っています。

ファイアウォールの料金・サービス

パーソナルファイアウォールは、WindowsやMacなどのOSに標準搭載されているものや、インターネットサービスプロバイダが自社の接続サービスの一環で、利用者にファイアウォールを提供している場合もあります。また、ウィルスチェックソフトに含まれて販売されていることもあります。

ネットワーク用ファイアウォールは、従来からある専用機器型の他、近年ではクラウドサービスでの提供もあります。クラウド型は初期投資が少なく、短期的な利用からでも試せるというメリットがあります。

IPSの機能と仕組み

IPSの機能

IPS（不正侵入防止システム）は設置場所と監視方法によって、「ネットワーク型IPS」と「ホスト型IPS」とに大別されます。

ネットワーク型IPSは、ネットワーク間の境目に設置され、そこを通過する通信を監視・防御の対象とします。個別のサーバやコンピュータに導入する必要がなく、ネットワーク全体を監視できるのがメリットです。

ホスト型IPSは、主にサーバ等に配置され、そのサーバが送受信する通信を監視・防御の対象とします。OSレベルに対する攻撃や、変更・更新させたくないファイルを指定して監視するなど、サーバーの設定部分にまで踏み込んで監視対象とできるのがメリットです。

IPSのの仕組みとその効果

IDS・IPSが検知・防御できる攻撃は、主に以下の２種類です。

DoS攻撃（DDoS攻撃）／Synフラッド攻撃	Webサイトやサーバに対して大量のデータやアクセスを送りつける、または大量のIP詐称データを送りつける等で、Webサイトやサーバーのシステムダウンを狙う攻撃。
バッファオーバーフロー攻撃（BOF）	攻撃対象に許容量以上のデータを送りつけ、誤作動を起こさせるサイバー攻撃。誤作動により攻撃に折り込まれた不正プログラムを実行してしまい、管理者権限の乗っ取りなどにつながる恐れがある。

IDS・IPSを導入すると、ファイアウォールでは防げなかったタイプのネットワークへの不正侵入をリアルタイムに検知・防止する効果があります。

IPSの料金・サービス

IPS導入の費用は、IDS・IPS製品によって様々です。
各製品によって防御できる範囲や、対応通信規模、セキュリティ強度が変わります。小規模なレベルであれば数万円単位から、中規模から大規模であれば数十万円以上かかることもあります。

クラウドサービス型、ハードウェア型、専用端末（アプライアンス）型などがあり、中にはWAF機能を兼ね備えた製品もあります。

WAF（ワフ）の機能と仕組み

WAFの機能

WAF（Web Application Firewall）は、Webアプリケーション内に直接実装するものではなく、Webアプリケーションの前面やネットワークに配置します。
「シグネチャ」と呼ばれるアクセスパターンの記録を用いて攻撃の検知を行います。「ブラックリスト型」と言って拒否する通信をシグネチャに登録する方法と、「ホワイトリスト型」と言って許可する通信を登録する方法の二つがあります。

WAFの仕組みとその効果

WAFが検知・防御できる攻撃には、SQLインジェクションやクロスサイトスクリプティングなど、データベースと連携しているWebアプリケーションを狙って個人情報を盗みとるようなものがあります。これらの攻撃はファイアウォールでは検知できません。

Webアプリケーションは日々、高度化・複雑化しています。単体では問題のないプログラムでも、他システムと連携するによって意図しないセキュリティの欠陥が見つかることがあり、それが攻撃の対象となります。

Webアプリケーションはユーザーが直接、管理・改修することが難しいため、脆弱性が生じることを前提にしたWAFでの事前対策が有効です。

WAFの料金・サービス

IPS製品と同じく、WAFにも様々な提供方式があり、それによってコストも変わってきます。
クラウドサービス型、ソフトウェア型、専用端末（アプライアンス）型などがあり、それぞれメリット・デメリットがあります。

専用端末型は一般的に高価で、WAFの特徴である「シグネチャ」の運用を自社で行うため専門的な技術者が必要になるなど、主に大規模ネットワークでの導入が基本となっています。

クラウドサービス型、ソフトウェア型では導入コストを安く抑えられます。
クラウドサービス型は最も気軽に導入できますが、サービスの質・機能は事業者依存になるため、導入前によく検討する必要がありますね。

今回のまとめ

今回はWebセキュリティ対策の３種の神器〜ファイアウォール、IPS、WAF〜について、それぞれ簡単に解説しました。
現在のセキュリティ対策は多層防御が基本。今は、短期間から導入しやすいクラウド型サービスもたくさんあります。
サイト運営上、利用者と運営側両方を守るためにも、まずは導入を検討してみてください。