Webアプリケーションファイヤーウォール

デジタル大辞泉

ウェブアプリケーション‐ファイアウォール【web application firewall】

読み方：うぇぶあぷりけーしょんふぁいあうぉーる

ウェブアプリケーションを通じた不正アクセスが起こらないよう防御するシステム。ファイアウォールの一。データのやり取りを精査し、危険性のある不正入力をあらかじめ遮断して、安全性に問題のない入力だけを受け入れるようにするもの。WAF（web application firewall）。

IT用語辞典バイナリ

WAF

フルスペル：Web Application Firewall
読み方：ワフ
別名：Webアプリケーションファイヤーウォール

WAFとは、外部ネットワークからの不正アクセスを防ぐためのソフトウェア（あるいはハードウェア）であるファイアーウォールの中でも、Webアプリケーションのやり取りを把握・管理することによって不正侵入を防御することのできるファイアウォールのことである。

WAFの特徴としては、従来のファイヤーウォールがネットワークレベルで管理していたことに対して、WAFはアプリケーションのレベルで管理を行う、といった点を挙げることができる。WAFでは、プログラムに渡される入力内容などを直接に検査することによって、不正と見なされたアクセス要求を遮断するという仕組みが採用されている。クライアントの操作するWebブラウザとWebサーバを仲介するかたちで存在し、ブラウザとの直接的なやり取りをWAFが受け持つ。そのことによってSQLインジェクションやクロスサイトスクリプティング、強制ブラウジングといった要求に対して、「攻撃」と見なして拒絶することができる。

WAF以前の従来型ファイヤーウォールでは、おおむねルータと外部ネットワークとの間に設置され、通信プロトコルのレベルで通信の可不可を判断する仕組みが採用されている。例えば「特定のIPアドレス以外は通信を遮断する」という設定で外部接続が拒否されるとか、あるいはポート番号ごとに、WWWに向けては80番ポートの転送制御、メールであれば25番ポートを制御する、といった設定がとられてきた。ただし、こういったタイプの設定方法では、どのようなWebアプリケーション（インターネットサービス）が存在しているかを感知することもできなければ、通信そのものは通常のアクセスと同様である不正アクセスを遮断しきれないという問題があった。すなわち、Webアプリケーションの脆弱性を狙った攻撃に対して従来型のファイヤーウォールは満足なセキュリティ効果を発揮することができなかったといえる。

WAFを導入することによって、Webアプリケーションへのセキュリティ対策は軽減され、Webアプリケーションの開発にかかるコストの削減を図ることができるとされる。

---

参照リンク
WAF製品「TrafficShield」 ‐F5 Networks Japan

セキュリティのほかの用語一覧

認証方式：	掌形認証  チャレンジ&レスポンス方式  ツーファクタ認証  WAF  Windows Hello  ワンタイムパスワード
電子証明書：	CRL

>>認証方式カテゴリの他の用語