WAF(Web Application Firewall)の導入を検討する際、WAFの必要性を説いていく過程で、いくつかの壁に当たる。
その前にWAFとはという話から。
WAFとは、ウェブアプリケーションの脆弱性を悪用した攻撃からウェブアプリケーションを保護するセキュリティ対策の一つ。
WAFを導入するウェブサイト運営者は、検出パターンを設定することで、ウェブサイトとウェブサイト利用者との間の通信の内容を機械的に検査する。
WAFを使用することで、以下の効果が期待できる。
1.脆弱性を悪用した攻撃からウェブアプリケーションを防御する。
2.脆弱性を悪用した攻撃を検出する。
3.複数のウェブアプリケーションへの攻撃をまとめて防御する。
※出典：ウィキペディア
んで、WAFの必要性を説いていく中で、特に経営層レベルから疑問を投げかけられるのが下記のようなケース
■ケース1.「F/Wを入れているのになぜWAFが必要なのだ？」
FireWallに加えて、Web Application Firewallを入れる場合、（というかほとんどがそのケースだと思う）この説明を(お母さんでも理解できるように)分かりやすく説明しなければならない。
これは、車の検問で例えるのであれば、下記のような違いになると思うのだが、いかがだろう？
F/W：車のナンバープレートや運転手の顔、車の形状、行き先で良し悪しを判断
WAF：外見だけではなく、中身（乗員/乗客、荷物とか）も見て判断
■ケース2.「WAFを入れればパッチ適用は不要になるのではないのか？」
これ、自分の中で最近まで困っていたケース。
当然べき論としてはWAFは暫定対応であり、システムの脆弱性なのだから、恒久対策としてはシステム側で対応(=パッチ適用)をするのが基本である。
しかし、「WAFで止まっているんだからいーじゃん」と言われると、正直反論が難しい。実際に実務的にはWAFでの対策が事実上の恒久対応になっているところもあるようだ。
そんな中で反論できるネタを用意してみた。
[反論]WAFの設定ミスで攻撃を許容してしまうリスク
脆弱性が出た当初は意識してWAFで止められていたとしても、何かのタイミングでWAFの防御設定が外れ、攻撃を受けて、情報漏洩してしまったケースが存在する
詳細はこちら
WAFも所詮は人が運用するものなので、当然オペミスのリスクが出てくる。
なので、脆弱性が出た当初はWAFで暫定的にしのぐものの、恒久的にはシステムにパッチ適用を行い、根本解決を行わなければならないのだ。
WAFそのものが設定ミスや、何かの拍子で防御設定が外れ、結果的にWAFをスルーする（攻撃を受けてしまう）ケースは、想像できなかった。
発想力が豊かな人間になりたい今日この頃。