WAFとは？Webアプリを守る専門の門番をやさしく解説

「ファイアウォールと何が違うの?」
「通信の何を見張るの?」
「一つ入れれば安全なの?」

「ファイアウォールと何が違うのか」——WAFは、守る層がそもそも違います。

WAFとは、Webアプリケーションをねらう攻撃を、通信の中身まで見て防ぐ専用の防御です。通信先や経路だけを見る普通のファイアウォールとは、そもそも見ている場所が違います。

この記事では、普通のファイアウォールでは防げない攻撃があることを確かめ、WAFが見張る「通信の中身」を押さえます。守りの層で位置づけ、検知の仕組みとすり抜けの限界、そしてクラウドでの使い所まで示します。SGのセキュリティ対策に直結する内容です。

1 1. 普通のファイアウォールでは防げない攻撃がある
2 2. WAFが見張っているのは「通信の中身」
3 3. 守りの層で位置づけると役割が見える
4 4. 検知の仕組みと、すり抜けの限界
5 5. クラウドで手軽に前に置けるようになった
- 5.1 次のステップ

1. 普通のファイアウォールでは防げない攻撃がある

普通のファイアウォールは、「どこと通信してよいか」を通信先や経路で判断する守りです。許可した相手・許可した入口だけを通し、それ以外を遮断します。ネットワークの入口を固める役割としては、とても頼りになります。

ところが、Webサイトの問い合わせフォームやログイン画面は、そもそも誰でもアクセスしてよい正規の入口です。あなたが利用者として使うその同じ入口を、攻撃も正々堂々と通ってきます。通信先や経路だけを見ていると、正規の入口を通る攻撃は「許可された通信」に見えてしまい、素通りしてしまうのです。

ここで効くのが、通信の「中身」まで踏み込んで見る守りです。入力欄を悪用するSQLインジェクションとはのような攻撃は、正規の入口を通りつつ中身に悪意を仕込みます。だから中身を検査できるWAFが必要になります。

たとえるなら、建物の入口に立つ警備員です。普通のファイアウォールが「入ってよい人かどうか」を入口で見分けるとすれば、WAFは持ち物や書類の中身まで開けて検査する警備員。正規の来訪者のふりをして危険物を持ち込もうとしても、中身を見られれば止められます。

2. WAFが見張っているのは「通信の中身」

WAFは、あなたのブラウザからWebアプリへ向かう通信の本文（アプリへの指示や入力の中身）を読み取り、攻撃の特徴に当てはまるかを照らし合わせます。当てはまれば止め、問題なければ通す。この「中身を見る」点が、経路だけを見る守りとの決定的な違いです。

位置づけを図でつかんでください。WAFは利用者とWebアプリのあいだに立ち、通り抜ける通信の中身を検査します。

押さえどころは1つ。WAFは「通信の中身」を、普通のファイアウォールは「通信の可否」を見る。あなたがこの一線を引けると、次章の層ごとの役割分担がすっと入ってきます。

3. 守りの層で位置づけると役割が見える

WAF・ファイアウォール（FW）・IDS/IPSは、競合する道具ではありません。守る層と対象が違うので、重ねて使うのが正解です。表で違いを押さえてください。

仕組み	守る層	見る対象
ファイアウォール（FW）	ネットワーク層	通信の可否（通信先・経路）
IDS/IPS	ネットワーク〜アプリ層	不正な兆候の検知・遮断
WAF	アプリケーション層	Webへの通信の中身

ファイアウォールが建物全体の門だとすれば、WAFはWebアプリという特定の部屋の前に立つ専門の番人です。IDS/IPSは、通路全体を見回って不審な動きを見つけ、止める見張り役にあたります。層が違うからこそ、片方だけでは守りに穴が残ります。この重ね方が、多層防御（Defense in Depth）の考え方です。

試験ではこの層の違いがそのまま問われます。SGでは「Webアプリへの攻撃を防ぐのに適した仕組みはどれか」という形で、FW・IDS/IPS・WAFを見分けさせます。判別のコツは、問題文に「Webアプリ」「アプリケーション層」「通信の中身」が出たらWAFと紐づけること。ネットワーク層の入口を守る側と並べて理解したいなら、あなたはファイアウォールとIDS/IPSとはも押さえておくと、両者の分担が一目で見分けられます。

4. 検知の仕組みと、すり抜けの限界

WAFの判断には、大きく2つの考え方があります。危険な特徴を持つ通信を止める方式と、安全と認めた通信だけを通す方式です。多くのWAFは前者を土台に、攻撃でよく使われる特徴をあらかじめ持ち、通信がそれに当てはまるかを照らします。

ここで正直に押さえておきたいのが、WAFは万能ではないという事実です。特徴で見分ける以上、未知の巧妙な攻撃はすり抜ける余地があり、逆に正常な通信を攻撃と誤って止める過検知（誤検知）も起こります。たとえば問い合わせフォームに技術的な内容を書いた送信が、攻撃の特徴に似ているとして弾かれることがあります。

だから運用では、いきなり遮断せずまず記録だけするモードで様子を見て、誤検知を潰してから本格的な遮断へ切り替えるのが実務の定番です。あなたが「入れたら終わり」ではなく「調整しながら育てる守り」と捉えられると、WAFの実像に近づきます。

要点は、WAFを「魔法の盾」ではなく「調整の要る一枚」と見ることです。アプリ側の作り込みで根から塞ぎ、その上にWAFを重ねる。この順番を守ってこそ、WAFは力を発揮します。

5. クラウドで手軽に前に置けるようになった

かつてWAFは専用の機器を用意する必要がありましたが、いまはクラウドのサービスとして、Webアプリの前段に置くだけで使える形が広がっています。機器を買わず、設定を中心に使い始められるのが特徴です。

マネージド型: 事業者が運用を担い、利用者は設定中心で使える
推奨ルール: よくある攻撃に対応した設定があらかじめ用意されていることが多い
柔軟な調整: 自社のWebアプリに合わせて、通すもの・止めるものを整えられる

必要なときだけ前に置き、攻撃の傾向に合わせてルールを見直せる。あなたが学ぶ範囲でも、WebアプリのすぐそばにWAFを置く構成はよく登場します。ただし、置いただけで安心せず、アプリ本体の守りと組み合わせる姿勢は変わりません。

最後に、どの脅威にどの防御が効くかを一度で整理しましょう。経路や通信先の可否ならファイアウォール、Webアプリの中身をねらう攻撃ならWAF。そして、どれか一枚に頼らず層で重ねる——これが判断の軸です。組織全体の守りの中でWAFがどこに座るのかは、情報セキュリティマネジメントとはで位置づけを確かめられます。

次のステップ

WAFが守りの体系のどこに収まるのかは、情報セキュリティマネジメント試験の試験範囲と勉強法ガイドでセキュリティ分野を通しで見ると腑に落ちます。

知識を得点にするなら、SG 技術要素の問題集で「どの層を守るか」を問う設問に手を伸ばすのが早道です。