WAF（Web Application Firewall）入門

WAF とは

WAF（Web Application Firewall）は、Web アプリケーションへの攻撃を防ぐために、HTTP/HTTPS トラフィックの中身を検査するセキュリティ機構です。ネットワークファイアウォールが IP・ポート・プロトコルを見るのに対し、WAF はアプリケーション層（L7）のペイロードを検査します。

なぜ必要か: SQL インジェクションや XSS などの Web アプリ攻撃は、ポート 80/443 の正常な HTTP 通信として見えるため、ネットワークファイアウォールでは防げません。WAF が HTTP の中身を検査して攻撃を検出・ブロックします。

ネットワークファイアウォールと WAF の違い

[クライアント]
    ↓
[ネットワークファイアウォール]（L3/L4 でチェック）
    ↓
[WAF]（L7 で HTTP の中身をチェック）
    ↓
[Web サーバー]

WAF が防ぐ主な攻撃

WAF は OWASP Top 10 に挙げられる Web アプリの代表的な脆弱性を防ぎます。

SQL インジェクションの例

# 攻撃リクエスト
GET /user?id=1' OR '1'='1 HTTP/1.1
Host: example.com

# WAF の検知
Pattern Match: ' OR '1'='1
Action: Block

XSS の例

# 攻撃リクエスト
POST /comment HTTP/1.1
Host: example.com
Content-Type: application/x-www-form-urlencoded

text=<script>alert('XSS')</script>

# WAF の検知
Pattern Match: <script>.*</script>
Action: Block

WAF の検知方式

WAF は大きく分けて2種類の検知方式を使います。

1. シグネチャベース検知

既知の攻撃パターン（シグネチャ）をデータベースに持ち、リクエストとマッチングします。

# シグネチャの例
Rule ID: 1001
Pattern: /(\bunion\b.*\bselect\b|\bselect\b.*\bunion\b)/i
Description: SQL Injection - UNION SELECT
Action: Block

2. 振る舞い検知（異常検知）

正常なトラフィックのベースラインを学習し、異常なパターンを検出します。

# 振る舞い検知の例
Baseline: /api/user へのリクエストは平均 100 文字
Anomaly: 今回のリクエストは 5000 文字 → 攻撃の可能性
Action: Alert

WAF の運用モード

WAF には大きく分けて2つの運用モードがあります。

段階的な導入フロー

1. 検知モード（1-2 週間）
   → ログを確認、誤検知（False Positive）を洗い出し

2. 除外ルール（Whitelist）を設定
   → 正当なリクエストを誤検知しないように調整

3. ブロックモードに移行
   → 本番環境で攻撃を実際にブロック

4. 継続的な監視・チューニング
   → 新しい攻撃パターンに対応

WAF のデプロイ形態

WAF は配置場所によって3種類に分類されます。

リバースプロキシ型 WAF

[クライアント]
    ↓
[WAF]（リバースプロキシとして動作）
    ↓
[Web サーバー]

• Cloudflare WAF: DNS を Cloudflare に向けるだけで導入可能
• AWS WAF: CloudFront または ALB の前段に配置
• Azure WAF: Application Gateway または Front Door に統合

エージェント型 WAF（ModSecurity）

# nginx に ModSecurity をインストール
sudo apt install libnginx-mod-security2

# nginx 設定
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

[クライアント]
    ↓
[nginx + ModSecurity]（サーバー内で検査）
    ↓
[アプリケーション]

主要な WAF サービス比較

Cloudflare WAF の設定例

# Cloudflare ダッシュボード → Security → WAF

Managed Rules:
- OWASP ModSecurity Core Rule Set: On
- Cloudflare Managed Ruleset: On

Custom Rules:
- Block requests with "union select" in query string
- Rate Limiting: 100 req/min per IP

AWS WAF の設定例

{
  "Name": "SQLInjectionRule",
  "Priority": 1,
  "Statement": {
    "SqliMatchStatement": {
      "FieldToMatch": {
        "QueryString": {}
      },
      "TextTransformations": [
        {
          "Priority": 0,
          "Type": "URL_DECODE"
        }
      ]
    }
  },
  "Action": {
    "Block": {}
  }
}

WAF のルール種類

Custom Rule の例（AWS WAF）

# /admin/* への日本以外からのアクセスをブロック
Rule:
- URI Path starts with "/admin/"
- AND Country NOT IN ["JP"]
Action: Block

Rate Limiting の例（Cloudflare）

# 同一 IP から 10 秒間に 20 リクエスト以上でブロック
Rate Limiting Rule:
- Threshold: 20 requests per 10 seconds
- Action: Block for 600 seconds
- Match: URI Path contains "/api/"

WAF のログと監視

WAF は攻撃を検出・ブロックしたらログに記録します。

ログに記録される情報

Cloudflare WAF ログの例

{
  "ClientIP": "203.0.113.45",
  "ClientRequestHost": "example.com",
  "ClientRequestMethod": "GET",
  "ClientRequestURI": "/user?id=1' OR '1'='1",
  "EdgeStartTimestamp": "2026-05-01T12:34:56Z",
  "RuleID": "100001",
  "Action": "block",
  "RayID": "7a1b2c3d4e5f6g7h"
}

AWS WAF ログの例

{
  "timestamp": 1714568096000,
  "httpRequest": {
    "clientIp": "203.0.113.45",
    "uri": "/user",
    "args": "id=1' OR '1'='1",
    "httpMethod": "GET"
  },
  "action": "BLOCK",
  "ruleGroupList": [
    {
      "ruleGroupId": "SQLInjectionRule",
      "terminatingRule": {
        "ruleId": "SQL_Injection_QUERYSTRING",
        "action": "BLOCK"
      }
    }
  ]
}

誤検知（False Positive）への対処

WAF は正規のリクエストを攻撃と誤認識することがあります。

誤検知の例

# 正規のリクエストだが SQL パターンにマッチ
GET /search?q=select+a+union+of+ideas HTTP/1.1
                  ↑
           "select" "union" が SQL キーワードとして検出

対処方法

# Cloudflare WAF の除外ルール例
Disable Rule:
- Rule ID: 100001 (SQL Injection)
- URI Path contains "/search"

まとめ

WAF は Web アプリケーションへの攻撃を防ぐ L7 ファイアウォールです。

ネットワークファイアウォールとの併用で、ネットワーク層 + アプリケーション層の多層防御を実現できます。

参考リソース

• OWASP - Web Application Firewall
• OWASP ModSecurity Core Rule Set (CRS)
• Cloudflare - What is a WAF?
• AWS - AWS WAF Documentation
• ModSecurity - Official Documentation