更新日：2020年3月11日（初回投稿）
著者：増井技術士事務所 代表 増井 敏克
前回は、Webアプリケーションの脆弱性やWAFの効果を説明しました。WAFの導入を検討するとき、どのようにWAFを選べばいいでしょうか。WAFには、その設置方法や設置場所によって、大きく3つの種類が存在します。それぞれにメリットとデメリットがあるため、導入コストやランニングコスト、利便性などを考えた上で、最適な種類を選ぶ必要があります。今回は、この3つの種類について解説します。
1. ソフトウェア型のWAF
WebアプリケーションはWebサーバ上で動作しているため、まずこのWebサーバにWAFを導入することが考えられます。つまり、WebサーバにインストールされたWAF機能を持つソフトウェアが、Webアプリケーションの実行時に、その通信内容をチェックする方法です。これが、ソフトウェア型のWAFです（図1）。コンピュータ内に導入されることから、ホスト型と呼ばれることもあります。
図1：ソフトウェア型のWAF（引用：独立行政法人情報処理推進機構セキュリティセンター、Web Application Firewall（WAF）読本、2011年、P.17）
この方法のメリットは、ソフトウェアをWebサーバ内に導入するため、既存のネットワークに対する設定変更が不要なことです。WAFがどのように動作するのか、テスト的に少しだけ使ってみたい、という場合も、このソフトウェア型であれば手軽に試すことができます。一方で、サーバに導入するということは、それだけサーバの負荷が増えることを意味します。Webアプリケーションの場合、個々の処理はそれほど負荷の高いものではありません。しかし、短期間に大量のアクセスがあると、それぞれに対してのチェックが頻繁に実行されるため、サーバへの負荷が当初の想定を大きく上回り、性能が低下してしまう可能性があります。
また、Webサーバは1台だけとは限りません。サーバの台数が多ければ、それだけ導入や設定作業といった手間がかかるだけでなく、ライセンス費用が高額になることも考えられます。さらに、サーバへの導入だけでなく、最適に運用するための適切な設定を行うには、専門的な知識が求められます。
2. ネットワーク型のWAF
Webサーバの負荷を増やしたくない、Webサーバに新たなソフトウェアを導入することは避けたい、という場合は、専用の機器を設置する方法が考えられます。Webアプリケーションが動作しているWebサーバと、インターネットとの間にある経路上に導入する方法で、ネットワーク型と呼ばれます（図2）。または、アプライアンス型、ゲートウェイ型と呼ばれることもあります。
図2：ネットワーク型のWAF（引用：独立行政法人情報処理推進機構セキュリティセンター、Web Application Firewall（WAF）読本、2011年、P.16）
ファイアウォールという役割を考えると、中間に設置するのはイメージとして分かりやすいかもしれません。実際には、WAF専用のハードウェアで構成されるものだけでなく、汎用のサーバにWAFのソフトウェアを導入する方法もあります。いずれにしても、ネットワーク構成の上では、スイッチやルータのように、通信の橋渡しを行うかたちで設置します。
続きは、保管用PDFに掲載中。ぜひ、下記よりダウンロードして、ご覧ください。
3. 運用を任せられるクラウド型のWAF
保管用PDFに掲載中。ぜひ、下記よりダウンロードして、ご覧ください。
"さまざまな" - Google ニュース
March 11, 2020 at 01:14PM
https://ift.tt/2Q74YMm
さまざまな種類のWAF：WAFの基礎知識2 - Tech Note（テックノート）
"さまざまな" - Google ニュース
https://ift.tt/2SDHPBx
Shoes Man Tutorial
Pos News Update
Meme Update
Korean Entertainment News
Japan News Update
No comments:
Post a Comment