WAFWeb Application Firewall

WAF は、OSI 7層 (アプリ層) でHTTPリクエストを検査し、SQLインジェクション・XSS・パストラバーサル・コマンドインジェクション・ボット・スクレイピング等を検知して遮断するセキュリティ装置です。実装形態はクラウド (Cloudflare WAF / AWS WAF / Akamai Kona) / アプライアンス (F5 BIG-IP) / オープンソース (ModSecurity + OWASP CRS) があります。OWASP Core Rule Set (CRS) は無償で多くのWAFが採用しており、Paranoia Level 1〜4 で誤検知と防御強度をトレードオフ調整できます。マネージド型WAFはCDNと一体になっておりレイテンシペナルティが小さく、DDoS対策・ボット対策・レートリミットも統合されているのが利点です。バーチャルパッチで未修正脆弱性を緊急対応できる点も評価されます。