WAF
Web Application Firewall
概要（サマリー）
WAF（ワフ、Web Application Firewall）とは、WebサイトやWebアプリをサイバー攻撃から守るための「セキュリティの防壁（防御システム）」である。
通常のファイアウォールが、怪しい発信元からの接続を遮断する「警備員」だとすれば、WAFは、届けられた荷物（リクエストデータ）の中身を一つ一つ開封して検査する「検疫官」である。
ユーザーが入力フォームに入力した文字や、送信されたデータの中に、Webサイトを攻撃する可能性のある文字列（SQLインジェクションやXSS攻撃のコードなど）が含まれていないかをチェックする。怪しい通信を検知した場合は、そのアクセスを遮断し、Webアプリまで攻撃を通しにくくする役割を担う。
詳細解説
WAFが必要な理由と役割
従来のネットワークセキュリティ（ファイアウォールなど）は、主にポート番号や送信元のIPアドレスをもとにアクセス制限を行う。
しかし、Webサイトへのアクセス（HTTP/HTTPS通信）は、一般ユーザーからの通信を受け入れるために常にポートを開放しておく必要がある。サイバー攻撃者は、この正規の通り道を使って、問い合わせフォームなどに悪意のあるコマンドを紛れ込ませて送信してくる。
このような「正規の通信を装ったアプリケーションレベルの攻撃」は、従来のファイアウォールでは素通りしてしまう。
WAFは、この通り道を通るデータの「中身（テキストの内容や命令）」を詳細にスキャンし、Webアプリのバグ（脆弱性）を狙った攻撃をリアルタイムで検知・遮断するために開発された。
WAFが防ぐ主な攻撃
WAFは、主にWebアプリのプログラムの隙を突く以下の攻撃を防御する。
* SQLインジェクション: データベースのデータを改ざん・盗み取ろうとするコマンドの挿入。
* XSS（クロスサイトスクリプティング）: サイト内に悪意あるJavaScriptを実行させようとするコードの挿入。
* CSRF（クロスサイトリクエストフォージェリ）: ログイン状態を悪用した不正操作。WAFで一部の不自然な通信を検知できる場合もあるが、基本対策はCSRFトークンやCookieのSameSite属性などで行う。
* OSコマンドインジェクション: サーバーのシステムを不正に遠隔操作しようとする命令。
WAFで防げるものと防げないもの
WAFは、Webアプリに届く通信内容を検査し、既知の攻撃パターンや不自然なリクエストを遮断するための仕組みである。
一方で、ログイン機能の設計ミス、権限チェック漏れ、APIキーの漏洩、業務ロジックの不備など、通信の文字列だけでは判断しにくい問題までは完全には防げない。
そのため、WAFは「アプリケーションのセキュリティ設計を不要にする道具」ではなく、安全な実装に重ねる追加の防御層として考える必要がある。
WAFの提供形態
WAFには、導入方法によっていくつかの種類がある。
1. クラウド型WAF: Webサイトとユーザーの間にクラウドサービス（CloudflareやAWS WAFなど）を挟むことで、最も手軽に導入できる。現在のWeb開発において主流の形態。
2. ソフトウェア型（ホスト型）WAF: Webサーバー自体に専用のモジュール（ModSecurityなど）をインストールして動作させる。
3. アプライアンス型WAF: 専用のハードウェア機器をネットワーク上に設置する（大規模企業向け）。
AIコーディングとの関係
WAF回避ルールとAIコーディング
本環境（WordPressなど）でAIコーディングやプラグイン構築を行う際、WAFが有効になっていると、プログラム内の特定の記述（SQL文に似た変数名や、JSの特定のメソッドなど）が「サイバー攻撃」と誤判定され、保存時や実行時に403エラーとなってブロックされることがある。
このような場合、AIに「WAFの誤検知を避けつつ、同じ機能を安全に実装できる代替コードを生成して」と依頼することで、危険な書き方を避けながら同じ機能を実現するコードを作成してもらえる。
指示を出す際のポイント
AIにWAF関連のアドバイスを求める際は、以下のような指示が有効である。
* 「WordPressのカスタムHTML保存時にWAFで403エラーが出る。JavaScriptの insertAdjacentHTML を使わずに安全に要素を追加する代替コードを書いて」
* 「AWS WAFを使って、特定のパス（/admin など）への海外IPからのアクセスを制限するためのルールの作り方を説明して」
よくある勘違い
ファイアウォールがあればWAFは不要？
用途が異なるため、両方を組み合わせて使う必要がある。
* ファイアウォール: ネットワークの「門番」。許可されていないポートや不正な接続元からの通信をブロックする。
* WAF: アプリの「検疫官」。許可されたポート（HTTP/HTTPS）を通るデータの中身（SQLインジェクション等の攻撃）を検査・ブロックする。
どちらか一方だけでは防げない攻撃があるため、両方を配置するのが現代のセキュリティの基本である。
WAFを導入すれば、プログラムのセキュリティ対策（脆弱性対策）は不要？
WAFは万能ではなく、プログラム自体のセキュリティ対策も必須である。
WAFの防御は、既知の攻撃パターン（シグネチャ）の検知に依存することが多い。そのため、新種の攻撃（ゼロデイ攻撃）や、WAFのフィルターを巧妙にかいくぐる記述をされた場合、すり抜けられてしまう可能性がある。
基本は「プログラム自体を脆弱性のない安全なコード（バリデーションやサニタイズの徹底）で書き」、その上で万が一のすり抜けやバグに備えるための「二重の防壁（バックアップ）」としてWAFを導入するのが正しい設計思想である。
WAFを導入すると、Webサイトの表示速度が著しく低下する？
通信の解析を行うため、ごくわずかな遅延（ミリ秒単位）は発生するが、現代のクラウド型WAFなどはインフラが非常に高速化されているため、一般ユーザーが体感できるほどの表示速度低下はほとんどない。
むしろ、クラウド型WAF（Cloudflareなど）はCDNによるWebサイトのキャッシュ配信機能も兼ね備えていることが多いため、CDN設定と組み合わせることでサイト全体の読み込み速度が向上するケースもある。
まとめ
- WAFは、Webアプリケーションの脆弱性を突く攻撃（SQLインジェクション、XSS等）を防ぐためのセキュリティ防壁である。
- 一般のファイアウォールとは異なり、HTTP/HTTPS通信の「データの中身」を分析して不正なコマンドを遮断する。
- 現代のWeb開発では、CloudflareやAWS WAFなどのクラウド型WAFを手軽に導入するのが主流である。
- WAFが有効なサーバー環境では、安全なコードであっても誤検知でエラーが起きることがあるため、プログラムの書き方に注意する必要がある。
情報ソース
より詳しくAIに聞いてみよう
- 一般的な「ファイアウォール」「IPS/IDS（侵入検知・防止システム）」「WAF」の3つの違いを、ガードする対象と場所の観点から表形式で整理してください。
- クラウド型WAF（例：Cloudflare）をWebサイトに導入する際の、DNSレコードの切り替え設定手順を初心者向けに解説してください。
- WAFが誤って正常なリクエストをブロックしてしまう「誤検知（False Positive）」が発生した際、どのようにログを確認して例外ルールを設定すればよいか教えてください。
- WAFのシグネチャ検知（攻撃判定ルール）が回避される原因と、それに対抗するためにアプリケーション開発者が実装すべきコードレベルの対策を教えてください。
- AWSの「AWS WAF」を導入して、一般的なセキュリティの脆弱性をカバーする「マネージドルール（Managed Rules）」を適用する手順を教えてください。