WAF（Web Application Firewall）は、Webアプリケーションの脆弱性を突いたサイバー攻撃に対するセキュリティ対策の一つ。脆弱性が発生することの多いWebアプリケーションに対し、従来のFirewallやIPS/IDSなどでは守ることができなかった攻撃を検知、遮断することができる。FirewallやIPS/IDSが低レイヤーのネットワーク層やOS層を防御するのに対し、WAFは高レイヤーのアプリケーション層を防御する。

WAFは、Webサーバーとインターネットの間に配置され、すべてのHTTP/HTTPSトラフィックを監視し、攻撃の兆候をチェックする。既知の攻撃パターンの検出に加え、Webサイト管理者による検出パターンの設定が可能で、ポリシーベースのトラフィック制御ができる。従来型のセキュリティ対策と組み合わせることで、クロスサイトスクリプティングやOSコマンドインジェクション、SQLインジェクションなどの攻撃から保護することが可能になる。従来型のセキュリティ対策は、攻撃を受ける前に防御する形だったが、WAFは万一攻撃を受けても被害を最小化することが可能で、データ漏洩やサービス停止を防ぐことができ、顧客データも保護できる。

WAFにはソフトウェア型、アプライアンス型、クラウドサービス型の3種類があり、企業のシステムやネットワークの状況に合わせて選択できる。
（狐塚淳）