いま知りたいWAF特集 第1回 WAFの歴史 | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.06.29(木)

いま知りたいWAF特集 第1回 WAFの歴史

特集 特集

最近、Apache Struts2やWordPressなどのCMSに対する攻撃、Webサイトのパスワードリスト攻撃などWebサイトに対する攻撃は増える一方だ。その攻撃に対する有効な防御手段としてWAF(Web Application Firewall)が注目され、導入している企業も多くなってきている。そこで以前からWAFの評価や導入に広く携わっている、HASHコンサルティング株式会社の徳丸浩氏にWAFについてのお話を伺った。

※本記事は有料版メールマガジンに全文を掲載しました

──これまでのWAFの進化について教えていただけますか

2003年くらいからWAFを扱っていたので、そのあたりから振り返りますと、以前はSQLのキーワード…WHEREとかUNIONとか… キーワードと、シングルクオートのような記号の単純な組み合わせを見て防御していました。

○○が割とそういう感じのシグネチャとまでいえないようなブラックリストを使っていまして、今もちょっとその名残を持っていますけど、例えばフランス語だとあの、アポストロフィor('or)という語尾の単語が結構あって、それだけで誤検知してしまうということがありましたし、検知漏れもかなりあって、あまり使い物にならなかったというのがあります。

それでもあまり文字を入れないような、金額とか、A-001とかそういうコードが主体のサイトだったら使えたかもしれないのですが、今のようなSNSとかブログとか、さまざまな文字列を入れるようなサイトだと使い物にならないです。これらが第1世代ですね。

他に今は売られてないWAFですけども、脆弱性スキャナと連動して、脆弱性があったところだけ防御設定するようなものもありました。私はすばらしいなと思って代理店にまでなったんですけど… スキャナの性能も悪くて検知も弱いし、これも結局いまいちでした。

──ブラックリストだけではまだうまくいかなったんですね

第2世代で、ホワイトリストというのが出てきました。ホワイトリストが出てきた背景は今言ったような理由に加えて、おそらくIPSと差別化をするためです。当時必ずIPSとどこが違うんですか?と聞かれたんですよ。

そこでWAFはIPSのようなシグネチャブラックリストではなくて、ホワイトリストによりそのアプリケーションが許したものだけを通す、そういう素晴らしいものなんですという、宣伝をして売り出したんです。

でも、ホワイトリストの設定がめんどうくさいなあということで、学習機能なるものが現れました。これが第3、あるいは2.5世代くらいのWAFということになります。

で、私はホワイトリストに関してはずっと懐疑的に見ておりまして、設定がそもそも面倒くさいですし、ホワイトリストでは誤入力と攻撃が区別できないということもあります。郵便番号11aとうっかり入れてしまったことと攻撃は、ホワイトリストでは区別が付かない、それはどちらも入力できない文字列、文字データであって区別できません。

──確かにただ間違えただけなのに攻撃と勘違いされるのは怖いです

いずれにせよ、変な文字入れちゃったら、WAFから「それは許されていません!」みたいな、その恐ろしいメッセージが出てくる、それはちょっとユーザビリティが下がるよね、というがありました。

また、学習機能はなかなか難しいよね、というのもあります。学習機能も、別の某社とかは大変力を入れてやったようですけど、よくある学習機能の問題は、誤入力してしまうと誤入力を学習しちゃいますので、学習設定中に誤入力ができないことなんですね。

いろいろ閾値を設けたりしていろいろ工夫はしたようですけど、本番運用では普通に利用者は間違えるし、攻撃もすでに来ている可能性があるので、学習できません。そうなると本番前に正しい値だけを入れるような学習期間を設けないといけない、でもそれは漏れも生ずるし、いわゆるテストの最中はやっぱり膨大に異常系が、むしろ異常系の方がテストの場合多いような感じなので、それは学習には使えない、ということで、結局いろいろ問題がありました。

これらのことからホワイトリストは使えないだろうな、と思っていたら、やはり衰退に向かっていった、というのが2008~2009年くらいの状況じゃないですかね。

そして結局あんまり売れなかったんですよね。当時のWAFというのは、値段が高いせいもありましたが、まあ、一声500万円くらいしましたかね、当時のWAFは、それからまた設定とかいって、まあトータルで1,000万円近い案件になって。

安い製品は大手さん扱わないですよね、まあ彼らの値頃感としてはよかったんですけど、ユーザーさんにとって500万、箱だけで500万、設定したら1,000万、そういう買い物だったわけですよ。で、当然のように売れなかったというの、考えまして、2008年でしたかね、ブログにこれからはブラックリストが主流じゃないかという話を書きました。

──そしてまたブラックリストが再び主流に

ちょうどその頃から、○△と□□がシグネチャ主流のWAFということで出てきて、その後、ホワイトリストを宣伝してた△▽とか×○も実はシグネチャは結構ちゃんとしてるんだというのがわかってですね、こっちで売っていけばいいのにと思ってたら、いつの間にかどこもホワイトリストって言わなくなってしまったと。

私ちょっと怒ってましてですね、ケジメを君たち付けないの? ホワイトリストは間違っておりました、って誰も言わないですよね。フェイドアウト、なかったことにしようと。でも、まあ予言が当たるとまあうれしいので、でも元通りになったなあという感じで。それが現在ですね。

で、現在の主要なWAFはもうシグネチャということになっています。今のWAFは結構シグネチャの数も多くてですね、複雑なシグネチャが入ってるんです。これはWAF側のハードウェア性能が上がったというのが背景にあると思います。

昔はたくさんの複雑なシグネチャを処理するほどの能力がなくて、単純化しないといけなかったという事情もあったんだと思うんですね。で、最近はご存じのようにCPUパワーが割と安い方の資源ですので、CPU資源をふんだんに使っても大丈夫、並列処理とかもできるでしょうから。

ですから、現在はシグネチャのよさを競うということになっているのではないかと思います。シグネチャの善し悪しってなかなか比較が難しいんですけどね。

(聞き手・文:山本洋介山)

※本記事は有料版メールマガジンに全文を掲載しました
《》

関連記事

Scan PREMIUM 会員限定

もっと見る

Scan PREMIUM 会員限定特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

特集 カテゴリの人気記事 MONTHLY ランキング

  1. サイバーセキュリティ経営ガイドラインがあと一歩「惜しい」理由

    サイバーセキュリティ経営ガイドラインがあと一歩「惜しい」理由

  2. ペネトレーションテスターは見た! 第2回「誰が困る? 脆弱性出すぎ問題」

    ペネトレーションテスターは見た! 第2回「誰が困る? 脆弱性出すぎ問題」

  3. 七瀬 晶 作 「自動走行車の行方」- 起こりうる事件 来たるべき世界 ~ サイバーミステリ小説アンソロジー

    七瀬 晶 作 「自動走行車の行方」- 起こりうる事件 来たるべき世界 ~ サイバーミステリ小説アンソロジー

  4. ペネトレーションテスターは見た! 第1回「ペンテスターの苦悩 ~ 脆弱性が見つからないのは○○だから?」

  5. [数字でわかるサイバーセキュリティ]情報漏洩が企業の大きな懸案事項に、約1万5千人分の個人情報を従業員が持ち出し

  6. [セキュリティ ホットトピック] ランサムウェア「WannaCry」被害概況

  7. 一田 和樹 作 「さよならアカウント」- 起こりうる事件 来たるべき世界 ~ サイバーミステリ小説アンソロジー

  8. クラウドセキュリティ認証「ISO 27017」「ISO 27018」の違いとは? ~クラウドのよさを活かす認証コンサル LRM 社 幸松 哲也 社長に聞く

  9. 工藤伸治のセキュリティ事件簿 シーズン6 「誤算」 第1回「プロローグ:七月十日 夕方 犯人」

  10. ISMS認証とは何か■第1回■

全カテゴリランキング

特集

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×