WAFとは？Webアプリを守る仕組みを理解する【情報セキュリティマネジメント】 | AI・データサイエンス・IT学習ノート

WAFはWebアプリを守る仕組みを理解するための用語です。この記事では仕組み・役割・使いどころを押さえ、SG試験と情報セキュリティマネジメント試験で狙われるひっかけポイントを解説します。

sg security_measures unauthorized_access network sg-security-measures

まず結論

WAFとは、Webアプリケーションへの攻撃を検知・遮断する仕組みです。
SG試験では「通信内容を見て攻撃をブロックする対策かどうか」を判断できるかがポイントです。

直感的な説明

WAFは「Web専用の門番」です。

普通のファイアウォールが「通していい通信か」を見るのに対して、
WAFはその中身まで見て「危ないリクエストか」を判断します。

たとえば：

「変なSQL文が入っている」
「怪しいスクリプトが含まれている」

こういったリクエストを見つけて、アプリに届く前に止めるのがWAFです。

定義・仕組み

WAF（Web Application Firewall）は、

Webアプリケーションへの通信内容（HTTPリクエスト）を解析し、
攻撃と判断した場合に遮断する仕組み

です。

主な特徴：

SQLインジェクション対策
クロスサイトスクリプティング（XSS）対策
不正な入力データの検知

仕組みとしては：

リクエストの中身をチェック
ルール（シグネチャ）と照合
攻撃と判断したら遮断

👉 ポイントは
「通信内容（中身）を見て判断する」ことです。

どんな場面で使う？

使うべき場面

Webサービスを公開している場合
入力フォームやログイン機能があるシステム
SQLインジェクションやXSS対策を強化したいとき

誤解しやすい場面

OSやネットワーク全体の防御と混同しやすい
→ WAFはWebアプリ限定の対策です

よくある誤解・混同

❌ よくある誤解

「プログラムの動作範囲を制限する仕組み」
「侵入者をおびき寄せる仕組み」

⭕ 正しい理解

通信内容を解析して攻撃を遮断する仕組み

SG試験でのひっかけ

SG試験では次のように混同させてきます。

「実行範囲を制限する」
　→ サンドボックス
「侵入者を誘導して監視する」
　→ ハニーポット
「通信の中身を見て攻撃を遮断する」
　→ WAF（これが正解）

👉 選択肢では
「攻撃と判定した通信を遮断する」と書かれていたらWAFです。

確認問題（SG試験対策）

次のうち、WAFの役割として最も適切なものはどれか。

A. Webアプリケーションへの通信を検査し、SQLインジェクションやXSSなどを防ぐ。 B. 端末へIPアドレスを自動的に割り当てる。 C. 証明書の失効状態をリアルタイムで確認する。 D. システムの稼働率を契約で保証する。

▶ クリックして答えと解説を見る（ここを開く）

正解：A

解説

A：WAFはWebアプリケーション層の攻撃を検査・防御します。
B：DHCPの説明です。
C：OCSPの説明です。
D：SLAの説明です。

👉 判断ポイント WAFは「Webアプリケーション層」、ファイアウォールは主に通信の送信元・宛先・ポートで切り分ける。

まとめ（試験直前用）

WAF＝Webアプリへの攻撃を検知・遮断する仕組み
通信の「中身」を見て判断するのが特徴
SQLインジェクション・XSS対策に使う
SG試験では
→ サンドボックス・ハニーポットとの違いで出題されやすい

🔗 関連記事

🏠 情報セキュリティマネジメントトップに戻る