WAFとDDoS対策。公開しているWebサイトの守り方

公開しているWebサイトは、クラウドの事業者が自動でかけているDDoSの保護を土台に、Webの仕組みの層の攻撃をWAFで止め、プログラムの弱点そのものは修正で塞ぐ、という3段で守ります。どれか1つで全部を守れるわけではないため、それぞれが受け持つ範囲を知っておくことが大切です。

2種類の攻撃と、守る層

Webサイトへの攻撃は、大きく分けて、大量の通信を送りつけてサイトを止める攻撃と、Webの仕組みの弱点を突いて情報を盗んだり書き換えたりする攻撃があります。前者をDDoS攻撃と呼びます。

通信の仕組みは層に分けて説明されることが多く、DDoS攻撃にも、ネットワークの層（L3・L4）を大量の通信であふれさせるものと、Webの仕組みの層（L7）に大量の要求を送るものがあります。Webの仕組みの弱点を突く攻撃は、L7で起きます。代表的なものに、SQLインジェクションやクロスサイトスクリプティングがあります。

事業者が自動でかける保護

3つのクラウドとも、ネットワークの層（L3・L4）の代表的なDDoS攻撃に対しては、追加の設定なしで働く保護を用意しています。2026年11月時点の公式の説明は、次のとおりです。

• AWS：AWS Shield Standard は、すべての利用者に追加の料金なしで自動で働き、よく起きるネットワークの層とトランスポートの層のDDoS攻撃から守ります。Amazon Route 53、Amazon CloudFront、AWS Global Accelerator では、より手厚い保護になると説明されています
• Microsoft Azure：仮想ネットワークに置かない仕組みにも、基盤の層の既定のDDoSの保護が働き、よくあるネットワークの層の攻撃を防ぎます。仮想ネットワークの資源向けには、有料の DDoS Network Protection と、守るIPアドレスごとに料金がかかる DDoS IP Protection があります
• Google Cloud：Google Cloud Armor は、L3・L4 の大量の通信やプロトコルを使ったDDoS攻撃から、常に守ると説明されています

出典：AWS Shield Standard overview（AWS）

出典：Azure DDoS Protection overview（Microsoft Learn）

出典：Cloud Armor overview（Google Cloud）

一方で、Webの仕組みの層の守りは、利用者が別に用意します。Microsoft は、Azure DDoS Protection が守るのは L3・L4 で、L7 のWebアプリケーションの保護にはWAFを加える必要があると説明しています。Google Cloud も、HTTPの大量の要求のような L7 のDDoS攻撃を防ぐには、ルールを決めたセキュリティのポリシーが要るとしています。

出典：Azure DDoS Protection overview（Microsoft Learn）

出典：Cloud Armor overview（Google Cloud）

WAFで守る範囲

WAFとは、Webサイトに届く要求の中身を見て、決めた条件に当たるものを止める仕組みです。AWS WAF は、守っているWebの資源に届く HTTP(S) の要求を見張り、送り元のIPアドレスや、問い合わせの文字列の値などの条件にもとづいて、通すか、拒否（403）するか、決めた応答を返すかを分けると説明しています。守れる資源には、Amazon CloudFront、Application Load Balancer、Amazon API Gateway などがあります。

出典：What is AWS WAF?（AWS）

WAFのルールは、一から書くより、事業者などが用意したルールの集まりから始めるのが一般的です。Google Cloud Armor には、OWASP Top 10 のリスクに向けた設定済みのルールがあり、OWASP ModSecurity Core Rule Set をもとにしていると説明されています。Google Cloud は、誤って止めやすい項目を外すなど、ルールを調整できるとしています。

出典：Cloud Armor overview（Google Cloud）

WAFを置く場所は、Webサイトの手前にある配信の仕組み（CDN）やロードバランサーです。どこに置けるかは事業者と仕組みによって違うため、いまの構成で、すべての入口がWAFを通るかを確かめます。WAFを通らない裏口（サーバーに直接つながるアドレスなど）が残っていると、そこから攻撃されます。

WAFだけでは足りないこと

WAFは決めた条件で要求を止める仕組みのため、プログラムの弱点そのものを直すものではありません。ルールに当たらない形の攻撃は通り抜けることがあり、反対に、正しい要求を誤って止めることもあります。

そのため、WAFは、プログラムの弱点を直すまでの間の守りや、知られた攻撃の型をまとめて止める守りとして使い、弱点の修正と組み合わせます。Webの仕組みの作り方の基本は、Webシステムのセキュリティ対策の基本で説明しています。弱点を見つける方法は、ペネトレーションテストと脆弱性診断の違い。どちらを頼むかにまとめています。

また、DDoSの保護やWAFがあっても、攻撃の通信を受けて自動で規模を広げる設定にしていると、通信の量に応じて費用が増えることがあります。上限の設定や、費用の通知と組み合わせておきます。

運用で決めておくこと

WAFは、置いて終わりではなく、記録を見てルールを直し続ける運用が要ります。始めるときは、次の順で進めると、正しい利用者の要求を誤って止める事故を減らせます。

1. 記録だけにする：最初はルールに当たった要求を止めずに記録する設定で動かし、どんな要求が当たるかを見る
2. 誤りを確かめる：正しい要求が当たっているルールを見つけ、外すか条件を直す
3. 止める：確かめたルールから順に、止める設定に切り替える
4. 見直しの担当を決める：サイトの改修のときや、問い合わせで「画面が開かない」と言われたときに、誰が記録を見てルールを直すかを決めておく

WAFとDDoSの保護の記録は、ほかのログと同じ場所に集めておくと、攻撃の時期や中身を後から追いやすくなります。攻撃でサイトが止まったときの連絡と一次対応の流れは、障害が起きたときの一次対応。連絡の流れと手順書で説明しています。

当社のご支援

アメリア・テクノロジーのクラウドの構築と運用管理では、WAFとDDoSの保護の設定、記録を見ながらのルールの調整、WAFを通らない入口の確認をお手伝いしています。Webの仕組みの弱点を見つけて直す作業は、セキュリティ診断と対策やWebシステム開発のチームと連携します。当社が構築・運用している環境の診断は、自己点検として報告します。