--- title: "WAFとDDoS対策。公開しているWebサイトの守り方｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/waf-ddos-protection/ description: "公開しているWebサイトは、事業者が自動でかけるDDoSの保護、WAF、弱点の修正の3段で守ります。それぞれが受け持つ範囲と、WAFを止めずに試してから使う運用の進め方を説明します。" updated: 2026-11-14 publisher: "アメリア・テクノロジー株式会社" --- # WAFとDDoS対策。公開しているWebサイトの守り方 公開しているWebサイトは、事業者が自動でかけるDDoSの保護、WAF、弱点の修正の3段で守ります。それぞれが受け持つ範囲と、WAFを止めずに試してから使う運用の進め方を説明します。 2026.11.14 [クラウドと運用](https://www.ameliatechnology.co.jp/blog/category/cloud/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） クラウドと運用（CLOUD & OPERATIONS）のコラム ## この記事の要点 - 3つのクラウドとも、ネットワークの層（L3・L4）の代表的なDDoS攻撃には、追加の設定なしで働く保護を用意しています。 - Webの仕組みの層（L7）の攻撃は、WAFで条件を決めて止めます。WAFはプログラムの弱点そのものを直すものではないため、修正と組み合わせます。 - WAFは、まず止めずに記録する形で様子を見て、誤って止めた通信の扱いと、ルールの見直しの担当を決めてから本番で止めます。 公開しているWebサイトは、クラウドの事業者が自動でかけているDDoSの保護を土台に、Webの仕組みの層の攻撃をWAFで止め、プログラムの弱点そのものは修正で塞ぐ、という3段で守ります。どれか1つで全部を守れるわけではないため、それぞれが受け持つ範囲を知っておくことが大切です。 ## 2種類の攻撃と、守る層 Webサイトへの攻撃は、大きく分けて、大量の通信を送りつけてサイトを止める攻撃と、Webの仕組みの弱点を突いて情報を盗んだり書き換えたりする攻撃があります。前者を[DDoS](https://www.ameliatechnology.co.jp/glossary/ddos/)攻撃と呼びます。 通信の仕組みは層に分けて説明されることが多く、DDoS攻撃にも、ネットワークの層（L3・L4）を大量の通信であふれさせるものと、Webの仕組みの層（L7）に大量の要求を送るものがあります。Webの仕組みの弱点を突く攻撃は、L7で起きます。代表的なものに、[SQLインジェクション](https://www.ameliatechnology.co.jp/glossary/sql-injection/)や[クロスサイトスクリプティング](https://www.ameliatechnology.co.jp/glossary/xss/)があります。 ## 事業者が自動でかける保護 3つのクラウドとも、ネットワークの層（L3・L4）の代表的なDDoS攻撃に対しては、追加の設定なしで働く保護を用意しています。2026年11月時点の公式の説明は、次のとおりです。 - **AWS**：AWS Shield Standard は、すべての利用者に追加の料金なしで自動で働き、よく起きるネットワークの層とトランスポートの層のDDoS攻撃から守ります。Amazon Route 53、Amazon CloudFront、AWS Global Accelerator では、より手厚い保護になると説明されています - **Microsoft Azure**：仮想ネットワークに置かない仕組みにも、基盤の層の既定のDDoSの保護が働き、よくあるネットワークの層の攻撃を防ぎます。仮想ネットワークの資源向けには、有料の DDoS Network Protection と、守るIPアドレスごとに料金がかかる DDoS IP Protection があります - **Google Cloud**：Google Cloud Armor は、L3・L4 の大量の通信やプロトコルを使ったDDoS攻撃から、常に守ると説明されています 出典：[AWS Shield Standard overview（AWS）](https://docs.aws.amazon.com/waf/latest/developerguide/ddos-standard-summary.html) 出典：[Azure DDoS Protection overview（Microsoft Learn）](https://learn.microsoft.com/en-us/azure/ddos-protection/ddos-protection-overview) 出典：[Cloud Armor overview（Google Cloud）](https://docs.cloud.google.com/armor/docs/cloud-armor-overview) 一方で、Webの仕組みの層の守りは、利用者が別に用意します。Microsoft は、Azure DDoS Protection が守るのは L3・L4 で、L7 のWebアプリケーションの保護にはWAFを加える必要があると説明しています。Google Cloud も、HTTPの大量の要求のような L7 のDDoS攻撃を防ぐには、ルールを決めたセキュリティのポリシーが要るとしています。 出典：[Azure DDoS Protection overview（Microsoft Learn）](https://learn.microsoft.com/en-us/azure/ddos-protection/ddos-protection-overview) 出典：[Cloud Armor overview（Google Cloud）](https://docs.cloud.google.com/armor/docs/cloud-armor-overview) 攻撃の層と、守りの受け持ち - **ネットワークの層（L3・L4）のDDoS**：3つのクラウドとも、事業者の保護が**追加の設定なしで**働く（AWS Shield Standard、Azure の既定の保護、Google Cloud Armor） - **Webの仕組みの層（L7）**：利用者が別に用意する。WAF や、ルールを決めたセキュリティのポリシーで止める ## WAFで守る範囲 [WAF](https://www.ameliatechnology.co.jp/glossary/waf/)とは、Webサイトに届く要求の中身を見て、決めた条件に当たるものを止める仕組みです。AWS WAF は、守っているWebの資源に届く HTTP(S) の要求を見張り、送り元のIPアドレスや、問い合わせの文字列の値などの条件にもとづいて、通すか、拒否（403）するか、決めた応答を返すかを分けると説明しています。守れる資源には、Amazon CloudFront、Application Load Balancer、Amazon API Gateway などがあります。 出典：[What is AWS WAF?（AWS）](https://docs.aws.amazon.com/waf/latest/developerguide/waf-chapter.html) WAFのルールは、一から書くより、事業者などが用意したルールの集まりから始めるのが一般的です。Google Cloud Armor には、OWASP Top 10 のリスクに向けた設定済みのルールがあり、OWASP ModSecurity Core Rule Set をもとにしていると説明されています。Google Cloud は、誤って止めやすい項目を外すなど、ルールを調整できるとしています。 出典：[Cloud Armor overview（Google Cloud）](https://docs.cloud.google.com/armor/docs/cloud-armor-overview) WAFを置く場所は、Webサイトの手前にある配信の仕組み（[CDN](https://www.ameliatechnology.co.jp/glossary/cdn/)）や[ロードバランサー](https://www.ameliatechnology.co.jp/glossary/load-balancer/)です。どこに置けるかは事業者と仕組みによって違うため、いまの構成で、すべての入口がWAFを通るかを確かめます。WAFを通らない裏口（サーバーに直接つながるアドレスなど）が残っていると、そこから攻撃されます。 ## WAFだけでは足りないこと WAFは決めた条件で要求を止める仕組みのため、プログラムの弱点そのものを直すものではありません。ルールに当たらない形の攻撃は通り抜けることがあり、反対に、正しい要求を誤って止めることもあります。 そのため、WAFは、プログラムの弱点を直すまでの間の守りや、知られた攻撃の型をまとめて止める守りとして使い、弱点の修正と組み合わせます。Webの仕組みの作り方の基本は、[Webシステムのセキュリティ対策の基本](https://www.ameliatechnology.co.jp/blog/web-security-basics/)で説明しています。弱点を見つける方法は、[ペネトレーションテストと脆弱性診断の違い。どちらを頼むか](https://www.ameliatechnology.co.jp/blog/pentest-vs-vulnerability-assessment/)にまとめています。 また、DDoSの保護やWAFがあっても、攻撃の通信を受けて自動で[規模を広げる](https://www.ameliatechnology.co.jp/glossary/auto-scaling/)設定にしていると、通信の量に応じて費用が増えることがあります。上限の設定や、費用の通知と組み合わせておきます。 ## 運用で決めておくこと WAFは、置いて終わりではなく、記録を見てルールを直し続ける運用が要ります。始めるときは、次の順で進めると、正しい利用者の要求を誤って止める事故を減らせます。 1. **記録だけにする**：最初はルールに当たった要求を止めずに記録する設定で動かし、どんな要求が当たるかを見る 2. **誤りを確かめる**：正しい要求が当たっているルールを見つけ、外すか条件を直す 3. **止める**：確かめたルールから順に、止める設定に切り替える 4. **見直しの担当を決める**：サイトの改修のときや、問い合わせで「画面が開かない」と言われたときに、誰が記録を見てルールを直すかを決めておく WAFとDDoSの保護の記録は、ほかの[ログ](https://www.ameliatechnology.co.jp/glossary/log/)と同じ場所に集めておくと、攻撃の時期や中身を後から追いやすくなります。攻撃でサイトが止まったときの連絡と一次対応の流れは、[障害が起きたときの一次対応。連絡の流れと手順書](https://www.ameliatechnology.co.jp/blog/cloud-incident-first-response/)で説明しています。 ## 当社のご支援 アメリア・テクノロジーの[クラウドの構築と運用管理](https://www.ameliatechnology.co.jp/service/cloud/)では、WAFとDDoSの保護の設定、記録を見ながらのルールの調整、WAFを通らない入口の確認をお手伝いしています。Webの仕組みの弱点を見つけて直す作業は、[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)や[Webシステム開発](https://www.ameliatechnology.co.jp/service/web-system/)のチームと連携します。当社が構築・運用している環境の診断は、自己点検として報告します。 - WAF - DDoS - Webサイト - クラウド ## この記事に出てくる用語 - [Webサイト](https://www.ameliatechnology.co.jp/glossary/website/) - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) - [DDoS攻撃](https://www.ameliatechnology.co.jp/glossary/ddos/) - [WAF](https://www.ameliatechnology.co.jp/glossary/waf/) - [SQL](https://www.ameliatechnology.co.jp/glossary/sql/) - [SQLインジェクション](https://www.ameliatechnology.co.jp/glossary/sql-injection/) - [クロスサイトスクリプティング（XSS）](https://www.ameliatechnology.co.jp/glossary/xss/) - [AWS（Amazon Web Services）](https://www.ameliatechnology.co.jp/glossary/aws/) この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [Windowsサーバーと Active Directory を Azure へ移すときの考え方](https://www.ameliatechnology.co.jp/blog/windows-ad-to-azure/) - [Google Cloud を選ぶ場面。データ分析と Google Workspace とのつながり](https://www.ameliatechnology.co.jp/blog/when-to-choose-google-cloud/) - [Well-Architected の柱で、いまの構成を確かめる](https://www.ameliatechnology.co.jp/blog/well-architected-review/) [クラウドと運用のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/cloud/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### クラウドの構築と運用を任せる AWS・Microsoft Azure・Google Cloud の設計・構築・移行から、監視・運用・セキュリティまでを一つのチームで受け持ちます。監視は仕組みで24時間365日自動に回し、原因の調査と再発の防止は当社が担います。 [クラウドの構築と運用管理を見る](https://www.ameliatechnology.co.jp/service/cloud/) ### クラウドの状態を、無料で確かめる 15の設問に答えると、構成と管理・権限・守り・障害への備え・費用と体制の5つの分野の点数と、最初に取り組むことをまとめたレポートをその場でお届けします。 [クラウドの自己診断（無料）を受ける](https://www.ameliatechnology.co.jp/diagnosis/cloud/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「WAFとDDoS対策。公開しているWebサイトの守り方｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/waf-ddos-protection/