最終更新日：
WAFとは、Webアプリケーションへの通信の中身を調べ、攻撃とみられる要求を止める仕組みです。
WAFは Web Application Firewall の略です。SQLインジェクションやクロスサイトスクリプティングのような、Webアプリケーションの弱点をねらう要求を、決まった規則（シグネチャ）や振る舞いから見分けて止めます。機器やソフトウェアのほか、クラウドのサービスとしても提供されています。
アプリケーションの脆弱性をすぐに直せない場合の一時的な守りや、対策を重ねる守りの一つとして使われます。問い合わせのフォームや会員のログインがあるサイトでは、導入が検討されることが多くあります。いまのサイトに、後から加えやすい点も利点です。
WAFはアプリケーションの不具合そのものを直すものではなく、すべての攻撃を止められるわけでもありません。正しい要求を誤って止めることもあるため、導入後は記録を見て規則を調整します。脆弱性の修正を後回しにする理由にはしないようにします。
関連する用語
- ファイアウォールネットワークの境目で通信を見張り、決めた規則に合わない通信を通さない仕組みです。
- SQLインジェクションWebアプリケーションの入力欄などに細工した文字列を入れ、データベースを不正に操作する攻撃です。
- クロスサイトスクリプティング（XSS）Webページに悪意のあるスクリプトを紛れ込ませ、閲覧した人のブラウザで実行させる攻撃です。
- 脆弱性ソフトウェアや設定にある、攻撃に悪用されうるセキュリティ上の弱点です。