株式会社BlueAI は 2026年度 IT導入支援事業者に採択されました 詳しく見る
BlueAI セキュリティ
メニュー

用語集・ネットワークと境界

WAF

Web Application Firewall

WAF（Web Application Firewall）は、Webサイトとの通信の中身を検査し、Webアプリの脆弱性を狙う攻撃を検出して止める仕組みである。

別の呼び方 ウェブアプリケーションファイアウォール、Webアプリケーションファイアウォール、WAAP

要点

  • 意味 WAF（Web Application Firewall）は、Webサイトとの通信の中身を検査し、Webアプリの脆弱性を狙う攻撃を検出して止める仕組みです。
  • 中小企業にとって Webサイトは誰でも接続できるよう公開するため、通常のファイアウォールでは中身を狙う攻撃を止められない。
  • このサイトでは 攻撃手法 2 種、事例 2 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。

中小企業にとっての意味

  • Webサイトは誰でも接続できるよう公開するため、通常のファイアウォールでは中身を狙う攻撃を止められない。

  • 脆弱性の修正に時間がかかるときに、攻撃の影響を下げる手段として使える。

  • 自社でサーバを持たない会社でも、レンタルサーバやクラウドのWAF機能を有効にし、検知ログを見る担当を決めるところから始められる。

よくある誤解

誤解WAFを入れれば脆弱性を直さなくてよい
実際IPAは、WAFは脆弱性を修正する根本的な対策ではなく、攻撃による影響を低減する対策であると位置づけている。修正までのつなぎとして使い、脆弱性そのものは直す必要がある。
誤解WAFは攻撃をすべて止め、正常な利用は一切邪魔しない
実際IPAは、WAFを導入してもすべての攻撃を防げるわけではなく、正常な通信を誤って止める偽陽性や、攻撃を見逃す偽陰性が起きうるとしている。

このサイトの手口と事例との関係

関係は、それぞれのページに収録した記録の範囲で書いています。

  • 攻撃手法SQLインジェクション

    IPAはWAFが通信内容からSQLインジェクション攻撃の特徴的なパターンを見つけて遮断できる例を挙げており、この手口への影響低減策に当たる。

  • 攻撃手法クロスサイトスクリプティング

    NISTはWAFがクロスサイトスクリプティングを含むWebの攻撃を検査できるとしており、この手口への影響低減策の一つになる。

  • 事例MOVEit Transfer

    記録では公開されたファイル転送製品の未知のSQLインジェクションを突かれており、WAFはこの種の攻撃の影響を下げる手段になりうるが、記録の対策は緊急パッチの適用や公開資産の棚卸しである。

  • 事例GMOリサーチ&AI「infoQ」

    記録ではサイトで使用していたソフトウェアの脆弱性を悪用されており、対策としてパッチ適用の迅速化と自社監視の強化が挙げられている。

このテーマ

セキュリティ用語集

同じテーマのページをまとめて読めます。

次に読む

出典

最終確認日 （2026年10月24日）

監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）