【エンジニア／情シス担当者必見！】セキュリティサービスの必要性

サイバー攻撃の現状とセキュリティサービス【WAF】の必要性～後編～

前回は、「サイバー攻撃の現状」についてお話しいたしました。

サイバー攻撃の実態を理解頂いたうえで今回は、セキュリティサービスの必要性について解説していきます。

Webサービスに対するセキュリティ対策として最もお勧めしたいのは、「WAF」や「不正侵入防止・検知」サービスです。

上の図は、主なサイバー攻撃と対応するセキュリティサービスのイメージです。

仕掛けられるサイバー攻撃の種類ごとに、対応できるセキュリティサービスは異なります。

前回紹介したSQLインジェクション、ブルートフォースアタックといった攻撃にはWAFと呼ばれるウェブアプリケーションファイアウォールが有効ですが、DoS攻撃やDDoS攻撃は基本的にはWAFだけで防げるものではありません。

これはサイバー攻撃の対象となる場所・レイヤーが攻撃の種類によって異なっているからです。そのため、サイバー攻撃によるセキュリティリスクを最小限にとどめるには、各所での対策を積み上げていく必要があります。

こちらは、セキュリティ対策を積み上げていけば、セキュリティリスクがより低くなっていくというイメージ図です。

図の下にあるものほど、基本的なセキュリティ対策の位置づけだと考えてください。

各種セキュリティ対策を積み上げていくほど、セキュリティリスクを減少させることができますが、リスクを「０」にすることはできません。

セキュリティサービスは日進月歩で進化しているものの、サイバー攻撃も同様に、ゼロデイ攻撃など常に進化しているため、いたちごっこのような状態ではありますが、運営しているWebサービスに最適なセキュリティ対策を選択し、効果的に積み上げることでセキュリティインシデントのリスクを少しでも減らすことは可能です。

セキュリティサービス「WAF」とは

WAFとは、Web Application Firewallの略で、Webアプリケーションの脆弱性をついた攻撃から、Webサイトを守るためのセキュリティ対策を指します。

では、なぜWAFが必要なのでしょうか？

その理由の1つ目は、WebサービスやECサイトのように「ユーザーが入力」を行うなどのリクエストに応じて「動的ページを生成する」Webシステムの場合、より多くの脆弱性を含んでいる可能性があることから、悪意ある第3者がアクセスできるポイントが多く存在します。すなわち、サイバー攻撃を受ける可能性が高いことから、Webサイトを守るためにWAFが必要になってきます。

2つ目の理由は、ネットワークやOSといった領域は、アクセスを制限することでサイバー攻撃をブロックすることも可能ですが、Webサービスは一般に公開され、アクセス制限がかけられないため、攻撃の標的になりやすいという背景があります。

Webサービスのセキュリティ対策として、一般的に「WAF」がお勧めされる理由はこの2点にあります。

WAFで防げる主な攻撃

それではWAFを導入することで具体的にはどういった攻撃が防げるのでしょうか？

詳細な説明は割愛しますが、下記のようなサイバー攻撃を防ぐことができます。

・ブルートフォースアタック　　　　・SQLインジェクション

・クロスサイトスクリプティング　　・ディレクトリトラバーサル

・OSコマンドインジェクション　　・改行コードインジェクション

・コマンドインジェクション　　　　・LDAPインジェクション

・ファイルインクルード　　　　　　・URLエンコード攻撃

「WAF」の種類

ここからは具体的なWAFの種類について説明をしていきます。

WAFには「アプライアンス型」「ホスト型」「クラウド型」といった3タイプがあります。

まずは「アプライアンス型」についてご説明します。

ネットワーク上に専用のWAF機器を設置します。このタイプは対象の環境に専用のWAF機器を設置することにより、柔軟にカスタマイズして最適な環境を実現できますが、機器導入の費用が高額になり、運用の際にも専用の技術者が必要になります。

2つめは「ホスト型」です。

対象のサーバーにWAFをインストールしてサイバー攻撃を防ぎます。このタイプは先ほどのアプライアンス型のように、専用のWAF機器を用意する必要がないので、初期導入時の費用を抑えることができます。

ただし、サーバー内で動作するため、攻撃を遮断する際にサーバーへ負荷がかかります。

また、サーバーごとにライセンスが必要になるので、サーバー台数の多い環境ではランニングコストが高くなる場合があります。

3つめは「クラウド型」です。

WAFベンダーが提供するWAFサーバーを経由して、対象のサーバーにアクセスをすることでサイバー攻撃を防ぎます。このタイプはホスト型と同様に専用のWAF機器を用意する必要がないので、初期導入時の費用を抑えることができます。

また、WAFサーバーはセキュリティベンダーが管理をしているため、利用者が運用や保守を行う必要がありません。

クラウド型WAF国内No１のサービス「攻撃遮断くん」

3タイプのWAFについて説明しましたが、実際に導入を検討する場合、どのタイプがいいの？と思われた方も多いのではないでしょうか。

導入する環境にもよりますが、より手軽に負荷なく導入が可能となるのはやはり「クラウド型」のWAFです。

今回は、さくらインターネットさんのマーケットプレイスでも提供しているクラウド型のWAFである「攻撃遮断くん」をご紹介いたします。

「攻撃遮断くん」は、株式会社サイバーセキュリティクラウド社が提供するWAF製品であり、2021年時点で、導入社数・導入サイト数ともに国内No１となっております。

お勧めポイント

サブスクリプション方式で、WAFの導入・利用が可能
WAFのルール運用はお任せできるため、セキュリティエンジニアは必要なし
日本国内に拠点を構えたベンダーなので、国内の情勢に合わせた運用を実施
24時間365日、日本人スタッフによる手厚いサポート
新たな脅威に瞬時に対応。国内トップクラスの脆弱性対応スピード

ディープラーニング（深層学習）を用いた攻撃検知AIエンジン「Cyneural」を活用し、一般的な攻撃の検知はもちろん、未知の攻撃の発見、誤検知の発見を高速に行うとともに、世界有数の脅威インテリジェンスチーム「Cyhorus」により、最新の脅威にもいち早く対応します。

海外製のセキュリティソリューションが多い中で、「攻撃遮断くん」は、国内企業が提供している安心の日本製サービスで、サポート体制もしっかりと充実しており、導入時に発行される管理画面からはリアルタイムな攻撃状況の確認やレポート出力も可能です。

まとめ

まずは、サイバー攻撃の手法や対策を正しく「知る」ことが重要です。

そして対策について正しく理解し、適切に対策を施すことが必要不可欠です。

セキュリティサービスを導入したとしても、セキュリティリスクを0にすることは不可能ですが、最低限決められた予算の中でより自社のサービスに対して適切な対策を行い、セキュリティリスクを限りなく低くすることが、Webサービスを運営する企業の経営者、管理者、エンジニアに求められている現状です。

明日は我が身のサイバー攻撃から自社のサイトやクライアントのWebサービスを守るために、まず第一歩を踏み出しましょう！

先ほどご紹介した、クラウド型WAFの攻撃遮断くんについては、さくらのマーケットプレイスよりお申込みが可能です。

導入サポートは、弊社ネットアシストが担当しておりますので、お気軽にお問い合わせください。