WAFとは何か――Webアプリケーションを守る「最後の砦」

Webサイトやアプリケーションに対する攻撃は年々増加している。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でもWebアプリケーションの脆弱性を突く攻撃は上位に位置し、とりわけ中小企業が被害を受けるケースが目立つ。ファイアウォールやIDS/IPSだけでは防げない攻撃に対処するために開発されたのが、WAF（Web Application Firewall）である。

WAFはHTTP/HTTPSの通信内容を検査し、SQLインジェクション、クロスサイトスクリプティング（XSS）、OSコマンドインジェクションなどの攻撃パターンを検知してブロックする。従来のネットワークファイアウォールがIPアドレスやポート番号で通信を制御するのに対し、WAFはアプリケーション層（レイヤー7）の通信内容そのものを解析する点が大きく異なる。

中小企業にとってWAFが重要な理由は明確だ。ECサイトや会員制サービスを運営していれば顧客の個人情報やクレジットカード情報を扱うことになり、漏えい時の損害賠償や信用失墜は事業存続に直結する。さらに2024年以降のPCI DSS v4.0準拠においてもWAFの導入が推奨要件として明記されており、対応は避けられない流れにある。

WAFの3つの導入形態と中小企業に向く理由

WAFの導入形態は大きく3つに分かれる。それぞれの特徴を理解したうえで、自社に合った方式を選ぶことが重要だ。

アプライアンス型

専用のハードウェアをネットワーク上に設置する方式。大規模トラフィックに対応でき、カスタマイズ性も高い。一方で導入費用が数百万円から数千万円になるケースが多く、運用には専任のセキュリティエンジニアが必要になる。大企業やデータセンター向けの選択肢であり、中小企業には費用面でハードルが高い。

ソフトウェア型

既存のWebサーバーにソフトウェアとしてインストールする方式。ModSecurityなどのオープンソース製品が代表的だ。ハードウェア費用は不要だが、ルールの設定やチューニングに高度な技術知識が求められる。誤検知の調整を自社で行う必要があるため、専任の技術者がいない企業には負担が大きい。

クラウド型（SaaS型）

DNS切り替えやリバースプロキシの設定だけで導入できるクラウドサービス。月額数万円から利用でき、ルールの更新やインフラの管理はサービス提供者が行う。導入の速さとコストの低さから、中小企業にとっては最も現実的な選択肢となっている。本記事ではこのクラウド型WAFを中心に解説する。

クラウド型WAF主要5製品の比較

中小企業が検討すべきクラウド型WAFを5つ取り上げ、機能と費用を比較する。なお、価格は2026年4月時点の公開情報に基づくものであり、契約条件により変動する。

AWS WAF

Amazon Web Servicesが提供するWAFサービス。AWS上でWebサイトやAPIを運用している場合は、CloudFrontやALB（Application Load Balancer）と直接統合できるため導入が容易だ。ルールは自社で設定する方式とAWS Marketplace上のマネージドルールを購入する方式がある。従量課金制で、基本料金はWebACLあたり月額5ドル、ルールあたり月額1ドル、100万リクエストあたり0.60ドルとなっている。AWSに精通したエンジニアがいれば柔軟な運用が可能だが、ルール設計を自社で行う必要がある点は留意すべきだ。

Cloudflare WAF

CDN（コンテンツデリバリーネットワーク）大手のCloudflareが提供するWAF。無料プランにも基本的なWAF機能が含まれており、Proプラン（月額20ドル/サイト）以上で本格的なWAFルールが利用できる。Businessプラン（月額200ドル/サイト）ではカスタムルールの上限が拡張される。CDNとDDoS防御が一体化しているため、パフォーマンス向上とセキュリティ強化を同時に実現できるのが強みだ。グローバル展開しているサイトにも適している。

Imperva Cloud WAF（旧Incapsula）

セキュリティ専業のImpervaが提供するクラウドWAF。OWASP Top 10への対応はもちろん、ボット管理やAPI保護など高度な機能を備える。Proプランは月額約350ドルから。脅威インテリジェンスの更新頻度が高く、ゼロデイ攻撃への対応速度に定評がある。グローバルでの導入実績が豊富で、金融機関やECサイトでの採用が多い。費用は他製品よりやや高めだが、セキュリティレベルの高さで選ばれている。

攻撃遮断くん

株式会社サイバーセキュリティクラウドが提供する国産クラウドWAF。日本語のサポートが充実しており、導入から運用まで日本語で完結する。月額1万円（税別）からのプランがあり、中小企業でも手が届きやすい価格設定だ。管理画面が直感的で、セキュリティの専門知識がなくても運用しやすい。国内約20,000サイト以上の導入実績を持ち、日本のWeb環境に特化したルールチューニングが行われている。

Scutum（スキュータム）

株式会社セキュアスカイ・テクノロジーが提供する国産クラウドWAF。11年連続で国内クラウドWAF市場シェアNo.1を獲得した実績を持つ（出典：富士キメラ総研調べ）。月額29,800円（税別）からの料金体系で、ピーク時のトラフィック量に応じたプランが用意されている。AI型のエンジンを搭載し、未知の攻撃パターンにも対応できる点が特徴だ。誤検知率の低さに定評があり、運用負荷を抑えたい企業に適している。

5製品の比較まとめ

選定のポイントは以下の3つに集約される。第一に、既存のインフラとの親和性。AWSを利用しているならAWS WAF、CDNも併せて導入したいならCloudflareが自然な選択肢となる。第二に、運用体制。自社にセキュリティエンジニアがいなければ、マネージドサービスとして運用を任せられる攻撃遮断くんやScutumが適している。第三に、コスト。トラフィック量が少ないサイトであればCloudflareのProプラン、複数サイトを一括で守りたい場合はScutumのようなパッケージ型が費用対効果に優れる。

WAF導入の具体的な手順

クラウド型WAFの導入は、以下の5ステップで進める。

ステップ1：保護対象の棚卸し

自社が運営するWebサイトやWebアプリケーションの一覧を作成する。ドメイン名、サーバーの所在地（オンプレミス/AWS/Azure等）、トラフィック量、取り扱うデータの種類（個人情報、決済情報など）を整理する。この棚卸しが不十分だと、保護すべきサイトが漏れるリスクがある。

ステップ2：製品の選定とトライアル

前述の比較を参考に候補を2〜3製品に絞り、無料トライアルやPoC（概念実証）を実施する。多くのクラウドWAFは14日から30日の無料試用期間を設けている。この期間中に、正常なアクセスがブロックされないか（誤検知の有無）を重点的に確認する。

ステップ3：DNS切り替えまたはプロキシ設定

クラウド型WAFの多くは、DNSのCNAMEレコードをWAFサービスのエンドポイントに向け変えるだけで導入できる。リバースプロキシ型の場合は、WAFサービスがWebサーバーの前段に位置する構成となる。この作業自体は数分で完了するが、DNS伝播に最大48時間程度かかる点を考慮してスケジュールを組む。

ステップ4：ルールのチューニング

導入直後は「検知モード（監視のみ）」で運用し、実際のトラフィックに対するWAFの判定結果をログで確認する。正常な通信が誤ってブロックされるケースがあれば、ホワイトリストの追加やルールの閾値調整を行う。この初期チューニングには通常2〜4週間を要する。

ステップ5：ブロックモードへの移行と継続運用

チューニングが完了したら「ブロックモード」に切り替え、攻撃を自動的に遮断する状態にする。以降は月次でログを確認し、新たな誤検知やルール更新の必要性がないかを点検する。サービス提供者からのルール更新通知にも注意を払い、適用漏れがないようにする。

誤検知対策――WAF運用の最大の課題を解決する

WAF導入後に最も多い課題が「誤検知（False Positive）」だ。正常なユーザーのアクセスや業務システムの通信がWAFによってブロックされると、サービスの可用性に直接影響する。誤検知を最小化するための対策を整理する。

段階的な導入

前述のとおり、導入直後はブロックモードではなく検知モード（ログ記録のみ）で運用する。十分なログを蓄積してから判定基準を確定することで、本番環境への影響を最小限に抑えられる。

ホワイトリストの適切な管理

特定のIPアドレス（社内ネットワークや連携先システム）、特定のURLパス（管理画面など）、特定のパラメータパターン（業務上必要な特殊文字を含むリクエスト）をホワイトリストに登録する。ただし、ホワイトリストの範囲を広げすぎると防御効果が低下するため、最小限の範囲に留めることが原則だ。

ルールの優先度設定

多くのWAF製品では、ルールごとに「ブロック」「ログのみ」「スコアリング」などのアクションを設定できる。誤検知が頻発するルールは一律でブロックするのではなく、スコアリング方式に変更し、複数のルールに該当した場合のみブロックする設定が有効だ。

定期的なログレビュー

月に1回はWAFのログを確認し、ブロックされたリクエストの中に正常な通信が含まれていないかを点検する。特にWebサイトの改修後やAPIの仕様変更後には、新たな誤検知が発生しやすいため重点的に確認する。

WAF導入にかかる費用の目安

中小企業がクラウド型WAFを導入する場合の費用感を整理する。

初期費用は多くのクラウドWAFで無料、または数万円程度だ。月額費用は保護するサイト数とトラフィック量によって変動するが、1サイトあたり月額1万円から30万円が相場となる。小規模なコーポレートサイトであれば月額1万円台から、ECサイトや会員制サービスであれば月額5万円から10万円台が目安だ。

注意すべきは、WAF単体での導入コストだけでなく、運用コストも含めた総所有コスト（TCO）で比較することだ。自社運用の場合はルールチューニングやログ分析に人的コストが発生する。マネージドサービスを選択すれば月額費用は高くなるが、運用負荷を大幅に削減できる。

費用シミュレーション：3つのパターン

具体的な費用イメージを掴むために、企業規模別のシミュレーションを示す。

コーポレートサイト1サイトのみを保護する場合、攻撃遮断くんの最安プランまたはCloudflare Proプランを選択すれば、月額1万円から3万円程度で運用できる。年間でも12万円から36万円であり、IT予算が限られた企業でも十分に導入可能な水準だ。

ECサイトを含む3サイトを保護する場合は、Scutumの中位プランやImperva Proプランが候補となる。月額8万円から15万円程度で、年間100万円から180万円が目安となる。決済情報を扱うECサイトでは、WAFの導入によるリスク低減効果を考えれば妥当な投資だ。

AWS上で複数のWebアプリケーションとAPIを運用している場合は、AWS WAFが最もコスト効率が高い。リクエスト数が月間1,000万程度であれば、月額1万円から3万円程度に収まるケースが多い。ただし、マネージドルールの追加やBot Controlの利用で費用が増加する点には注意が必要だ。

WAFの効果を最大化するための運用体制

WAFは「導入すれば安全」というものではなく、継続的な運用が防御効果を左右する。

月次レポートの確認

WAFのダッシュボードや月次レポートを定期的に確認し、攻撃の傾向と防御状況を把握する。どの攻撃パターンが多いのか、どのURLが狙われているのかを理解することで、アプリケーション側の根本的な改修にもつなげられる。

WAFルールの更新管理

新たな脆弱性や攻撃手法が発見されるたびに、WAFのルールも更新される。マネージドルールを利用している場合は自動更新されるが、カスタムルールを設定している場合は自社での更新作業が必要だ。特にゼロデイ脆弱性が公表された際には、WAFベンダーからの緊急ルール配信に迅速に対応することが重要になる。

アプリケーション改修との連携

WAFはあくまで「緩和策」であり、根本的な対策はアプリケーション側の脆弱性修正だ。WAFが特定の攻撃パターンを頻繁にブロックしている場合は、その攻撃が狙っている脆弱性をアプリケーション側で修正する計画を立てるべきだ。WAFとアプリケーション改修を車の両輪として運用することで、防御の堅牢性が飛躍的に高まる。

障害時の切り戻し手順

クラウドWAFに障害が発生した場合、Webサイトが完全に停止するリスクがある。特にリバースプロキシ型のWAFは、WAF自体がダウンするとWebサイトにアクセスできなくなる。WAF障害時にDNSをオリジンサーバーに直接向け戻す手順を事前に整備し、定期的に訓練しておくことが重要だ。

API保護とBot対策――WAFの進化する役割

近年のWAFは、従来のWebアプリケーション防御だけでなく、API保護やBot対策にもその役割を拡張している。

API保護の重要性

モバイルアプリケーションやSPAの普及により、バックエンドAPIを公開する企業が増えている。APIはWebアプリケーションとは異なる攻撃面を持ち、認証トークンの窃取、レート制限の回避、過剰なデータ露出など固有のリスクがある。最新のクラウドWAFはAPIエンドポイントに特化した防御ルールを備えており、OpenAPI仕様に基づいたポジティブセキュリティモデル（許可された通信のみを通す方式）を適用できる。

Bot対策

スクレイピング、在庫買い占め、アカウント乗っ取りの試行など、悪意のあるBot通信は正常なHTTPリクエストの形式を装うため、従来のWAFルールでは検知が難しい。CloudflareやImpervaはBot管理機能を標準搭載しており、JavaScriptチャレンジやフィンガープリンティングによって人間とBotを識別する。ECサイトや予約システムを運営する企業にとっては、WAF選定時にBot対策機能の有無を確認することが重要だ。

WAFだけでは守れない――多層防御の考え方

WAFはWebアプリケーション層の防御に特化したツールであり、万能ではない。DDoS攻撃にはCDNやDDoS防御サービス、メール経由の攻撃にはメールセキュリティ、内部不正にはEDRやDLPなど、脅威の種類に応じた対策を組み合わせる「多層防御」の考え方が不可欠だ。

WAFの導入はセキュリティ対策の重要な一歩だが、それだけで完結するものではない。自社のリスクを総合的に評価し、優先度の高い対策から段階的に実装していくことが、中小企業におけるセキュリティ戦略の基本となる。

まとめ

WAFはWebサイトやWebアプリケーションをアプリケーション層の攻撃から守る必須のセキュリティ対策だ。中小企業にはクラウド型WAFが現実的な選択肢であり、AWS WAF、Cloudflare、Imperva、攻撃遮断くん、Scutumの5製品から自社の技術力・予算・運用体制に合ったものを選ぶのがよい。導入時は検知モードからの段階的な移行と誤検知対策を徹底し、継続的なログレビューで防御精度を維持することが成功の鍵となる。

自社Webサイトのセキュリティ、大丈夫ですか?

GXOでは、WAFの選定から導入、脆弱性診断まで、中小企業のWebセキュリティを一括でサポートしています。まずは現状のリスクを無料で診断いたします。

セキュリティ診断を申し込む

※ 営業電話はしません | オンライン対応可 | 相談だけでもOK