WAFとは、Web Application Firewallの略で、WebサイトやWebアプリへのHTTP/HTTPSリクエストを監視し、攻撃と判断した通信をブロックする仕組みです。一般的なファイアウォールがIPアドレスやポートなどを中心に守るのに対し、WAFはWebアプリケーションへの攻撃を重点的に防ぎます。
30秒でわかる結論
- WAFはWebサイトへのHTTP/HTTPS通信を監視して攻撃を防ぐ仕組み
- SQLインジェクションやXSSなど、Webアプリを狙う攻撃への防御に使われる
- 通常のファイアウォールやSSLとは役割が異なる
- WordPressではプラグイン脆弱性を狙う攻撃への防御層として有効
- WAFを有効にしても、WordPressやプラグイン更新は必要
- 正常な通信を誤って遮断する「誤検知」が起こる場合がある
- 初心者は、レンタルサーバーにWAF機能があるなら基本的に有効化して使う
WAFとは？
WAFは、WebサイトやAPIへ届くHTTP/HTTPSリクエストを検査し、設定されたルールに基づいて不正な通信を遮断するセキュリティ機能です。
OWASPでは、WAFをHTTPアプリケーション向けのファイアウォールと説明しており、XSSやSQLインジェクションなどの代表的な攻撃をルールで検知・防御します。
ここで伝えたいポイント
WAFは「Webサイトの入口で、怪しいHTTPリクエストをチェックする門番」と考えると分かりやすくなります。
WAFが防ぐ代表的な攻撃
| 攻撃 | 内容 | WAFの役割 |
|---|---|---|
| SQLインジェクション | 不正なSQLを送ってDBを操作しようとする | 攻撃パターンを検知して遮断 |
| XSS | 不正なスクリプトをページへ混入させる | 危険な入力パターンを検知 |
| ディレクトリトラバーサル | 本来見られないファイルへアクセスを試みる | 不審なURLや入力を遮断 |
| 既知脆弱性への攻撃 | 公開済みの脆弱性を狙う | 管理ルールで攻撃をブロック |
WAFだけで全攻撃を防げるわけではない
認証情報の漏えい、管理者のパスワード使い回し、内部不正、未修正の脆弱性など、WAFだけでは防げない問題もあります。
ファイアウォールとの違い
一般的なファイアウォールとWAFは、見る場所が違います。
| 項目 | ファイアウォール | WAF |
|---|---|---|
| 主な対象 | ネットワーク通信 | Webアプリ通信 |
| 見る情報 | IP・ポート・通信方向など | URL・ヘッダー・本文・入力値など |
| 主な防御 | 不要ポート・不正接続 | SQLi・XSSなど |
具体例
ポート443へのHTTPS通信自体は正常でも、その中にSQLインジェクションの文字列が含まれていることがあります。通常のファイアウォールでは許可される通信でも、WAFなら内容を見て遮断できる場合があります。
SSLとの違い
SSL/TLSは通信を暗号化する仕組みで、WAFは通信内容を検査して攻撃を防ぐ仕組みです。
SSL/TLS ＝ 通信を暗号化する
WAF ＝ Web攻撃を検知・遮断する
役割が異なるため、どちらか一方ではなく両方を使うのが基本です。
WordPressでWAFは必要？
WordPressは世界中で広く使われているため、ログイン画面、テーマ、プラグイン、既知脆弱性などを狙う自動攻撃の対象になりやすいCMSです。
サーバー標準WAFがあるなら有効化しておくと防御層を追加できます。
問い合わせフォームや管理画面を守るため、WAFを基本設定に含めます。
個人情報やログイン機能を扱うため、WAFだけでなく多層防御を前提にします。
WAFを有効にしても更新は必要
WAFは脆弱性対策の「追加防御」であって、脆弱性修正の代わりではありません。
WordPressで合わせて行うこと
- WordPress本体を更新する
- テーマ・プラグインを更新する
- 不要なプラグインを削除する
- 強いパスワードと多要素認証を使う
- 定期バックアップを取る
- WAFを有効化する
ここで伝えたいポイント
WAFは「穴を修理する」のではなく、「穴を狙う攻撃を入口で止める」仕組みです。根本的な脆弱性修正はアップデートで行います。
WAFの誤検知とは？
WAFはルールに基づいて通信を判定するため、正常な操作を攻撃と誤認することがあります。これを誤検知と呼びます。
具体例
WordPress管理画面でコードや特殊文字を含む文章を保存したとき、WAFがXSSやSQLインジェクションに似た入力と判断して403エラーを返す場合があります。
WAFを全部OFFにしない
誤検知が起きた場合は、該当ルール・URL・操作を確認し、必要に応じて対象だけ除外します。サイト全体のWAFを恒久的に無効化するのは避けてください。
WAFの仕組み
ブラウザやBotからHTTP/HTTPSリクエストが送られます。
URL、ヘッダー、本文、IPなどを確認します。
攻撃パターンや管理ルールに一致するか判定します。
正常ならWebサーバーへ送り、不正ならブロックします。
WAFにはどんな種類がある？
| 種類 | 特徴 |
|---|---|
| サーバー組み込み型 | Webサーバー上で動作。ModSecurityなど |
| クラウド型 | CDN・クラウド側で通信を検査 |
| アプライアンス型 | 専用機器として導入 |
一般的な個人・中小企業サイトでは、レンタルサーバー標準のWAFやクラウド型WAFを利用するケースが多くあります。
無料WAFでも意味はある？
意味はあります。レンタルサーバーやCDNに含まれるWAFでも、代表的な攻撃パターンを遮断できる場合があります。
ただし、対応ルール、更新頻度、ログ、カスタム設定、サポート範囲はサービスごとに異なります。
初心者はこれでOK
まずサーバー標準WAFを有効化し、必要に応じてCloudflareなど外部WAFを検討する順番で十分です。
WAFとDDoS対策は同じ？
同じではありません。WAFはWebアプリケーションへの不正リクエストを判定する仕組みで、DDoS対策は大量トラフィックによるサービス停止を防ぐ仕組みです。
| 対策 | 主な対象 |
|---|---|
| WAF | SQLi・XSS・脆弱性攻撃など |
| DDoS対策 | 大量アクセス・帯域消費 |
| Bot対策 | 自動巡回・不正ログインなど |
WAFの効果を数字で考える
たとえば1日に10,000件のHTTPリクエストがあり、そのうち0.5％が攻撃パターンに一致したとします。
10,000件 × 0.5％ ＝ 50件/日
1か月では約1,500件です。
50件 × 30日 ＝ 1,500件/月
実際の攻撃比率はサイトごとに異なりますが、WAFは人が1件ずつ確認する代わりにルールで自動判定する防御層として機能します。
WAFを選ぶときのチェック項目
チェックリスト
- 標準で利用できるか
- 追加料金が必要か
- 管理ルールが自動更新されるか
- ブロックログを確認できるか
- 誤検知時に個別除外できるか
- SQLi・XSSなど一般的な攻撃へ対応するか
- DDoS・Bot対策は別機能か
WAFを有効化する判断フロー
はい → WAFを有効化する方向で検討
はい → まず有効化
はい → ログを見て該当ルールを確認
はい → WAFに加えてDDoS・Bot・MFA・監視も検討
教科書判定：標準WAFがあるなら基本ON
一般サイトはWAFを有効化し、更新・バックアップも続ける
会社サイト・ブログ・WordPressで、レンタルサーバーに標準WAFがあるなら基本的に有効化してください。ただし、WAFだけで安全になるわけではありません。WordPress・テーマ・プラグイン更新、強い認証、バックアップと組み合わせることが前提です。
よくある質問
Q．WAFを入れればウイルス対策は不要ですか？
不要にはなりません。WAFは主にWebへの不正リクエストを防ぐ仕組みです。マルウェア対策、更新、バックアップなどは別に必要です。
Q．WAFとファイアウォールはどちらが必要ですか？
役割が違うため両方必要です。ファイアウォールはネットワーク層、WAFはWebアプリ層を重点的に守ります。
Q．WAFでSQLインジェクションを完全に防げますか？
完全防御を保証するものではありません。WAFで攻撃を遮断しつつ、アプリ側でも安全な実装と脆弱性修正を行う必要があります。
Q．WAFをONにしたら403エラーが出ました。どうすればいいですか？
誤検知の可能性があります。WAFログで該当リクエストとルールを確認し、必要なら対象ルールだけ除外します。サイト全体のWAFを恒久的にOFFにするのは避けてください。
Q．WordPressプラグイン型のセキュリティ機能だけで十分ですか？
サーバー・クラウド側WAFと併用すると、WordPressへ処理が届く前に遮断できる場合があります。重要サイトでは多層防御で考えてください。
まとめ
この記事の結論
- WAFはWebアプリへの不正通信を検知・遮断する
- SQLi・XSSなどの攻撃対策に使われる
- ファイアウォール・SSLとは役割が異なる
- WAFを使っても脆弱性修正は必要
- 誤検知時はログを見て個別調整する
- DDoS・Bot対策は別機能として考える
- 標準WAFがあるなら基本的に有効化する
WAFは、Webサイトの入口で攻撃リクエストを止める重要な防御層です。初心者はレンタルサーバー標準WAFを有効にし、WordPress更新・強い認証・バックアップと組み合わせて運用してください。
次に読むなら
WAFの役割が分かったら、「レンタルサーバーに必要なセキュリティ対策」を確認すると、SSL・WAF・バックアップ・認証を含めた全体像を整理しやすくなります。