GMOマネージドホスティング株式会社｜GMO Managed Hosting, Inc.

Web Application Firewall の略

ファイヤウォールの一つで、Webアプリケーションレベルの攻撃を防ぐ仕組みのこと。

具体的にはいわゆるSQLインジェクションや、セッションハイジャックといったこれまでのネットワークレベルのファイヤーウォールでは防ぐことができない攻撃に対して有効になる。

アプリケーション側の構文チェック等で防止できることも多いが、様々な攻撃パターンに対してアプリケーション側の対応をすることは実際問題として難しい。

また、構造によりアプリケーション側での対応が難しい場合もある。

例えばこれまでのファイヤーウォールの設定を例に取ると、仮にHTTPの通信だけを許可してその他の通信を遮断するとしても、通常のWebページの表示に使われるHTTPのプロトコルを使っての攻撃なので防止できない。

方式としてはポジティブ型、ネガティブ型といわれる方式が知られている。

ポジティブ型は許可できる通信内容を登録しておき、それ以外の通信は遮断する方式。

ネガティブ型は不正となるパターンを登録しておき、それ以外は許可するという方法である。

導入の形式としては、アプライアンス型の製品、ソフトウェア製品、モジュール等がある。