- WAFWeb Application Firewall
- Web アプリケーションへの通信を調べ、攻撃とみられる通信を止める仕組み。SQL インジェクションなどへの備えの 1 つ。
このページの内容
意味
WAF は、Web アプリケーションの前に置き、HTTP の通信の中身を調べて、攻撃とみられるものを止める仕組みです（NIST の定義の要約）。脆弱性の修正版をすぐに当てられないときの、一時的な備え（回避策）として使われることもあります。
| 観点 | 中身 |
|---|---|
| 止められるもの | 既知の型の攻撃の通信 |
| 止められないことがあるもの | 新しい型の攻撃・正規の操作に見える通信 |
| 修正版との関係 | 修正版の代わりではなく、当てるまでのつなぎ |
事件のときの見方
- 開発元が「WAF のルールで緩和できる」と案内していても、修正版の適用の予定は別に確かめる
- 委託先の回答が「WAF で止めている」だけのときは、修正版を当てる予定を続けて聞く
WAF での対応をご連絡いただき、ありがとうございます。あわせて、修正版の適用の予定日をお知らせください。
secubell のレポートでの扱い
事件の要点で、この語が出てくるときは言い換えと原典へのリンクを添えています。
レポートの中身サンプルレポートで見る →
原典・参考にした資料
- 米国立標準技術研究所（NIST）「Glossary: web application firewall」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。