AWS WAFの運用を地道に改善し、自社で運用可能にするプラクティス

by ANDPAD inc

Embed

Start on current slide

Slide 1

Slide 1 text

Slide 2

Slide 2 text

© 2026 ANDPAD All Rights Reserved. Conﬁdential SES企業にてインフラ(クラウド)エンジニアとして数年勤務したのち、 2020年6月にアンドパッドに入社。アンドパッドに入社後はSREとしてインフラ改善や運用業務、クラウドセキュリティの課題に数年取り組み、2024年からセキュリティチームのテックリードに就任。現在は各種セキュリティ施策の推進と自身でも課題解決に取り組んでいる。趣味は読書、サッカー観戦、息子と遊ぶこと。宜野座清貴(Kiyotaka Ginoza) 株式会社アンドパッドサービスプラットフォーム部セキュリティグループテックリード Proﬁle ｜経歴自己紹介 2 @kiyogino

Slide 3

Slide 3 text

Slide 4

Slide 4 text

© 2026 ANDPAD All Rights Reserved. 4 ※『建設業マネジメントクラウドサービス市場の動向とベンダシェア（ミックITリポート2025年 12月号）』（デロイトトーマツミック経済研究所調べ） ANDPAD が支える建設DX 幸せを築く人を、幸せに。住まいをつくる。ビルや施設をつくる。街をつくる。生活を豊かにする建築・建設業は、幸せづくりと例えられます。私たちは、その幸せづくりをする人たちをテクノロジーの力で後押ししていきたい。心からそう考えてます。我々はこれからもお客様の声をサービスに反映して、建設業界及び建設業従事者様の業務効率化、 DX化を支援してまいります。 Mission 利用社数ユーザー数 26.5万社 69万人 4

Slide 5

Slide 5 text

© 2026 ANDPAD All Rights Reserved. Conﬁdential ANDPADサービス一覧現場管理を効率化したい工事写真の撮影・整理・台帳作成を効率化したい顧客と円滑にコミュニケーションしたい・顧客への提出物をスムーズに作成したい工程管理の手間を減らしたい円滑にコミュニケーションしたい検査や是正指示を効率化したい経営・営業データを可視化したい受発注・請求書受領を効率化したいｚ社内での承認フローを効率化したい断熱リフォームの効果を可視化したい現地調査を効率化したい現場訪問の回数を減らしたい安全衛生管理を徹底したい社外リソースを活用したいシステム連携で効率性を上げたい施工管理案件概要資料ボード写真写真台帳黒板黒板 AI作成豆図AI キャプチャーデジタルサイン報告出力レイアウト電子納品おうちノート工程表横断マイルストーンチャット報告図面検査 Analytics 引合粗利管理受発注請求管理資料承認サーモ 3Dスキャン遠隔臨場入退場管理 BPO API連携アプリマーケット 5 5

Slide 6

Slide 6 text

© 2026 ANDPAD All Rights Reserved. Conﬁdential 機能アップデート数 2,517 件/年機能アップデート数 ※2024年7月〜2025年6月 ※Web、APP（iOS、Android）合算 ※バグ修正、セキュリティアップデートを除く数値 ANDPAD全サービスにて継続して機能強化施工管理チャット図面引合粗利管理受発注検査ボード黒板資料承認 API連携 BIM 3D スキャン入退場管理おうちノートリモート通話歩掛管理グリーンファイル早受取請求管理 ●　●　● etc 6

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

© 2026 ANDPAD All Rights Reserved. WAF（Web Application Firewall）とは？ WAFの基本的な役割 Webアプリケーションへの通信を監視・制御し、脆弱性を突いた攻撃から保護する専用の防火壁通常のファイアウォール（L3/L4）では防げない、アプリケーション層（L7）の高度な攻撃を検知・遮断する ● SQLインジェクションの遮断 ● クロスサイトスクリプティング(XSS) 防止 ● etc 9 運用する上での留意点偽陽性のリスク正常な通信を遮断する恐れがあるため継続的な調整が必要監視体制リアルタイムの脅威に対応するための体制構築が不可欠高度なカスタマイズの難度複雑な独自ルールの作成には専門知識が必要運用の属人化リスク特定の担当者にノウハウが集中しやすい

Slide 10

Slide 10 text

© 2026 ANDPAD All Rights Reserved. AWS WAF の主な特徴俊敏性と拡張性に優れたセキュリティ ● マネージドルールの活用: 専門家（AWSやサードパーティ）が作成したルールを即座に適用し、最新の脅威に対応 ● マネージド型サービス: サーバー管理不要、トラフィックに応じて自動スケーリング ● AWS サービスとの統合 CloudFront, ALBなどに数クリックで簡単に導入可能 ● コスト効率の高さ従量課金制で初期費用を抑え、スモールスタートが可能 ● 詳細なモニタリングと可視化 CloudWatch連携でリアルタイム分析。WAFログをS3などに出力し詳細分析も可能 10

Slide 11

Slide 11 text

Slide 12

Slide 12 text

© 2026 ANDPAD All Rights Reserved. AWS WAFの歴史 2015 AWS WAF誕生 CloudFrontのみ対応の初期リリース 2016-18 Classic (v1) 拡張 ALB対応、API対応、マネージドルールの登場 2019 WAF v2 リリースアーキテクチャの刷新、 AWS提供マネージドルールのサポート現在最新機能の拡充不正ログイン対策(ATP) Captcha、高度なログ分析 12 ANDPADにて、 WAFを本格的に活用し始める。現在は本番環境で20以上のWAF を運用している

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

© 2026 ANDPAD All Rights Reserved. 16 課題の詳細 ● 開発と本番の差分をうまく取り込んでコード化するのが難しく、後回しになっていた ● コンソール上で更新があると差分確認も難しく、知らぬ間に変更が起きても気づけない状況 AWS WAF の個別ルールはコード化が進んでおらず、コンソール上で設定の変更が行われていた課題①：環境間の差分を解決するためのプラクティス(1)

Slide 17

Slide 17 text

© 2026 ANDPAD All Rights Reserved. プラクティス環境間の差分の把握・解消、コード化の推進 ● 難しさの原因となっていた環境間の差分を把握し、差分を解消。コード化の土台を構築 ● TerraformでのIaCを推進し、構成管理を徹底導入の結果 ● コードからの反映のみに制限し、セキュリティグループのレビューを必須化したことで、意図しない変更が入ることを防げるようになった ● diﬀで環境間のルール差分をすぐ確認できるようになった 17 課題①：環境間の差分を解決するためのプラクティス(2)

Slide 18

Slide 18 text

© 2026 ANDPAD All Rights Reserved. 状況 PRのTerraform差分が膨大になり、「LGTM（たぶん大丈夫）」が常態化 18 課題の詳細 ● マネージドルールのバージョン更新(1行の更新) のみでも、全ルールが差分として検出される ● レビューコストが増大し、本来確認すべき重要な変更を見落とすリスクが発生 Before 課題②：Terraformの大量差分を解決するためのプラクティス(1)

Slide 19

Slide 19 text

© 2026 ANDPAD All Rights Reserved. 19 プラクティス WAFのルールの記述を rule → rule_json に移行導入の結果 ● 修正箇所のみ差分表示が可能となりレビュー負荷大幅低減 🎉 Terraform Documentation: https://registry.terraform.io/providers/hashicorp/aws/latest/docs/resour ces/wafv2_web_acl#rule_json-1 After 課題②：Terraformの大量差分を解決するためのプラクティス(2)

Slide 20

Slide 20 text

Slide 21

Slide 21 text

© 2026 ANDPAD All Rights Reserved. 21 プラクティス1: 早期検知  RSSにて更新を早期に確認 RSS Feed URL: https://docs.aws.amazon.com/ja_jp/waf/latest/developerguide/aws-waf-doc-history.rss プラクティス2: Countルールの活用最新バージョンのCountルール（アクションをBlock ではなくCountに設定）を追加し、Priorityを低く（数字を高く）設定して挙動を事前確認 ※ 注意点: ルール名とメトリクス名は一意にする導入の結果 ● 更新フロー・手順の整備により、2週間程度で最新バージョン追従が可能に課題③：AMR更新への追従を解決するためのプラクティス(2)

Slide 22

Slide 22 text

© 2026 ANDPAD All Rights Reserved. 状況 WAFのログは調査しつつも、量がとても多く全てを精緻に確認するのは困難だった偽陽性に対応しきれず顧客問い合わせの発生も課題の詳細 ● 大量のログから偽陽性（顧客の正規リクエストのブロック）をリアルタイムに抽出できていない ● 監視の仕組みが不十分で、異常の検知が顧客からの指摘に依存している 22 課題④：偽陽性への後手対応を解決するためのプラクティス(1)

Slide 23

Slide 23 text

© 2026 ANDPAD All Rights Reserved. 課題④：偽陽性への後手対応を解決するためのプラクティス(2) プラクティス1: ALBログからWAFのBlock増加を検出 Datadog等の監視ツールでALBでのBlock発生を検出： [email protected]_status_code:* ※ WAFログ全量転送は高額なため、ALBログを併用してコストを抑えつつ早期検出を可能にプラクティス2: 顧客リクエストの可能性が高いパスをSlack通知攻撃によく使われるパスのBlockはアラートから除外することで、ノイズを減らし気づくべき変化のみを抽出導入の結果 ● お客様からの問い合わせ前に気づいて修正できるケースが大幅に増えた ● WAFでのBlockに関するお問い合わせがほとんどなくなった 23 サンプルクエリ

Slide 24

Slide 24 text

© 2026 ANDPAD All Rights Reserved. 次の課題ログ分析の「人手不足」 24 LLM（Gemini/Claude等）へのログ食わせ ● リクエストの攻撃可能性についてAIに質問する ● 複雑なSQLiの判定や、難読化されたペイロードの解読に威力を発揮自動クエリ生成自然言語からAthenaクエリを生成し、調査スピードを大幅に向上 AWS DevOps Agentの活用 https://dev.classmethod.jp/articles/aws-devops-agent-ga/ WAF運用におけるAIの展望 AI活用の取り組み

Slide 25

Slide 25 text

© 2026 ANDPAD All Rights Reserved. 自社運用できる状態とは After ● 設定を容易に確認し、修正提案が可能に ● 差分が明確で、安心してApproveできる ● 本番影響を事前に把握し、自信を持って更新 ● Blockに迅速に気づき、即座に対処 25 Before ● 設定状況の確認や修正提案が困難 ● PR差分が見づらく、不安なままLGTM ● 開発検証ではアップグレードが不安 ● Blockによる顧客影響の把握が困難顧客影響の極小化(品質)と最新ルールの迅速なデプロイ(速度)の両立を達成。 → 結果として、セキュリティチームがWAFを運用できている実感に繋がった

Slide 26

Slide 26 text

Slide 27

Slide 27 text

© 2026 ANDPAD All Rights Reserved. Conﬁdential まとめ WAFの運用は銀の弾丸がない地道な改善の積み重ね 1. 環境の統一環境ごとのWAF条件を揃え、検証環境と本番の差異をなくし予測可能性を高める 2. IaCの活用差分が確認しやすいIaC構成により、安全で透明性の高い設定変更を実現 3. 仕組みとAI ログ調査の仕組み化やAI/LLM の活用により、顧客影響の早期発見と対処を加速 ● 組織の状況に合わせ自社運用か外部委託かを最適に選択 ● 自社運用は大変だが、継続的な改善がチームの運用実感に繋がる何か1つでも、皆様の運用の参考になれば幸いです！！ 27 © 2026 ANDPAD All Rights Reserved.