クラウド型WAFのインフラと カスタマーイメージ ※本来フロントエンド 　インフラエンジニアではないためざっくり パノラマアフロ(神田 庸平) 現職：WAFテクニカルサポート

WAFってどんなイメージ？ どうやって作る・・？ ↓WAFインフラのイメージから、大体どんな動きをしているのかを把握してみましょう！ ↓

WAF構築するうえで最初にやるタスクを考えてみる ※概要のため、以降は省略してます WAFってなに？ 誰が使う？ 何を使って 実現する？ 構成を イメージする どのくらい 費用かかる？ WAFが何かを調べてみる どんな要件があって 誰がWAFを利用し始めるのか ・オンプレ/クラウド ・インフラストラクチャ 構成イメージを書く コストイメージを考える

・Web Application Firewallの略名 ・Webアプリケーション層（ L7）の攻撃を防御 ・最近は攻撃が多様化している ・攻撃を受けてから対処ではなく前段で止める 参照文献：https://it-trend.jp/waf/article/162-0008 WAFってなに？ 誰が使う？ 何を使って 実現する？ 構成を イメージする どのくらい費 用かかる？ WAFとは何かを調べる どんな要件があって 誰がWAFを利用し始めるのか ・オンプレかクラウドか ・どのインフラストラクチャを使うか 構成イメージを書く コストイメージを考える WAFとはなんぞや

カスタマー(WAF利用企業)のイメージは？ ・外部公開されているサイトやアプリの運営とサーバ管理 　└不特定多数のアクセスがある ・自社サイト/アプリがどのような攻撃を受けているか不明 　└セキュリティエンジニアがいない /もしくは手が回らない ・セキュリティ対策のため 　└ISMSの実現/PCI DSSの準拠,Pマークなど ⇒情報セキュリティ対策としてWAFを検討 カスタマーをイメージすると構 築しやすい WAFってなに？ 誰が使う？ 何を使って 実現する？ 構成を イメージする どのくらい費 用かかる？ WAFとは何かを調べる どんな要件があって 誰がWAFを利用し始めるのか ・オンプレかクラウドか ・どのインフラストラクチャを使うか 構成イメージを書く コストイメージを考える

WAFの種類は？ ■オンプレミス型WAF デメリット：アプライアンス型の場合、手前に機器をおくことになりコストが高い デメリット：ホスト型の場合、コストは安いがサーバ処理に負荷がかかる ■クラウド型WAF メリット：低コスト・短期間で導入が可能 メリット：サーバに負荷がかからない &自社アプリケーションに影響しない デメリット：NW等にトラブルがあると、後段のサーバアクセスに影響（冗長化や DNS切替を検討） →クラウド型のWAFがメリットが大きく、選ばれやすいため ここではクラウド型の WAFとして説明をしていきます ①手前にリバプロを置くパターン ②AWS WAFのパターン WAFってなに？ 誰が使う？ 何を使って 実現する？ 構成を イメージする どのくらい費 用かかる？ WAFとは何かを調べる どんな要件があって 誰がWAFを利用し始めるのか ・オンプレかクラウドか ・どのインフラストラクチャを使うか 構成イメージを書く コストイメージを考える

構成
 イメージ
 WAFってなに？ 誰が使う？ 何を使って 実現する？ 構成を イメージする どのくらい費 用かかる？ WAFとは何かを調べる どんな要件があって 誰がWAFを利用し始めるのか ・オンプレかクラウドか ・どのインフラストラクチャを使うか 構成イメージを書く コストイメージを考える 対象のサーバに 転送 WAFのOSSを利用 modsecurity,NAXSIな ど

攻撃
 イメージ　
 攻撃と判定した場合はブ ロック ブロックした履歴等を 参照 WAFってなに？ 誰が使う？ 何を使って 実現する？ 構成を イメージする どのくらい費 用かかる？ WAFとは何かを調べる どんな要件があって 誰がWAFを利用し始めるのか ・オンプレかクラウドか ・どのインフラストラクチャを使うか 構成イメージを書く コストイメージを考える

コスト
 イメージ　
 ルール更新の 運用コスト インフラ・運用の管 理コスト WAFってなに？ 誰が使う？ 何を使って 実現する？ 構成を イメージする どのくらい費 用かかる？ WAFとは何かを調べる どんな要件があって 誰がWAFを利用し始めるのか ・オンプレかクラウドか ・どのインフラストラクチャを使うか 構成イメージを書く コストイメージを考える

AWSWAFだと
 コストは？
 ルール更新の運用コスト は同様にかかる WAFってなに？ 誰が使う？ 何を使って 実現する？ 構成を イメージする どのくらい費 用かかる？ WAFとは何かを調べる どんな要件があって 誰がWAFを利用し始めるのか ・オンプレかクラウドか ・どのインフラストラクチャを使うか 構成イメージを書く コストイメージを考える ルール数やリクエスト で課金 ※コストは変動が大きいので 注意したほうがいい

・インフラ構成としては比較的単純なもの。
 　だけど、WAFを自社のみでやろうとすると結構大変。
 
 ・サイトやアプリ構成によってWAFルールを変えていく必要がある
 ・セキュリティエンジニアを雇うコストがかかる
 ・情報セキュリティチェックシートの対策は面倒
 
 ・ちなみに、AIでも攻撃の対応はまだまだ難しいところでした。
 　　　　※最新の攻撃に対応できない/攻撃と判断するまでが遅い/事前に止めれない
 
 ⇒まだ自社でWAFを導入されていない場合、SaaS型のWAFを検討してみたり
 　もしくはセキュリティエンジニアを確保して、クラウド型WAF構築を検討してみてもいいかも。
 まとめ

ご清聴ありがとうございました