toB プロダクトから見たWAF

2026/06/26 ホンマでっかSRE勉強会 #1 の LT で話した内容です

Transcript

1. toB プロダクトから見たWAF ホンマでっかSRE勉強会 #1 2026-06-25 tokai235
2. 自己紹介 • Toki(@tokai235) といいます • 現実世界ではギフティで働いています ◦ toB 向けのギフトプラットフォームを開発しています ◦ プロダクトエンジニアです • 京都在住です ◦ 京都オフィスめちゃくちゃこの近くです これを作ってます
3. • 担当プロダクトの認証をギフティ共通の基 盤に移行するのをやってます 最近のお仕事
4. 認証基盤
5. WAF 設定しますよね？
6. • よくなされる設定 ◦ Rate Limit ◦ Bot Protection ◦ Account Takeover Protection(ATP) etc... • これらの設定は SRE やインフラの人たちがやることが多い(はず) • ギフティの場合は認証基盤のエンジニアが担当 WAF
7. なんですが...
8. プロダクトエンジニアも めちゃくちゃ関心がある
9. なんで？
10. ※今回は特に toB プロダクトの話をします
11. • toB では導入に際して(もしくは定期的に)顧客からのセキュリティ チェックが入るケースがままある ◦ どういうセキュリティ対策がなされているかなどの確認 • セキュリティ要件の提示もあったりする ◦ これによって導入の成否が変わることもある • 基本的にはプロダクトのセキュリティ全般を指すのでプロダクトエン ジニアが回答することが多い ◦ ので知っておきたい なんで？ - 1: セキュリティ仕様の把握
12. • 人間なのに Bot と間違われちゃう etc... • toC の場合は果てないチューニングの旅へ • toB の場合は顧客の採用するセキュリティソフトとの戦い ◦ 顧客側でギフティをバイパスしてもらう、ギフティ側で顧客をバ イパスする、etc... • 今日使えないと困るとかが全然ある ◦ ギフティだとプロダクトエンジニアで対応することも多い なんで？ - 2: 誤検知への対応
13. プロダクトに関わる以上 WAF と無関係ではいられない
14. まとめ • WAF は SRE や基盤側だけでなくプロダクト側にとっても重要 ◦ 特に toB では • なんで？ ◦ セキュリティ仕様の把握 ◦ 誤検知への対応