WAF（ワフ）とは
WAF（ワフ）はWeb Application Firewallの略です。
Webアプリケーションの脆弱性（ぜいじゃくせい）を悪用した攻撃からWebサイトを保護するセキュリティ対策の1つです。WAFは、Webサーバーに接続を試みる通信を解析・検査します。悪意のある接続からWebサイトを守り、不正ログインを防ぐ役割で用いられます。
ネットバンキングやECサイトのように、ユーザーからの入力を受け付けたり、アプリケーションを作りこんだWebサイトの保護に適しています。
なぜWAFが必要なの？
Webサイトやインターネット上のサービスは、今日では重要な社会インフラとなっています。
ネットバンキングや企業間での受発注や、ネットショッピングやゲーム、SNSなどエンターテインメントでの利用など、Webサイトとして多種多様なサービスを展開しています。
サイバー攻撃のターゲットとして、これほど恰好な相手はいないわけです。
FW（ファイヤーウォール）とは違う？
FW（ファイヤーウォール）はネットワークレベルでのセキュリティ対策です。PCなどで、ウィルス対策ソフトを導入すると、ファイヤーウォールの設定など項目名が出てきます。
このFWは、情報の送信元と送信先の情報（IPアドレスやポート番号など）を元にアクセス制限を行います。ポートスキャンなどの外部公開が不要なサービスを狙った通信は制限できますが、通信の中身までは検査しません。
有名なものであれば80番ポートや443番ポートへの通信などですが、正常な通信を装った攻撃には対処できないのです。
WAFの基本的な動作
WAFはアクセス元とWebサーバーとの間で通信（HTTP/HTTPS）に介在します。通信の内容を検査してWebアプリケーションへの攻撃を検出します。
検出の基本となるのは、不正な通信や不正な行動などをまとめたファイルとのマッチングです。このファイルにマッチしたものを不正な通信として検出します。
どんな効果があるの？
保険的な意味がある「事前対策」、実際に不正な行動が起こった際の「事後対策」です。
「事前対策」は、攻撃によるセキュリティ事件の発生を低減することが目的になります。
「事後対策」は、セキュリティ事故が実際に起きた際、被害を最小限に抑えることが目的です。
