シマンテック クラウド型WAF

Webの情報漏えい対策に有効な、シマンテックのクラウド型WAF(Web Application Firewall) をご紹介します。

WAFとは、Webサイトの前面に配置することでWebサイト、およびその上で動作するPHPなどのWebアプリケーションを狙った攻撃を防御するセキュリティ対策製品です。F/W(ファイアウォール)やIPS(IDS)といった従来のゲートウェイセキュリティ対策製品とWAFの違いは、防御できる通信レイヤーと防御できる攻撃にあります(詳しくはこちら)。

シマンテックでは、Webサイトを強化するソリューションのひとつとして、クラウド型のWAF(Web Application Firewall)を提供しています。
WAFを使用することで、WebサイトやWebアプリケーションを改修することなく脆弱性の対策を実施することができ、脆弱性を悪用した攻撃による情報漏えいなどの被害を未然に防ぐことができます。
シマンテック クラウド型WAFは SaaS/ASP 型ですので、ハードウェアやサーバ構築などが不要で容易に導入でき、管理・運用の手間もかからないことが特徴です。
防御できる攻撃は、クロスサイトスクリプティングやドライブ・バイ・ダウンロード、SQLインジェクションなどの代表的な手口に加え、Apache Struts(ストラッツ)1 および 2(S2-016、S2-020等)の脆弱性やパスワードリスト攻撃などの新たな攻撃の手法へも素早く対応します。

シマンテック クラウド型WAFは SaaS/ASP の WAF (Web Application Firewall) です。WAFセンターを経由する形でウェブアプリケーションファイアウォールの機能を提供します。
SSLサーバ証明書でウェブサイトとの通信を安全に行って頂けるようにするだけでなく、ウェブサイトやそのウェブサイトを構成するステムの脆弱性により起こりうる情報漏えいを防ぐ手段として、クラウド型のWAF (Web Application Firewall) を提供しています。
WAFを入れておくことで、ウェブサイトの改修無しで脆弱性の対策を行うことが出来ることから、ウェブサイトセキュリティの強化と予算の平準化という効果が得られます。

ウェブサイトの根本的な解決を行うために必要なセキュリティ診断、そして診断に基づいたウェブ改修は定期的なメンテナンス計画の中で行い、頻繁に見つかるOS、ミドルウェアなどの脆弱性対策であわてない為にWAFを入れることを推奨します。
クラウド型WAFの場合、新たな攻撃手法に対するシグネチャの追加やそのシグネチャの追加してもウェブサイトが正常に表示されるようチューニングしますので、セキュリティの知識や運用の経験がなくても導入することが可能です。
また、プラットフォーム部分の脆弱性もWAFセンターのインフラで対策をしているので、OpenSSL 1.0.1系の脆弱性 (OpenSSL Heartbleed vulnerability) や、GNU bashの脆弱性を利用した攻撃(CVE-2014-6271)、SSL3.0の脆弱性を利用した攻撃(CVE-2014-3566)、ポートスキャン、総当たり攻撃(DoS攻撃)、Synフラッド攻撃などのプラットフォーム層の攻撃も防御します。 自由民主党をはじめ2,000サイト以上の利用実績のあるサービスです。