WAFサービスのおすすめ20選！導入で迷わないための選び方4つも解説

「WAFサービスの選び方がわからない…」
「おすすめのサービスを教えてほしい！」

Webアプリケーションに対する不正な攻撃を防御するセキュリティシステムが、WAFです。とはいえWAFを導入しようにもサービスが多く、どれを選ぶべきか悩んでいる方も多いのではないでしょうか。

この記事ではWAFのおすすめサービスを20個紹介します。選び方も解説しているので、自社に適したサービスを選んでみてください。

なお、WAFをはじめとしたインターネットセキュリティについて漫画でわかりやすく解説した資料をご用意しております。ぜひご覧いただき、貴サイトのセキュリティ対策の参考にしていただけると幸いです。

WAFとは

WAFとは「Web Application Firewall」の略称で、Webアプリケーションの脆弱性を悪用した攻撃を対策できるシステムのことです。ファイアウォールやIPS/IDSでは防ぎきれない攻撃も保護してくれます。

上記のセキュリティは家の防犯システムに例えると、以下のようになります。

• ファイアウォール：壁面
• IPS/IDS：監視カメラ
• WAF：家の鍵

家の鍵がないと不審者の侵入を防げないように、ネットワークシステムにおいてもWAFがないと、外部からの攻撃を防ぎきれません。WAFと他セキュリティシステムの違いについては、以下の記事で解説しています。

マンガ形式で理解しやすくなっているので、ぜひ参考にしてみてください。

https://frauddetection.cacco.co.jp/media/sp_security/sp_security-03/

なお、インターネットセキュリティやサイバー攻撃に対して理解を深めたい方は、資料としてダウンロードすることもおすすめです。

WAF以外にも、IPS/IDSや認証サービスなどについて触れています。

WAFサービスの4つの選び方

WAFサービスを選ぶポイントは以下の4つです。

1. 費用
2. 機能の差
3. サポート体制
4. 導入実績

1つずつ解説します。

【選び方1】費用で選ぶ

WAFサービスの費用は、サービスによって大きく異なります。安価なサービスであれば初期費用無料、月額数千円から利用できます。

しかし、高価なサービスでは月額費用が数万円かかってしまうことがあるので、事前に調べた上で導入するか否か判断しましょう。

とはいえ、ある程度高価なサービスであっても、不要な機能を申し込まなければ費用を安く抑えられます。

そのため、WAFサービスを選ぶ際は、前もって自社にとって必要な機能を把握しておくといいでしょう。

【選び方2】機能の差で選ぶ

WAFサービスは搭載されている機能がそれぞれ異なるので、自社のニーズに合っていることを確認してから導入しましょう。大きく異なる点は、対応できる攻撃の種類です。

一例として、WAFサービスが対応している主な攻撃の種類を以下にピックアップしてみました。

• ブルートフォースアタック
• SQLインジェクション
• クロスサイトスクリプティング
• DDos攻撃
• バッファオーバーフロー

対応している攻撃の種類に比例して費用が上がる傾向にあります。とはいえ、対応している攻撃の種類が多いほうが、最小限のリスクでネットワークを運用できます。

WAFサービスを導入する際は、必要な機能を把握した上で選ぶようにしましょう。

【選び方3】サポート体制で選ぶ

WAFサービスを利用する上で、サポート体制が充実していることも重要です。どれだけセキュリティ機能が万全なWAFサービスでも、突然のエラーやトラブルに見舞われることがあります。

サポート体制の充実さを判断するポイントは、以下の3つです。

• サポート方法（メール、チャット、電話、など）
• サポートの時間帯
• 補償範囲

サポート体制が充実しているサービスであれば、システムをいつでも正常に保ってくれたり、攻撃による補償を受けられたりします。WAFサービスを利用したことがない事業者は特に、サポート体制を重視して選ぶといいでしょう。

【選び方4】導入実績で選ぶ

WAFサービスを選ぶ際は、導入実績も参考にするのがおすすめです。大手企業で導入されているサービスであれば、大規模なネットワークであっても対策ができていることの証明になります。

また、IT系企業で導入されているサービスは、非常に質の高いセキュリティを提供していると言えます。導入実績はサービスを適切に提供できていることの証明となるので、ぜひ確認しておきましょう。

WAFのおすすめサービス20選

ここからはWAFのおすすめサービスを20個紹介します。各サービスのタイプや費用、対応している攻撃の種類をまとめているので、ぜひ選ぶ際の参考にしてみてください。

【サービス1】攻撃遮断くん

「攻撃遮断くん」はシステムの開発・運用・サポートすべてを国内自社で対応していることが特徴です。日本のセキュリティ情勢に合わせてサービスを提供しているので、緊急時でもスピーディに対応してくれます。

またサポートも充実しており、専任オペレーターが24時間365日対応してくれるので、わからないことがあったときに安心して利用できます。あらゆる攻撃に対応しているので、セキュリティについて知見のある従業員がいない事業者にもおすすめできるサービスです。

【サービス2】Wafcharm

「WafCharm」は自動でWAFシステムを運用してくれるサービスで、常に最適なルールを適用してくれます。24時間365日の技術サポートあるだけでなく、新規脆弱性にも専任リサーチャーが迅速に対応してくれるなど、顧客サポートが充実しています。

月額利用料5,000円～利用できるだけでなく、30日間の無料お試しが可能です。使い心地が気になる事業者はぜひ、WafCharmをお試しで利用してみてはいかがでしょうか。

【サービス3】Imperva App Protect

「Imperva App Protect」はSBテクノロジー社が提供するクラウド型WAFサービスで、世界各地にデータセンターがあることが特徴です。世界中のデータセンターを併せて5Tbpsを超える帯域を保有しているので、DDoS攻撃に対しても標準で帯域無制限に対策できます。

WAFやDDoS攻撃だけでなくDRやCDNなど、さまざまな機能を持っているので、ネット上のあらゆる脅威からシステムを守ってくれます。

【サービス4】McAfee Web Gateway Cloud Service

「McAfee Web Gateway Cloud Service」はテレワーク導入時に必要となるセキュリティ機能を備えた、WAFサービスです。世界中に接続拠点があることが特徴で、ユーザーの最寄りの接続拠点で障害が発生したとしても、他の拠点へ切り替えてくれます。

そのため、いつでも安定して利用できることが「McAfee Web Gateway Cloud Service」の強みと言えます。

【サービス5】AIONCLOUD WAF

「AIONCLOUD WAF」は初期費用0円、月額料金4,000円～と良心的な費用で利用できるクラウド型WAFサービスです。リーズナブルな費用でありながら、ゼロデイ攻撃やDos攻撃などのあらゆる脅威から保護してくれるので、安心してネットワークを利用できます。

費用重視で選びたい人に「AIONCLOUD WAF」はおすすめのサービスです。

【サービス6】XG Firewall

「XG Firewall」はネットワークに潜むリスクを可視化することで、あらゆる脅威をブロックしてくれることが特徴です。

脅威になり得るアクセスに対しても自動で対処してくれるので、起こりうる被害を予防してくれます。

【サービス7】DIT Security

「DIT Security」の特徴は、予算に合わせて機能をカスタマイズできることです。セキュリティ対策の重要度が増していても、予算に見合わなければ導入をためらってしまうものです。

DIT Securityではユーザーの予算に合わせて柔軟に提供してくれるので、必要最小限の機能だけで利用できます。

【サービス8】Scutum

「Scutum」は11年連続で国内シェアNo1を誇り、ネットワークを情報漏洩や改ざんのリスクから守ってくれるクラウド型WAFサービスです。

セキュリティとシステム運用のプロが24時間365日サポートしてくれるので、いつでも安心してネットワークを利用できます。

導入した後はユーザー自身による運用は不要なので最小限の手間で済み、仕事の時間を取られる心配もありません。

【サービス9】BLUE Sphere

「BLUE Sphere」はメインとなるWAF機能に加え、DDoS防御と改ざん検知機能の多層防御により、いつでも安心して利用できます。

ネットワークに万が一のことが起きた際は、サイバーセキュリティ保険による補償を受けられることも、安心できるポイントと言えます。

WAFだけでなくDDoS防御や改ざん検知など、あらゆるセキュリティ機能がオールインワンで欲しい人におすすめのサービスです。

【サービス10】AEGIS （イージス）Security Systems

「AEGIS Security Systems」の特徴は、Webサイトの構成に応じてアーキテクチャを選べることです。

「エージェント連動型」であれば、Webサーバーにダウンロードしたエージェントが攻撃性のあるアクセスを検出および遮断してくれます。

また「DNS切り替え型」ではDNSを切り替えるだけで気軽に導入できるアーキテクチャで、DDoS攻撃にも対応しています。ユーザーの状況に合わせて選べるようになっているので、導入に際してネットワーク構成を変更する必要がありません。

【サービス11】Site Guard

「Site Guard」はクラウド型とソフトウェア型の2種類あり、ユーザーのシステム環境に応じて最適なタイプを選べることが特徴です。

費用面ではクラウド型は従量課金制、ソフトウェア型はインストールするOS単位となっているので、必要な分だけ支払いができます。

レンタルサーバー会社やシステム系などのITサービスを始め、100万を超えるサイトで導入実績があります。

【サービス12】SmartCloudソフトウェアWAF

「SmartCloudソフトウェアWAF」はネットワーク構成を変えることなく簡単に導入できる、ソフトウェア型WAFサービスです。

ソフトウェア型でありながら管理・設定に必要なサーバーは仮想サーバー上に構築するので、ハードウェア調達に関わるリードタイムを削減できます。

対応している攻撃の種類もクロスサイトスクリプティングやSQLインジェクションなど、あらゆる脅威から保護してくれます。

【サービス13】InfoCage SiteShell

「InfoCage SiteShell」はNEC社が提供するソフトウェア型のWAFサービスで、ユーザーの要件・環境に関わらず導入できることが特徴です。用意されている形態は、以下の3つです。

• ホスト型：Webサーバーに直接インストール
• ネットワーク型：ネットワーク上にWAF専用サーバーを設置し、そこへインストール
• スニファ型：switchのミラーポートを利用し、バケットをキャプチャすることで起動させる

攻撃を検知するブラックリストは随時NEC者から提供してくれるので、最新の手法であってもしっかり保護してくれます。

【サービス14】Clearswift SECURE Web Gateway

株式会社 日立ソリューションズが提供する「Clearswift SECURE Web Gateway」ではWAF機能に加え、URLフィルタリング機能が搭載されています。

収集したURLをカテゴリー判定し、攻撃性のあるものについてはブロックしてくれるので、安心してネットワークを利用できます。

アクセス状況のレポート機能も搭載しているので、トラブルが生じたときに不正の有無を自身で確認が可能です。

【サービス15】ModSecurity

ModsSecurityはオープンソースのWAFソフトウェアで、初期費用・月額料金とも無料で利用できます。

無料でありながらあらゆる脅威に対応しているので、コスト重視でセキュリティ対策をしたい事業者にとっては、選択肢の1つとなります。

無料でありながらカスタマイズ性が高いので、自社ネットワークに合わせて細かく設定を変えられるので、的確なセキュリティ対策が可能です。

【サービス16】FortiWeb

「FortiWeb」はアライアンス型のWAFサービスで、年々進化する新しい攻撃にも対応できるソリューションです。

製品ラインナップが非常に豊富で、ユーザーのネットワーク環境に応じて適切なセキュリティ対策を講じられます。

導入してからは解析されたアクセスに基づいてレポートを閲覧できるので、何かトラブルが起きたときでも、自身で確認ができます。

【サービス17】Barracuda Web Application Firewall

「Barracuda Web Application Firewall」はDDoS攻撃やSQLインジェクションなどの主要な脅威だけでなく、悪意のあるボットも検出できることが特徴です。

APIベースのアプリケーションも保護対象となるなど、防御範囲が広大であることもメリットと言えます。

セキュリティは自動化しているので知識不要で、手間なく運用できます。

【サービス18】Imperva SecureSphere）

「Imperva SecureSphere」の強みは複数の防御機能を用いて、攻撃を高精度で検知してくれることです。

WAFは攻撃を阻止した上で学習し、自動で管理してくれるようになります。

製品ラインナップも豊富でユーザーの状況に適したプランを選べるので、コスパよくセキュリティ対策ができるでしょう。

【サービス19】SecureSoft Sniper IPS

「SecureSoft Sniper IPS」の特徴は、スループット性能が高いことです。

ハイグレード製品の「SecureSoft Sniper IPS 10G」シリーズでは、最大20Gbpsを誇るので、大容量ファイルを頻繁に送受信する機会が多い事業者におすすめです。

インターフェースやマニュアルなどはすべて日本語なので、簡単に導入・操作できるでしょう。

【サービス20】WAPPLES

「WAPPLES」は世界各国70万サイトで導入されており、とくにアジア・パシフィック地域ではシェア№1を誇るWAFサービスです。

アップデートを行う必要がないように設計しているため、管理担当者の経験や知見に左右されることなく、常に一定のセキュリティ運用ができます。

アライアンス型のWAPPLEだけでなくソフトウェア型の「WAPPLE SA」や、クラウド型の「Cloudbric WAF」など、さまざまな形態で用意されています。自社のネットワーク環境に適した形態を選ぶようにしましょう。

まとめ：WAFサービスは自社ネットワーク環境に合わせて選ぶべし

WAFサービスはさまざまな種類のサービスが提供されているので、選び方が非常に重要となります。選び方を間違えてしまうと自社ネットワーク環境に合わずに導入できなかったり、脆弱性に対処できなかったりしてしまいます。

また、WAFサービスによって費用はピンキリなので、予算に応じて選ぶことも大切です。多くのサービスは柔軟にカスタマイズして費用を最適化できるので、自社に必要な機能だけ取り入れるといいでしょう。

なお、WAFだけ入れれば全ての不正が防げるかというと、そうでもありません。たとえばサイトからの不正アクセスはWAFでは防ぎきれないため、不正アクセスを検知するサービスの導入が必要です。

とはいえ「不正アクセスが現状起きてるかわからないし、導入に踏み切るのが難しい」と考える方もいるでしょう。このような場合は、不正検知サービス「O-PLUX」のトライアルを利用して、不正アクセスの状況がわかるレポートを作成してみませんか。

O-PLUXのトライアルについては、以下から資料をダウンロードしてご覧ください！

1万円で2週間のトライアル利用も受付中！
O-PLUXのトライアルはこちら

※金融機関等には不正ログイン検知サービス「O-MOTION」として提供しております。