OSSの無料WAF製品を比較
まずは無料で使えるOSSのWAF製品を紹介していきます。
ModSecurity
ModSecurityはWebサーバにインストールして利用するホスト型WAFで、柔軟なルール設定が可能です。オープンソースWAFとして開発が最も活発で、世界中で広く利用されています。ユーザーからのフィードバックが得やすく開発が進めやすい点も特徴です。さらに、攻撃検知用のルールが標準で用意されているため、OSSの中でも比較的扱いやすいといえます。
NAXSI
NAXSIはNBS System社が開発を主導するオープンソースのWAFで、安定した運用実績があります。シグネチャに依存せず、ホワイトリスト型で防御を行うのが特徴です。適切に設定すれば、OSSでありながら高い防御力を発揮できます。
ホワイトリスト型という言葉については、以下の記事で紹介していますので参考にしてみてください。
オープンソースは、無料である反面、運用のサポートはありませんので、WAFの基礎がある程度固まっていないと運用は難しいでしょう。以下の記事でWAFの基礎を解説していますので、今一度WAFについての理解を深めましょう。
OSSのWAFのメリット
OSSのWAFにはどのようなメリットがあるのか見ていきましょう。
ライセンスが無料で導入コストを抑えられる
OSSのWAFは、ソフトウェアのライセンス自体がフリーなため、コストを抑えられることが最大のメリットです。
ベンダーが提供するWAFは、どの提供形態でも高額の初期費用とライセンス費用が必要になります。また、定期的に保守・運用の費用が発生することもあるでしょう。
OSSの場合、ライセンス費用がかからず無料で利用できるため、コスト削減に貢献します。先程紹介したOSSもソフトウェアが無料なため、初期費用がかかりません。
ほとんどのOSSでは、Webアプリケーションの改修を行ったり、ほかのネットワーク機器の増設は必要ないため、短期間で導入できます。
WAFの機能改善がスピーディにできる
OSSのWAFはカスタマイズ性に優れており、フィードバックを反映させやすいため、機能の改良がスピーディです。
しかし、先程も述べたとおり自社で開発しなければならないため、ベンダーから提供されるWAFよりも運用・改善のための工数がかかります。ソフトウェア自体が無料で使えるからと言って、必ずしもトータルコストが下がるとは言えない点には注意しましょう。
OSSのWAFの注意点
OSSのWAFには無料で使え、柔軟性も高いというメリットがありますが、導入・運用にあたっては注意点があります。詳細を見ていきましょう。
自社で運用・管理しなければならない
OSSのWAFは自社で開発し、同時に運用や管理まで行う必要があります。そのため、OSSのWAFを利用するためには、専門的な知識と技術を持ったエンジニアの存在が必要不可欠になるでしょう。
OSSのWAFの中にはホワイトリスト型のものがあり、適切に設定を行わないと必要な通信も全てブロックしてしまいます。
日本語の情報が少なく扱いづらい
OSSのWAFはほぼ海外製品であり、日本語の情報が少なく扱いづらい点にも注意しましょう。仮にOSSを扱う知識や技術があったとしても英語が分からなければ自社が求めるレベルの開発・運用は行えません。
OSSを利用するときは、開発元の言語を理解する必要があることにも注意する必要があるでしょう。
サーバへの負担が大きい
OSSで提供されているWAFのほとんどはホスト型であり、サーバに直接インストールします。このようなホスト型のOSSの場合、サーバリソースを多く使用するため、性能はサーバのスペックによって左右されます。
高いレベルで運用しようとすると、高性能なサーバを用意する必要があるでしょう。一方でベンダーが提供するWAFはクラウド型のものがほとんどのため、ソフトウェアの無料にこだわり、OSSのWAFを導入するために高性能なサーバーを導入してしまうと、結果としてコストがかさむ可能性があることにも注意しましょう。
ここまでで、OSSのWAFを導入するには自社の環境を事前に整備しておく必要があることがおわかりいただけたと思います。すぐにフリーでOSSのWAFを導入できる環境が整備されていない場合は、月々のランニングコストはかかるものの、サポート体制が手厚いベンダー提供のWAFを導入することをおすすめします。
以下の記事ではベンダーが提供するおすすめWAF製品を紹介していますので、OSSのWAFとあわせて検討対象に入れてみてはいかがでしょうか。
OSS無料WAFの特徴を理解して適切な活用を！
OSSのWAFは、無料で導入し迅速に機能改善できるメリットがあります。しかし、自社で開発・運用する必要があり、そのコストをトータルで考える必要があるでしょう。運用、メンテナンス環境の整備ができていない場合はかえってコストが高くなってしまう可能性があります。そもそも日本語のサポートがないこともデメリットです。
以上のような注意点に留意して、OSSのWAFを適切に活用していきましょう。OSSのWAF導入にハードルがあると感じた方は、以下のボタンから資料請求をおこない、ベンダー提供のWAFを検討対象に入れてみましょう。
