PrimeWAF | インタビュー掲載

インタビュイー：
バルテス株式会社 セキュリティ事業部 事業部長 加賀谷 知宏 氏

PrimeWAFとはどのようなサービスですか？

PrimeWAFは、Webサイトやウェブサービス、APIをサイバー攻撃から守るクラウド型のWAF(ウェブアプリケーションファイアウォール)です。お客様のWebサイトへの通信をPrimeWAF経由に切り替えていただくと、SQLインジェクションやクロスサイトスクリプティングといった、Webアプリケーションを狙った不正なアクセスを検知し、遮断することができます。

特徴としては、クラウド型ですので専用の機器を設置する必要がなく、DNSの切り替えだけで導入できる点があります。また、当社ではセキュリティ診断の事業を手がけておりまして、そこで培ったノウハウを反映した防御ルールを標準で利用していただけます。管理画面では攻撃の状況も分かりやすく確認できるようになっています。

PrimeWAFを開発された背景について教えてください

きっかけは、バルテスグループ内で行っている脆弱性診断の事業です。脆弱性が見つかっても、アプリケーションをすぐには修正できないお客様や、継続的な防御の体制をなかなか回せないお客様がいらっしゃるだろうと考えたのが出発点です。

もう一つは中小企業の状況です。WAFは必要だと思っていただいていても、費用面の負担や人材不足のために、自社で運用するのは難しいというケースが少なくありません。そうしたハードルを一つずつ取り除くことで、セキュリティ対策を広く普及させ、対策に取り組みやすい環境をつくっていきたいという思いで、このサービスを始めました。

他社のWAFと比べたPrimeWAFの強みはどこにありますか？

強みは大きく3つあります。1つ目は料金体系です。他社では帯域幅(bps)などで課金の基準が決まることが多いのですが、PrimeWAFは使った分だけお支払いいただく従量課金で、段階も3段ほどのシンプルな体系です。そのうえで、お安くお使いいただける金額に設定しています。また、サービスローンチ当初は提供していなかったサイト入れ放題のプランもございますので、ラインナップ全体で見ても導入しやすい料金体系になっていると考えています。

2つ目は、専門知識がないお客様でも始めやすいことです。いきなりDNSを切り替えると、問題がWAF側にあるのかDNS側にあるのか切り分けが難しくなります。そこで、まずWAFの防御機能をオフにした状態でDNSを切り替え、WAF経由で通信できることを確認してから、防御機能を一つずつオンにしていく手順をご案内しています。

3つ目はサポートです。導入時に何をすればよいか分からないというご相談はもちろん、運用に入ってからの「これは攻撃でしょうか」というご質問や、正常な通信が止まってしまう過検知への対応もあります。これらはお客様側でのサイトの作りとWAFでの制御とが絡み合う部分ですので、お客様だけで判断あるいは対応しきれるものではありません。こうした調整もお客様と一緒に進めており、標準のサポートの範囲でお受けしています。

標準で使える防御ルールは、どのような情報をもとに作られているのですか？

いちばん多いのは、JVNなどで公開されている脆弱性の情報です。

それらを参考にしながら、WAFとして入れておいたほうがよいもの、今回の脆弱性には関係しないものを判断します。入れたほうがよいと判断したものは、PrimeWAFの防御ルールに落とし込み、特定のパターンの通信を遮断する設定としてお客様に提供しています。これがもっとも一般的な流れです。

PrimeWAFの導入をご相談いただく理由で、多いものは何ですか？

いちばん多いのは、実際に攻撃を受けているかもしれないという不安です。そういった状況の可視化がうまくできていないお客様が、もっとも多いのではないかと思います。PrimeWAFを導入していただくと、偵察のような通信が来ていることもログやダッシュボードで見えるようになりますので、「こんなに来ているのか」と実感される会社様もいらっしゃいます。

ほかには、すでに他社のWAFを何年か運用されてきて、契約更新のタイミングで改めて他の製品の情報収集をされる中で当社をお知りになり、比較検討のうえで選んでいただくケースもあります。この1年ほどは、お問い合わせをいただく機会が確実に増えています。

また、ご相談いただく内容も、漠然としたものから「うちは対策ができていないので」という目的意識のはっきりしたものへと変わってきており、お客様のセキュリティリテラシーが上がっていると感じています。ご相談は、圧倒的に中小企業様が多いです。

最終的にPrimeWAFを選んでいただく決め手は何でしょうか？

やはり料金や低コストという点が一番に来ると思います。金額そのものが低いこともありますが、帯域幅で課金される他社の場合は契約プランを変更する手続きが発生します。PrimeWAFではそうした手間がかかりません。

もう一つは、無料トライアル中のサポートです。本番運用と同じようにサポートしておりますので、導入時のやり取りを実際に見ていただいたうえで、安心感を持って契約に進んでくださるお客様もいらっしゃいます。

導入によって、お客様にはどのような変化がありましたか？

具体的な数字や社名、どのような攻撃が来ていたかといった内容はお出ししにくいのですが、よくいただくのは、導入初期の過検知への対応に対する「ありがとう」というお声です。導入したばかりの段階ではPrimeWAFの防御ルールとして一般的なルールのみが適用された状態ですので、すべてのサイトの個性までカバーできているわけではなく、ほとんどの場合、何かしらの調整が必要になります。

そのときに、本物の攻撃も過検知も混ざり合っている中でいま止まっている通信の情報を丁寧に共有し、「ここは絶対に通したい」という部分を一緒に整理していきます。お客様が気づいていなかった部分が見つかることもあり、調整を経て安心して運用できるようになったというお話は、よく耳にします。

遮断を有効にして本運用に移るまで、どのくらいの期間がかかりますか？

私の中では、最低1カ月という基準を持っています。月に1回しか発生しない通信も十分にありえますので、それより短い期間ですと見逃す可能性があるからです。もちろん年次の処理があるかもしれませんが、バランスとしては1カ月がひとつの目安になります。

当社の無料トライアルは、お申し込みの翌月末までの最大2カ月としています。どのお客様でも1カ月以上の期間が取れるようにしてあります。WAFの導入に際しておお客様側で割くことができる主に人的なリソースの状況も考えますと、1カ月から2カ月ほどで本運用に移られるお客様が多く、それくらいがもっとも無難なバランスだと思っています。

どのような企業がPrimeWAFに向いていますか？ 成功パターンも教えてください

前提として、WebサイトやAPIなど、何かしらのWebサービスを守りたいという企業様です。そのうえで、セキュリティのノウハウが少ない、あるいは専任の担当者を置けないというお客様に、PrimeWAFは特に合うのではないかと思っています。

成功パターンとしては、導入して終わりにせず、運用としてしっかり回していただくことが重要です。定期的に状況を確認して、「こんな通信がありましたが大丈夫でしょうか」とご相談くださるお客様もいらっしゃいます。導入したまま放置してしまうと、自分のサイトが今まさに狙われていても気づけない、あるいは気づくのが遅れてしまいかねません。どのようなセキュリティ対策であっても、状況を定期的に確認していただくことが必要と考えています。

攻撃を検知したあと、担当者が対応に迷う場合はどこまで伴走してもらえますか？

攻撃を検知した際、WAFのログとして「こういう通信が来ていて、これを止めています」というところまで見えます。そこから、サイトによっては我々の方で「このあたりに脆弱性がありそうです」と気づくこともあります。こういった情報をお客様へお伝えするのを控えるのではなく、気になる点はいったんお客様の前に出して、オープンにお話ししたうえで、どう防御するかを一緒に考えます。

具体的には、サイトそのものを変えたほうがよいかもしれません、といった案もお伝えします。他社のサポートの細かい内容までは把握していませんが、かなり近い距離で伴走している形ではないかと思います。

料金プランは、どのように選ばれる企業が多いですか？

大多数のお客様は、1サイト限定プランを選ばれています。金額だけで換算しますと、8サイト以上をまとめる場合には、サイト入れ放題プランのほうが安くなる可能性があります。ただ、中小企業様でそれだけの数のサイトをお持ちのケースはあまり多くありません。

そのため、まずは1サイトから始めていただき、実際に運用してサイト数が増えてきた段階で、入れ放題プランと比較検討していただく流れが現状では一般的です。

今後はどのような領域に力を入れていきたいですか？

どこまでお話しできるかという点はありますが、少なくとも中小企業様に向けて、いまのPrimeWAFでも改善できる部分はまだあると考えています。直近の例では、サーバー証明書の管理があります。証明書の有効期限は年々短くなっており、2029年3月15日以降では最長47日に短縮されると言われています。1年に1回であればなんとか運用できたお客様でも、期間が短くなれば負担に感じられるようになります。

そこで、証明書の管理をPrimeWAFの中で自動的に賄えるようにしたいと考えています。実際にお客様から「そういう機能を追加して欲しい」というお声をいただくこともあります。中小企業様にとって、より楽に運用していただける形を、一つずつ実現していきたいと思っています。

まとめ・編集部コメント

PrimeWAFは、バルテスグループが提供するクラウド型のWAFです。専用機器の設置が不要で、DNSの切り替えだけで導入できます。バルテスグループの脆弱性診断事業で培ったノウハウを反映した防御ルールを、標準で利用できる点も特長です。費用や人材の面で、自社だけではWAFの運用が難しい中小企業の課題に向き合って開発されたサービスです。

強みとして挙げられたのは、使った分だけ支払う従量課金のシンプルな料金体系、防御機能を段階的にオンにしていく導入手順、そして導入時から運用中の過検知の調整まで標準サポートで対応する体制の3点です。無料トライアルは最大2カ月設けられており、本運用に入る前に実際の通信で状況を確認できます。

WebサイトやAPIを守りたい一方で、セキュリティの専任担当者を置くことが難しい企業にとって、導入と運用の両面で相談しながら進められる、有力な選択肢となるサービスです。気になる方は、まず1サイトから相談してみることをおすすめします。