WAFとは？ファイアウォール・IPSとの違い、種類と守れないもの｜中小企業のWebサイト・業務システムに必要か
「PHP2Shellの報道でWAFという言葉を見かけたが、自社に必要なのかわからない」「レンタルサーバーにWAFの設定があるが、オンにしてよいのか不安」。Webサイトや業務システムの安全性を考えるとき、WAFは候補によく挙がる対策です。一方で、何を守れて何を守れないのかが知られないまま導入されることも少なくありません。
この記事では、中小企業の情報システム担当者や経営者の方に向けて、WAFの仕組み、ファイアウォール・IPSとの違い、守れる攻撃と守れないもの、種類ごとの特徴、導入の流れ、誤検知への対応を、IPA（情報処理推進機構）の資料をもとに整理します。情報は2026年10月23日時点のものです。
- WAFは、Webサイトへの通信の中身を調べ、SQLインジェクションやXSSなどの攻撃を遮断する仕組みです。IPAは「脆弱性を直す対策ではなく、被害を緩和する対策」と位置づけています。
- ロジックの不備、パスワードの使い回し、未修正の脆弱性のすべては防げません。ソフトウェアの更新や脆弱性の修正が先です。
- 種類はクラウド型・ホスト型（ソフトウェア型）・アプライアンス型の3つ。専任者がいない中小企業は、クラウド型やレンタルサーバー付属のWAFから検討するのが現実的です。
- 導入直後は検知のみのモードで誤検知を確認してから遮断に切り替えます。
目次
WAFとは
WAF（Web Application Firewall、ウェブ・アプリケーション・ファイアウォール）とは、Webサイトや業務システムなどのWebアプリケーションに届く通信（HTTP・HTTPS）の中身を検査し、攻撃と判断したものを遮断する仕組みです。ソフトウェアのものと、専用の機器のもの、外部のサービスとして提供されるものがあります。
IPAの「Web Application Firewall 読本」は、WAFを脆弱性そのものを直す根本的な対策ではなく、攻撃による被害を抑える「緩和策」と位置づけています。プログラムの修正にすぐ取りかかれないときの「つなぎ」や、修正漏れに備える「保険」として使うのが、本来の役割です。
ファイアウォール・IPSとの違い
名前が似ているファイアウォールやIPSとは、守る対象と調べる内容が異なります。
ファイアウォール・IPS・WAFの違い
| 項目 | ファイアウォール | IPS（侵入防止システム） | WAF |
|---|---|---|---|
| 主に見るもの | 通信の送信元・宛先（IPアドレス、ポート番号） | OSやサーバーソフトなどを狙う、既知の攻撃パターン | Webアプリケーションに届くHTTP・HTTPSの中身（入力された値など） |
| 得意なこと | 使わない通信や、許可していない相手からの接続を止める | ネットワーク全体で、さまざまな既知の攻撃を止める | SQLインジェクションやXSSなど、Webアプリケーションへの攻撃を止める |
| 苦手なこと | 誰でもアクセスできる公開Webサイトへの攻撃は通してしまう | Webアプリケーション固有の攻撃は見逃すことがある | HTTP・HTTPS以外の通信は対象外 |
公開しているWebサイトは「誰でもアクセスできる」ことが前提なので、ファイアウォールでは通信を絞れません。そのため、通信の中身を見て判断するWAFが別に必要になる、という関係です。
WAFで守れる攻撃と、守れないもの
WAFは万能ではありません。IPAの2019年の資料「Web Application Firewallの導入に向けた検討項目」でも、「WAFを導入すればすべての攻撃を防げる」という考えは誤りだとしています。
WAFで防ぎやすいもの・防げないもの
| 区分 | 例 | 理由 |
|---|---|---|
| 防ぎやすい | SQLインジェクション、クロスサイト・スクリプティング（XSS）、OSコマンド・インジェクション、ディレクトリ・トラバーサル | 攻撃の通信に特徴的なパターンがあり、検出しやすい |
| 防げない | ロジックの不備（権限のない人が他人のデータを見られる、など） | 通信としては正常なリクエストに見えるため、攻撃と区別できない |
| 防げない | ID・パスワードの使い回し、漏れたパスワードでの不正ログイン | 正しいID・パスワードでのログインは、正規の利用と見分けにくい |
| すべては防げない | 未修正の脆弱性 | 既知の攻撃パターンに合うものは止められるが、パターンが用意されていない攻撃や、パターンを変えた攻撃は通ることがある |
| 対象外 | Web以外の経路（リモートデスクトップ、メール、ファイル共有など） | 一般的なWAFはHTTP・HTTPS以外の通信を検査しない |
WAFの種類と比較
IPAの資料は、WAFを大きく3つに分けています。これに加えて、中小企業ではレンタルサーバーに付属するWAFもよく使われます。
WAFの種類ごとの比較（目安）
| 種類 | 導入の手軽さ | 費用感 | 設定の自由度 | 運用の手間 | 向いている規模・環境 |
|---|---|---|---|---|---|
| レンタルサーバー付属 | とても手軽（管理画面で有効にするだけのことが多い） | サーバー料金に含まれることが多い | 低い（攻撃の種類ごとに設定できる程度） | 小さい | レンタルサーバーで動く企業サイト・小規模なWordPress |
| クラウド型 | 手軽（短期間で導入しやすい） | 比較的低い〜中程度。月額の利用料が中心 | 中程度（提供元の範囲内） | 小さい | 小〜中規模のWebサイト・Webシステム |
| ホスト型 | 中程度（サーバーへの導入・調整が必要） | 機器は不要で比較的安価 | 高い | 中程度（ルールの調整に知識が必要） | 自社や委託先でサーバーを管理している場合 |
| アプライアンス型 | 手間がかかる（機器の調達・設置が必要） | 高い（機器の購入費・保守費） | 高い | 大きい | 大規模なシステム、専任の担当者がいる組織 |
クラウド型は導入が早く運用の負担も小さい一方で、設定の自由度は限られ、提供元の障害の影響を受けることがあります。ホスト型はサーバーの処理能力を使うため、アクセスが多いサイトでは性能への影響も確認が必要です。選ぶときは、IPAの資料が挙げるように導入期間と費用、設定の自由度、導入後に自社（または委託先）で運用できるかの3点で比べると整理しやすくなります。
関連記事オンプレミスとクラウドの違い｜業務システムはどちらを選ぶべきか
PHP2Shellで見えた「WAFの役割」
2026年10月21日に公表されたPHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618・CVE-2026-109619）では、WAFの役割がよくわかる動きがありました。
- CDN事業者がWAFルールを配布：Help Net Securityは、大手CDN事業者が、自社のネットワークを経由するPHPサイト向けに、既知の攻撃手法に対応した初期のWAFルールを無料利用者も含めて配布したと報じました。修正版の公開とほぼ同時に、利用者が設定しなくても自動で適用されるルールとして提供されました
- クラウド事業者もルールを更新：大手クラウド事業者も、WAFのPHP向けルールを更新し、追加の設定例を公開しました
- どちらも「更新の代わりにはならない」と明言：各社とも、根本的な対策はPHPを修正版に更新することだけだとしています。攻撃者がルールを避けるために攻撃の形を変えていることも報告されました。また、WAFが検査できるのはリクエストの一部に限られる、ファイルのアップロードを止めると正規の機能も使えなくなる、といった限界も示されています
つまり、WAFは「修正版を当てるまでの間、被害の可能性を下げる」役割を果たしましたが、それだけで安全になったわけではありません。特に、修正版が出ないPHP 8.1以前のシステムは、WAFに頼り続けるのではなく、サポート中のバージョンへの移行が必要です。
関連記事PHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618・109619）｜業務システムで確認すること・修正版・8.1以前の対応【2026年10月】
WAFの導入の流れと誤検知への対応
IPAのWAF読本は、導入直後はいきなり遮断せず、検知した通信を記録するだけの状態で運用し、誤検知がないかを確かめる進め方を示しています。
- 守る対象を決める公開サイト、問い合わせフォーム、会員ページ、業務システムなど、どこを守るかと、現在のサーバー環境を整理する
- 種類を選ぶ導入期間と費用、設定の自由度、運用の体制から、クラウド型・ホスト型・アプライアンス型・レンタルサーバー付属のどれにするかを決める
- 検知のみのモードで動かす攻撃と判断した通信も遮断せずに通し、ログだけを記録する。まずテスト環境で、次に本番環境で確認する
- 誤検知を確認・調整するログイン、フォーム送信、管理画面での更新、ファイルのアップロードなど、主な操作を一通り試し、正常な操作が攻撃と判定されていないかを見る
- 遮断に切り替えて運用する問題がなければ遮断を有効にする。その後も、ログの確認とルールの見直しを続ける
誤検知が起きたら
誤検知（フォールスポジティブ）とは、正常な通信を攻撃と判定して止めてしまうことです。たとえば、管理画面でHTMLやスクリプトを含む文章を保存しようとしたら、エラーになって保存できない、といった形で現れます。
- ログで原因のルールを特定する：どの操作が、どのルールで止められたかを確認します
- 除外は最小限にする：WAF全体を止めるのではなく、該当のルールだけ、該当のページだけを除外します
- 一時的に止めたら、必ず元に戻す：作業のためにWAFを無効にした場合は、作業後に有効に戻したかを確認します
- 見逃しにも注意する：攻撃を通してしまう「見逃し」もあります。システムの仕様を変えたときは、ルールが合っているかも見直します
社内で設定の見直しやログの確認ができない場合は、運用を含めて任せられるサービスや、保守の委託先に依頼することも選択肢です。WAFの運用を誰が担当するかは、保守契約の範囲として明確にしておきましょう。
WAFだけに頼らないために
WAFは、ほかの対策と組み合わせて初めて効果を発揮します。WAFを入れたあとも、次の対策を続けてください。
- ソフトウェアを更新する：PHP、CMS、プラグイン、ライブラリ、OSを、サポート中のバージョンで最新に保ちます
- 脆弱性を見つけて直す：定期的な脆弱性診断で、プログラムのロジックの不備など、WAFで防げない問題を見つけます
- ログインを強くする：パスワードの使い回しをやめ、多要素認証や、管理画面へのアクセス元の制限を検討します
- ブラウザ側の守りを固める：セキュリティヘッダーで、XSSやクリックジャッキングの被害を減らします
- 異常に気づける体制をつくる：改ざんや不正ログインの兆候を確認する手順と、連絡先を決めておきます
関連記事セキュリティヘッダーとは？HSTS・CSPなどの役割と設定例｜Apache・nginx・WordPress
関連記事Webサイトの改ざん・不正アクセスの確認方法と初動対応｜症状・調べ方・個人情報保護委員会への報告と相談窓口
10の質問と、サイトのURLから公開されている情報（HTTPS、セキュリティヘッダー、PHPのバージョン表示など）を確認できる簡易セキュリティ診断を用意しています。WAFを検討する前の現状確認にお使いください。登録は不要です。
よくある質問
- 中小企業の小さなWebサイトにもWAFは必要ですか？
- 問い合わせフォームや会員ページなど入力を受け付ける機能があるサイトでは、導入を検討する価値があります。レンタルサーバーに付属のWAFがあれば、まず有効にして誤検知がないかを確認するのが手軽です。ただし、WAFより先に、ソフトウェアの更新ができているかを確認してください。
- WAFを入れれば、PHPやWordPressの更新は後回しにできますか？
- できません。WAFは既知の攻撃パターンを止めるもので、脆弱性そのものは残ります。PHP2Shellでも、WAFを提供する各社が「根本的な対策はPHPの更新だけ」としていました。
- WAFを有効にしたら、WordPressの記事が保存できなくなりました。
- 誤検知の可能性があります。WAFのログで止められたルールを確認し、該当のルールやページだけを除外してください。作業のためにWAFを一時的に無効にした場合は、作業後に必ず有効に戻しましょう。
- ファイアウォールがあればWAFは不要ですか？
- 役割が違います。ファイアウォールは通信の送信元や宛先で制限するため、誰でもアクセスできる公開Webサイトへの攻撃は通してしまいます。Webアプリケーションへの攻撃は、通信の中身を見るWAFで対策します。
- WAFの費用はどのくらいですか？
- 種類や契約内容、守るサイトの数、通信量によって大きく変わります。一般に、レンタルサーバー付属やクラウド型は手軽で、アプライアンス型は機器の費用と運用の手間が大きくなります。具体的な金額は、各サービスの公式情報や見積もりで確認してください。
まとめ
WAFは、Webアプリケーションへの通信の中身を検査して、SQLインジェクションやXSSなどの攻撃を止める仕組みです。PHP2Shellのような緊急時には、修正版を当てるまでの被害を減らす役割を果たします。一方で、ロジックの不備やパスワードの使い回し、すべての未修正の脆弱性は防げません。自社の体制に合った種類を選び、検知のみのモードで誤検知を確認してから運用を始めること、そしてソフトウェアの更新や脆弱性の修正と組み合わせることが大切です。
参考：IPA「Web Application Firewall 読本 改訂第2版」（2011年）、IPA「Web Application Firewallの導入に向けた検討項目」（2019年3月28日）、Help Net Security「PHP2Shell: Critical PHP vulnerabilities patched, update now!」（2026年10月21日）、CDN事業者・クラウド事業者のPHP2Shellに関する公式ブログ（2026年10月21〜22日）。
この記事に関連するサービス
システム保守・運用
業務システムやWebシステムの監視、障害対応、セキュリティ更新、小さな修正を月額の定額制で行います。他社が開発したシステムも、引き継ぎ調査から対応します。 サービスの詳細を見る
