WAFでWebアプリの脆弱性を守れるか

Webアプリケーションに対する攻撃を防いでくれるWAF（Web Application Firewall）の実力を検証した。パターン・マッチングで攻撃を遮断するブラックリストに着目して，市販の主要5製品を評価した。攻撃は大半が遮断されたが，一部通過するケースがあった。中国製などの攻撃ツールを試すと，どのWAFも遮断できた。検証を担当してもらったHASHコンサルティングの徳丸 浩さんに詳細を報告してもらう。