WAFとは【図解でわかりやすく】

最終更新日：2026年7月16日

30秒でわかる結論

WAF（Web Application Firewall）はSQLインジェクション・XSSなどWebアプリを狙う攻撃に特化した防御の仕組み。試験では「①ファイアウォール（ポート制御）との守備範囲の違い（WAFはアプリ層の中身を検査）」「②SQLインジェクション・XSSを防ぐのがWAFの主な役割」「③既存アプリへの補完的防御として使われること」が頻出です。

SQLインジェクション等、Webアプリを狙う攻撃に特化した防御の仕組み。通常のFWでは防げない層を守る。

ファイアウォールがあるのに、なぜWebサイトは攻撃されるのか——答えは「守っている階層が違う」からです。

図解

解説

WAF（Web Application Firewall）は、Webアプリケーションを狙う攻撃——SQLインジェクションやクロスサイトスクリプティング（XSS）など——を検知・遮断することに特化した防御の仕組みです。

通常のファイアウォールは「どのポート（通信の入口）を開けるか」というレベルの制御を行います。しかしWebサイトへの攻撃は、正規に開けているWeb用の入口（443番ポート等）を通る「正規の通信のふりをした攻撃」なので、素通りしてしまいます。WAFはこの通信の中身（アプリケーション層)まで検査し、攻撃パターンを見つけて止めます。

本来の根本対策はWebアプリを安全に開発すること（入力値の検証、プレースホルダの利用など）ですが、WAFは既存アプリへの防御層の追加や、脆弱性を修正するまでの応急的な保護として広く使われます。

試験では、ファイアウォール・IDS/IPS・WAFの守備範囲の違い（入口の制御／通信の兆候／Webアプリの中身）を区別させる問題が定番です。

具体例

①ECサイト：ログインページに「' OR 1=1 --」というSQLインジェクション文字列が送信→WAFが検知してブロック。②XSS対策：コメント欄に悪意あるスクリプトを含む入力→WAFがスクリプト文字列を含む投稿を遮断。③応急対策：脆弱性のあるWebアプリを修正するまでの間、WAFを前段に置いて一時的に防御（仮想パッチ）。

間違えやすい類似用語

WAF vs ファイアウォール（FW）：FWは許可するポート/IPアドレスを制御（ネットワーク層）。WAFはWebの通信の中身（HTTPリクエストの内容）を検査してアプリへの攻撃を検知・遮断（アプリケーション層）。守備対象の層が異なる。
WAF vs IDS/IPS：IDS/IPSはネットワーク上の不審な通信パターンを検知・遮断する仕組み（通信の兆候レベル）。WAFはWebアプリに対する攻撃パターン（SQLインジェクション等）に特化した検査。WAFの方がWebに特化した深い検査を行う。

覚え方

普通のFWは玄関の門番、WAFはWeb窓口専属のボディチェック

試験での問われ方

情報セキュリティマネジメント試験では「①WAFの定義（Webアプリを狙う攻撃を検知・遮断するFW）」「②防ぐ攻撃の種類（SQLインジェクション・XSS）」「③通常のFWとの守備範囲の違い（WAFはアプリ層を検査）」が頻出。問題文に「SQLインジェクションやXSSを防ぐために設置する」が出たらWAFと判断しましょう。