WebアプリとDBが危ない！ 第2回

「自分は狙われない」という認識は捨ててください！

コスト削減時代の寵児 バラクーダのWAFとは？

バラクーダネットワークス（以下、バラクーダ）といえば「スパムファイアウォール」で有名だが、今回話を聞きに行ったのは、最近注目を集めているWAF（Web Application Firewall）アプライアンスだ。他社製品とは一味も二味も違うという噂だが、果たして何が違うのだろうか？

　今まで高価だったスパム対策アプライアンスを廉価に提供し、中小企業に高い人気を誇るバラクーダ。「ネットワーク業界のデル」とも呼べるコモディティ戦略でITコスト削減時代の寵児に躍り出ている。スパム対策アプライアンスに続き、2008年には低価格なロードバランサも市場に投入。そして、次のナイスプライスなアプライアンスはWebアプリケーションのセキュリティを守るWAFである。同社のマーケティングゼネラルマネージャの仁木均氏に話を聞く。

バラクーダネットワークスジャパンのマーケティングゼネラルマネージャの仁木均氏

編集部　Webサーバ（アプリケーション）の脆弱性を狙った攻撃が増えているようですね。

仁木氏　ええ。攻撃そのものは数年前からありましたが、最近では“今攻撃されているみたいなので、何とかしてほしい”といった問い合わせが来るなど、攻撃範囲が広がった気がしますね。ですから、Webサーバを公開しているなら“自社サイトは攻撃対象にならない”という、妙な自信を持ってはいけない時期に来ているといえます。

編集部　そこで御社の「Barracuda Web Site Firewall」ですが、どのような特徴があるのでしょうか。

仁木氏　セキュリティアプライアンスの中でも、WAFは導入にお金と時間がかかるというイメージがありますよね？

編集部　ええ。加えて、導入後にもメンテナンスの手がかかるので、「運用が面倒」という印象を持っているという話も聞きます。

仁木氏　その点、弊社の製品は、既知の攻撃に関してはシグネチャ（攻撃パターンをデータベース化した辞書）として提供していますので、まず導入してすぐに攻撃を遮断できます。導入後は、弊社の「バラクーダセントラル」という部署でWebやメールを使った攻撃に関する情報を集約して、それに対処するためのシグネチャを自動で製品に配布します。設定が必要なのはシグネチャを取りに行く頻度ぐらいです。まとめますと、簡単導入で手間要らず、専任の管理者すらも不要といえます。

ローエンドモデル「Barracuda Web Site Firewall 360」

編集部　価格面では、いかがでしょうか？

仁木氏　「Spam Firewall」も同様なのですが、ユーザーごとのユーザーライセンスが不要というポリシーで販売していますので、きわめて安価に提供できていると思います。おかげさまで、中小規模から大規模なネットワークまで、幅広いユーザーに導入いただいています。

編集部　WAFは初期設定や導入が難しいと聞きますが、いかがですか？

仁木氏　バラクーダ製品は、評価導入が容易というメリットもあります。箱を開けてから30分程度の作業でWAFを体験いただけます。また、既存のネットワークの論理構成を変更することなくWAFを導入できるので、取り外すときもケーブルを抜くだけです。多くのセキュリティアプライアンスは“使ってみないと効果がわかりにくい”ものですし、他社製品と比べて安価とはいえけっこうな投資になりますから、導入前に試せるのはメリットだと思います。

編集部　ネガティブな話で恐縮ですが、それだけ導入も運用も簡単だと、その部分のメンテナンスといった技術料などで儲けようとするインテグレータにはウケが悪くありませんか？

仁木氏　そこは考え方というか発想の転換が必要ですね。つないだあとの手間が要らないということは、裏を返せば「非常に手離れがよい」といえますし、台数を多く販売することにリソースを割けると思います。また、こういったご時勢ですからお客様のご要求にも合っていると思います。

編集部　確かに、それはとても魅力的ですね。

仁木氏　導入台数に比例してセンサも増えますから、攻撃の兆候を発見しやすくなります。これはユーザーにとってもメリットです。ファイアウォールやIDS/IPSでは脆弱性は完全に守れませんので、Webサーバを公開されている企業の方は、ぜひご連絡ください

　発売されたばかりの「Barracuda Web Site Firewall」だが、2008年末にはさらに価格を下げ、170万円台からの提供が実現した。WAFの元祖である旧ネット・コンティニウム製品をベースにしているため、機能や安定度も折り紙付きだ。今後、WAF選択の筆頭に上がるのは間違いない。

■関連サイト

• バラクーダネットワークス株式会社