# WAFって何？ こんばんは、エンジニアのお家でまったり 青少尉ショーラジオのニューブルーです。 この番組は、エンジニアだからお伝えできることや 日々気になったことなど、楽しくITを学べるチャンネルです。 聞きに来てくださってありがとうございます。 はい、今日は今更聞けない IT用語シリーズになります。 世の中にあふれているIT用語ですとか、 英語のよくわからない略称、 難しいと思って避けてしまいがちな単語などなど、 この放送を聞いて、 皆さんがITというものをもっと身近に 感じてもらえれば嬉しいです。 また、本シリーズはハッシュタグがありますので、 そちらからこのシリーズの放送も 聞いていただければと思っております。 はい、ということで、昨日はネットワークの門番という形で ファイアウォールについてお話しさせていただきました。 住所とかIPアドレスの住所ですとか、 ポートとかの、そのような情報を見て、 怪しいやつを門前払いするという、 本当に頼もしい存在だったんですが、 とはいえ、最近のサイバー攻撃というか、 そういうものはどんどん巧妙になっていて、 普通の顔をして堂々と 正面からやってくるんですよね。 これは脆弱性シリーズで、先週かな、 4回にわたって脆弱性を何個か紹介させていただきましたが、 そういう攻撃って、本当に 正面から堂々と入ってくるんですけど、 それに対してファイアウォールでは 対応できないんですよね。 見た目は大丈夫な人なので、 通してしまうという問題がありましたと。 それに対して対応するのが、 今回お話しするWAFという形になっていきます。 WAFって何という話なんですが、 これもWAFって書いてWAFって読むんですが、 正式名称というかフルで言うと Web Application Firewallです。 その文字の通り、ウェブサイトの 専用の防火壁という形になっていきます。 先ほど言ったように普通のファイアウォールとの違い、 決定的な違いは通信の中身を見ます。 それをするかどうかというのが大きな、 簡単に言うとという感じですか。 それがファイアウォールとWAFとの 違いになってきます。 リアルで例える話をすると、 空港のセキュリティチェックを考えていただければと思います。 まず、昨日お話ししたファイアウォールについては、 ただ単に空港の入り口を想像していただければと思います。 空港で飛行機に乗る前に、 まずチケット持ってますかって確認されると思うんですけど、 それは正しい情報というか、 あとは国際線だったらパスポート持ってますかというか、 そういう形のいろんなチェックが あると思うんですけど、 それってその情報がちゃんと持っていれば 通らせてもらえますよね。 でもその中身、その人が持っているカバンの中に 実は爆弾が入っていたとか、ナイフが入っていたとか、 そういう情報ってその後で出てくるんですけど、 空港の本当の入り口の部分、パスポートチェックとか、 そういうチケットチェックですとか、 そういうところではチェックされないですよね。 ここまでが普通のファイアウォールのお話になります。 ここからがWAFの特徴というか、 中身を見るっていうことになっていきます。 空港で中身を見るといえば、手荷物検査場というか、 X線の審査もあると思うんですけど、 その入り口を通った後ですね、その後に、 ちょっとカバンの中身見せてくださいねみたいな感じで、 手荷物検査場に行くと思うんですけど、 それと同じようなことがWAFの中では起こります。 なので、そのカバンの中に危険物、 リアルで言うと爆弾ですとか、ナイフですとか、 そういうものにはなるんですが、 WAFのアクセスに関しては、危険な攻撃のコードですね。 脆弱性のところでお話ししましたけど、 SQLインジェクションだったら、 それをSQLインジェクションをするための 特殊なコードというのが存在します。 それがあるかどうかというのをチェックを行います。 それによって、これはSQLインジェクションを 狙った攻撃だなというのを判断すれば、 そのWAFがそこでブロックする という形になっていきます。 # あの「攻撃」もWAFが防ぐ！ はい、という感じでちょっとチャプターを変えるのを すっかり忘れて話してしまったんですが、 そんな感じでSQLインジェクションに対する対応として、 そのカバーの中身をチェックして、 カバーの中身って大変ですね。リクエストの中だと データの中身ですかね、リクエストデータの中身。 その中に変な命令文が書き込まれていないか というのをチェックして、 WAFがこれは危険なコードだというのを判断したら、 もうそこでブロックするという仕組みになっています。 これSQLインジェクションだけじゃなくて、 その次の脆弱性能シリーズでお話ししました クロスサイトスクリプティングですとか、 クロスサイトリクエスト4をJerryは確か、 それは対応できたかな。 ちょっとちゃんと覚えてない。 それはアプリケーションのほうで ちゃんと対応しないといけなかったかな。 クロスサイトスクリプティングについても 同じような悪意のあるコードが、 そのデータの中身を見れば分かるので、 WAFはそれを判断して、 これはクロスサイトスクリプティングに攻撃だなという判断をして ブロックするという形になっていきます。 という感じで、昨日の普通のファイアウォールというのは、 ウェブサイトへのアクセスをいいのか悪いのかというのを判断して、 単純にそのリクエストがいいのか悪いのかぐらいしか 判断できなかったんですけど、 今回の今日お話ししているWAFというのは、 その来た人がちゃんと中身のほうをチェックして、 この命令というか、 このリクエストは本当に大丈夫な命令なのかというのをチェックして ブロックするなり通すなりというチェックをしてくれるという、 本当にウェブアプリケーションを作るにあたって、 普通はというか、ウェブアプリケーション側で、 脆弱性のときにもお話ししたんですけど、 ウェブアプリケーション側で脆弱性には対応するんですが、 その1個手前でも脆弱性に対応してくれるみたいな防御壁というか、 そういうのを作るのも一つの方法にはなってくるので、 WAFを導入している会社とかも結構あるのかなと思います。 ただこれWAFを導入すると、本当にちょっといろんなややこしいというか、 特殊な部分もあったりするので、 そのあたりは導入の仕方とかはこの回では触れないですけど、 この回ではですか、今後も多分触れることはないと思うんですけど、 もし導入興味がある方はって言ったら変かな。 多分普通の人は入れないと思うので、 会社に行っている方でWAFを入れるという機会がありましたら、 お話し聞けるかなとは思います。 ということでまとめに入っていきます。 またチャプターを変えるのを忘れてますね。 # まとめ はい、まとめです。WAF、W-A-F、 Web Application Firewallというものは、 ウェブサイトへの通信の中身をチェックする ガードマンになっていきます。 脆弱性のSQL Injectionですとか、 クロスサイトスクリプティングに代表される 悪意のあるコードを送信して攻撃する というようなものに対して中身をチェックすることによって、 これは危険なコードだなというのを 判断すれば、WAFがその通信をブロックする というような仕組みを持った ファイアウォール、防火壁という形になります。 最近の本当にウェブサイトは、 第一段階でファイアウォール、 普通のファイアウォールを置いて、 特定の悪い人からのブロック、 IPからの攻撃というか通信を もう全部遮断するとかいうのをして、 その後ろにWAFを導入するという形で、 二段構えというか、 そんな感じで皆さんの大切な情報を 守っているというサービスというか、 そういうところも大体多くなって きているので、そうやってファイアウォール、 たくさんのファイアウォールによって 皆さんの情報を守られているんだなというのを、 ちょっと今日は頭の片隅に 覚えて帰っていただければと思っております。 ということで、今更聞けないIT用語、 今日はWAF、ウェブアプリケーションファイアウォールについて お話しさせていただきました。 それでは、今日も適当にまったりお過ごしください。 ありがとうございました。 # おまけ：デジタルデトックスのすすめ おまけです。 デイリートークテーマですね。 今日のデイリートークテーマは、 デジタルデトックスの進めということで、 皆さん、これをお聞きのあなた、 デジタルデトックス、つまり、 スマホを触らない時間ですとか、 デジタルから離れる時間は取っていますでしょうか、 という話をしていて、 今、これVoicyを聞きに来ていただけているということは、 デジタルデトックスできていないんですけど、 聞きに来ていただいてありがとうございますではあるんですが、 デジタルデトックスは、 結構いろんな方がお勧めしているのを聞きはしますが、 私は別に、そこまでデトックスする必要はないのかなと思っていたりします。 今日は何を話そうかなといろいろ考えていたんですが、 デジタルデトックスって難しいですよね。 なんでデジタルデトックスって難しいのかっていうのが、 結構、今、見れているVoicyもそうなんですが、 実は、いろんな戦略によって、 今、聞きに来ていただいているあなたの関心を奪われている。 奪われているっていう表現ですね。 奪うためにいろんな施策が、 このVoicyのアプリとか仕組みの中に含まれているんですけど、 そんな話をちょっとだけしていこうかなと思っています。 これって、何か言葉があるのかなと思って検索してみたんです。 AIに聞いてみたんですけど、 名前があるらしいですね。 Attention Economyっていうらしいです。 Attentionが関心ごととか注目させるとかいう英語で、 Economyは経済っていう形になるので、 関心経済というか、関心ごととかを、 お金と同じ価値がある資源だというのを考えて、 それを奪い合う経済。 なんか難しいので、 あんまりこういう言葉とか専門用語になるのかな。 こういうのってあまり好きではないんですけど、 本当に今聞きに来ていただいているあなたの時間って、 1日24時間しか存在しないのに、 こうやって今何秒間か何分間か分からないですけど、 本当に聞きに来ていただいて、 本当にありがとうございますなんですが、 実はこれ、ボイシーさんが仕掛けた、 実は罠に引っかかっているかもしれないっていうお話です。 まずこの放送を何となく聞きに来ていただいた方と他に、 この私のチャンネルをフォローしていただいて、 通知機能ってありますよね。 あれもAttention Economyという中の一つの手法というか施策で、 通知が来るとやっぱりどうしてもちょっと気になっちゃいますよね。 スマホを肌に離さず持っていたとしても、 ポケットの中にしまい込んでいたら気づかない、 私が放送を開始した、 毎日19時、夜19時に放送しているっていうのも、 一種のこのAttention Economyなのかなと思うんですけど、 それとは別で通知っていう機能がボイシーさんには存在します。 通知が来たらやっぱり気になりますよね。 スマホがブルっと震えたら気になりますよね。 SNSでも毎回何か誰かからのレプライが届いたら、 ブルっと震えたら気になりますよね。 見に行きたくなっちゃいますよね。 もうあなたはこのAttention Economyにドックされているというか、 もう踊らされている状態になっています。 っていうのが一個の仕組みになるんですよね。 これってやっぱりどうしても人間の特性というかになるので、 しょうがないのかなと思うので、 ということは通知をオフにしましょう。 これもよくデジタルデトックスのよく言われる方法ですよね。 本当にその、なのでまず通知をオフにしましょうっていうのが一個目の対策。 こういうふうにこのAttention Economyに対する、 違うな、Attention Economyがこういうことをしているんだっていうのが分かれば、 それの対策、逆のことをすることによって、 デジタルデトックスができるのかなと思ったりします。 まず通知の機能が一つですね。 もう一つとして、これも結構名前聞いたことあるかもしれないですけど、 無限スクロールっていうものが存在します。 最近もうウェブサイトなりアプリなり、 無限スクロールっていうのがもうほぼほぼデフォルトになってきているぐらいの、 デフォルトじゃない、デファクトスタンダードかな、 になってきていると思います。 これ、ボイシーさんも採用されています。 アプリのトップページにずっと下へ下へスクロールしていきます。 永遠にいろんなテーマの放送がどんどんどんどん流れてきます。 スクロールスクロールスクロールしても終わりは見えません。 これが無限スクロールって呼ばれるんですけど、 これウェブサイトでもアプリでも結構実装は簡単にできるんですが、 続きがある、いつも終わらない、やめ時が分からないっていう人間心理を捉えて、 先が気になる、次が見たいとか、そういう心理もあるでしょうし、 その中から気に入ったものをポチってしてしまう。 はい、もう無限スクロールの大トラされております。 という感じであるので、無限スクロールをしないようにするには、 スマホから手を離しましょうっていう話なんですけど、 まあ難しいですよね。 なので、何ができるでしょうね。 簡単に指でフリックとかスクロールできちゃうからまずいんであれば、 スマホをやめて大きいiPadにしてみるとか、 iPadだったらペンタブ、ペンタブ?ペンかな?ペンシルかな? あれを使ってみるとか、 指でスクロールするよりスマホでスクロールするより画面が大きくなって、 スクロールの量が大きくなったらしんどくなるでしょうし、 さらにペンでスクロールしないといけないってなったら、 ちょっとややこしくなっていくでしょうし、 っていう感じで、 あなたがちょっとずつ大変に1個の簡単なスクロール、 指でシュッてするだけのスクロールから、 ちょっとでもそのスクロールを難しくしていく仕組みを設ければ、 もしかしたら無限スクロールの餌食というか、 そこから脱出できるんじゃないかなと思います。 それが2つ目。 その後もう1つ、承認欲求ですね。 いいねっていう仕組みがあります。 これも実はアテンションエコノミーですよね。 通知が来ます。いいねが来たら通知が来ます。 いいねが来ないかなと。 例えばボイシーさんだと、 リスナーさんの方でもコメントにいいねが付けることができます。 なので、いいねを付けてもらうためにコメントを考えたりとか、 コメントに対していいねが来ないかな、 いいね付いてないかなみたいな感じで、 同じ放送をもう1回見に、 そのページを開きに行くみたいなことってないでしょうか。 SNSとかだったら結構多いのかなと思ったりするんですけど、 今、いいねの数何個になったかなとか、 そういう感じのものを見に行ってしまうっていうのもあるのかなと思うんですけど、 そういうのも本当に承認欲求の、 それをうまく利用して、 あなたのアテンション、関心を利用されて、 あなたの時間がどんどん奪われていくというか、 そういった感じで、この例えに出した3つだけじゃないと思います。 もっとたくさん、今パッと思いついたのが3つで、 AIとは壁打ちして3つぐらい出てきたんですけど、 他にもいろんな手法が、 たぶんボイシーさんの中にも存在すると思います。 他のウェブサイトにももっとごみょな罠がたくさんあると思います。 それを見つけたら、それに対応する方法を、先ほどお話しした3つの方法。 いいねに関しては、もう気にしないっていうのが、 承認欲求は気にしないにするしかも精神論だと思うので、 対策は難しいんじゃないかな。 いいねさせないようにするなんて無理ですし、コメントしないっていう方法しかないので、 難しいと思うんですけど。 なので、そうやっていろんなアテンションエコノミーに対する手法を理解して、 それに対応する方法を考えて、 その方法によってデジタルデトックスが進んでいけば、 いいなと思っております。 本当にあなたの時間、無限じゃないので、1日24時間しかないので、 今こうやってボイスを聞きに来ていただいて本当にありがとうございますなんですが、 たまにはデジタルデトックスを進めた方がいいのかな。 どうなんでしょう。 私個人的に本当に別にダラダラ聞いてるのは良くないと思うんですけど、 ちゃんと意味を持って聞きに行ったりとか、 SNSとかもちゃんと意味を持ってSNS運用というか、 そういうのをしているんだったら全然問題ないと思うので、 ダラダラデジタルを使うことなく意味のあるデジタルを使いましょうということで、 まとめになっているかな。 そんな感じで私の思いをつらつらとお話しさせていただきました。 最後まで聞いていただきありがとうございます。 当チャンネルでは今更聞けないIT用語シリーズとして、 身近でよく聞くIT用語だけど何それってなるような用語を 誰にでも分かる形でお話しさせていただいています。 またプレミアム放送もやっております。 プレミアムでは公開できないプライベートなお話ですとか、 一般放送よりも先に情報を公開するなど、 プレミアムの方限定の放送も行っておりますので、 ぜひ興味のある方は登録お願いします。 その他各種SNSでも更新活動を行っておりますので、 フォローお願いします。 それでは今日も適当にまったりお過ごしください。 ありがとうございました。