従来のWAFはアプリケーション保護のため、「OWASP Top 10」に列挙されているセキュリティリスクの防御や、SSL/TLSで暗号化された通信の検査、スクリプティングによるアプリケーション攻撃の防御などの機能を提供してきた。
「Advanced WAF」はこれらに加え、ボットを使った攻撃の防御や、マルウェアなどを利用した認証情報の不正入手、アプリケーションレイヤに対するDoS攻撃、APIへの攻撃など、より広範な脅威に対応するもの。また、オンプレミスと同様にクラウドでも、これらの機能を利用できるようにしている。
「Advanced WAF」の主な機能
・Webとモバイルの両方に対応した包括的なボット対策
クライアントとサーバの両方をカバーしたモニタリングによって、ボットを利用した不正アクセスをプロアクティブに防止。モバイル端末向けのアンチボットSDKも提供するす。このような包括的なボット対策を実現できるWAFソリューションは業界初。
・認証情報の盗難や不正利用に対する優れた保護：クレデンシャルスタッフィング対策
アプリケーションレベルでの暗号化によって、機密情報の盗聴を防止。データはブラウザ内で暗号化されるため、マルウエアやキーロガーからも保護されます。盗まれた認証情報を利用したブルートフォース攻撃の防御も可能。
・高精度なレイヤ7 DDoS検知
サーバの状態と負荷を自動的かつ継続的にモニタリングすることで、DoS攻撃の検出と防御を行う。攻撃パターンは機械学習と行動分析によってダイナミックに判定され、チューニングも自動的に実行される。
・APIを狙った攻撃の防御
REST API、JSON、SOAP、AJAX、XML、WSDLといった幅広いAPIを、ブルートフォース攻撃やDoS攻撃などから保護。
マルチクラウドに対応したスケーラブルな防御が可能
「Advanced WAF」は、アプリケーションセキュリティに不可欠なサービスを、プライベートとパブリックの両方をカバーしたマルチクラウド環境に展開できる。また、マイクロサービスやコンテナを使った環境にも対応しており、セキュリティサービスのポータビリティを高める。
さらに、自動化されたセキュリティポリシー機能も提供されており、AWSやGoogle、Azure環境向けのクラウドテンプレートを活用することで、新しいアプリケーションの導入時間を短縮することも可能。
このようなアプローチによって、個々の導入モデルや特定のクラウドプラットフォームに縛られることなく、アプリケーション保護を実現できます。その結果ユーザ企業は、自社のビジネスの優先順位に従い、オンプレミスとクラウドのインフラストラクチャを、自由に拡張できるようになる。
