WAFのサービス移行を行う上での注意点

Question

WAF(Web Application Firewall)のサービスについて、ご存知の方がいらっしゃいましたら、助言いただきたく質問させていただきます。

現在、セキュアスカイ・テクノロジー社のScutum(スキュータム)というWAFサービスを利用しているのですが、毎月のコスト等の兼ね合いから、アカマイ社のWAPというサービスへの移行を考えております。

この移行の上で、考えるべきポイントであったり、注意点等を示していただけると大変助かります。
皆様からのご助言お待ちしております。よろしくお願い致します。

Answer 1

WAFの切り替えであれば、チューニングと呼ばれる調整期間が発生すると思いますが、その間のセキュリティが十分に保たれることが、移行の必須条件になるかと思います。
WAFを補助的に使用していたのであれば、それほど影響はないかもしれないですが、かなり慎重に実施計画を立てないと、予期せぬサービス停止を招くことになると思います。

Comments

[gysnet]

te2ji様、ご回答いただき誠にありがとうございます。移行の実施計画については、綿密に立てて、関係者と認識合わせをした上で、慎重に実施致します。移行中のサービス提供についての観点が少し欠けておりましたので、助かりました！

[退会済みユーザー]

ちゃんと伝わっていますかね？

導入時に2週間~2ヶ月程度のチューニングを実施したと思いますが、それと同じことをもう一度やることになります。

一般的には、その間スカスカな状態になるので、現在、WAFのみに頼った防御を行っている脆弱ポイントがあれば、事前に塞ぐ処置（アプリ改修等）が必要なります。

既存で調査資料がない場合、かなりしんどい作業になると思います。

[ockeghem]

いわゆる「クラウド型のWAF」の場合、チューニングはほとんどしないと思いますよ

[退会済みユーザー]

お、そうなんですか！
少し離れている間に、WAF 導入の裾野がだいぶ広がったってことなんですかね。。。WAF 導入推進派だったのでちょっと嬉しいです。

チューニングを必要としない、ライトな使い方であれば、「現状の防御で何をWAF任せにしているか」を再確認することで、準備は大丈夫そうですね。

しかし、今、Scutum の価格表見て驚きました。最低価格帯であれば、かなりのライトユーザでも導入できそうですね。WAP が更にコストがかからないのであれば、個人使用に興味が出てきましたｗ

ご指摘ありがとうございます。

Answer 2

商用WAFから別の商用WAFへの切替の際の注意点ということですが、一般的なWAFの切替という観点からはあまり思いつかず、基本的には使用するWAF固有の問題になるのではないかと思います。しかし、アカマイWAPは今年の2月に発表されたということですので、まだネット上にはあまり情報がないかと思います。私も知りません。
であれば、アカマイWAPを扱うベンダーに依頼してサービス設定などをしてもらわないと、設定不備などで防御ができていない、あるいは防御が不十分である状況になることは考えられます。場合によっては、サービスが正常に動作しないという状況も考えられます。WAFの設定不備でこれらは十分ありえることです。
したがいまして、以下のご質問に対する回答ですが、

この移行の上で、考えるべきポイントであったり、注意点等を示していただけると大変助かります。

アカマイWAPを扱えるベンダーを探して設定等を依頼したほうが良い、というのが回答です。その結果としてScutumが安くなるのであれば、それはScutumが高くはなかったいうことを意味します。

Comments

[gysnet]

ockeghem様、丁寧なご回答ありがとうございます。おっしゃる通りですね。まだ新しいサービスなので、適切な設定を行ってくれるベンダーに依頼した方が、リスクは低減しますね。今一度内部で揉んでみます。ありがとうございました。BAにさせていただきます。