|
Webアプリケーションの保護は「行うべき」事項から「行わなければならない」ものへと変わりました。Webサーバでは既に多くのWebアプリケーションが実行されており、個人情報を扱っていたり、各種の売買取引を行っていたり、様々な機密情報を取り扱っています。
これらは企業のビジネスにとって非常に重要な情報であり、万一そのような情報が外部にさらされるようなことがあれば会社の信頼に関る問題となります。このようなWebアプリケーションはしばしば大規模かつ複雑であり、全てのWebアプリケーションの状態を把握することは困難を極めます。また、コストを掛けて大規模なセキュリティ対策を行ったにも関らず、未知の脆弱性が存在するということは考えたくないと思います。しかし実際にはほとんどのWebアプリケーションは何らかの脆弱性を含んでおり、さらに問題なことはこのような脆弱性に対する不正（クラッキング行為）は通常のWebアクセスと同様に80番ポート（又は443番ポート）を通じて行われてしまうという点です。
セキュリティ監査会社から監査を受けることにより、セキュリティ監査レポートを受け取ることができます。監査レポートはしばしば膨大な量となります。いくつかの脆弱性は簡単な変更で修復が可能かもしれませんが、その問題がアプリケーションのロジックの内部にかかわるような問題だったらどうでしょうか。Webアプリケーション構築に利用しているサードパーティツールに脆弱性がある場合はどうでしょうか。この脆弱性が企業内に存在する全てのWebサーバに関る問題であったら。しばしばその脆弱性（バグ）を修正するのは大変な工数がかかったり、実際問題として不可能であったりするでしょう。また監査ツールでは見つけられない問題も潜んでいることを忘れてはいけません。
個々のアプリケーションの入力チェックを十分に行い、チェック漏れが無いように手作業でのテストを繰り返し行うことは非常にコストが掛かると共に、人手で行っている限り個人差が発生する為、一定レベルのセキュリティを確保することはできません。そこでWebアプリケーションファイヤーウォール（WAF）を活用することになります。
|
