AWS WAFとCloudflareとも、Webアプリケーションをサイバー攻撃から守るセキュリティサービスですが、実は異なるものです。
この記事では、AWS WAFとCloudflareについてそれぞれ紹介します。また、両者の違いについても紹介していきます。
目次
AWS WAFとは
AWS WAFとは、クラウドサービスで世界シェアNo.1のAWSが提供するWAF（Web Application Firewall）です。WAFはセキュリティサービスの1つで、Webアプリケーションへのサイバー攻撃からWebサイトを保護するサービスです。
そもそもWAFとは
WAFはWeb Application Firewallの略称で、Webサイトを含めたWebアプリケーションの脆弱性を突くサイバー攻撃から守るセキュリティサービスです。SQLインジェクションやクロスサイトスクリプティング（XSS）など、Webアプリケーション特有の脆弱性を狙う攻撃はWAFによって防御できます。
脆弱性とは、プログラムの不具合や設計上のミスによるサイバーセキュリティ上の欠陥です。脆弱性を放置すると犯罪者に狙われ攻撃を受けるリスクが高まります。情報の漏えいやデータの改ざんなどの被害を引き起こす恐れもあるので、脆弱性に対して適切な対策を取ることが必須です。
脆弱性からWebアプリケーションを守るなら、WAFがおすすめです。WAFがWebアプリケーションへの通信を細かくチェックするので、攻撃に使われる不正アクセスを遮断し、Webアプリケーションのセキュリティを保ちます。
AWS WAFの特徴
ここではAWS WAFの特徴を紹介します。大きく2つあります。
1つ目は自由にカスタマイズできることです。AWS WAFではさまざまな検知条件を作成できます。さらに、検知条件を組み合わせることやラベル機能をはじめとするAWS WAFの機能を活用することで、より高度な検知を実現できます。AWS WAFの導入で自社のアプリケーションに適したWebセキュリティを実施することが可能です。
2つ目の特徴は利用料金が安いことです。AWS WAFは従量課金制を採用しているので、月額料金はルール数や検測したアクセス数など実際の使用量によって変わります。そのため、使用量の低い月における月額料金を抑えることができます。
3つ目の特徴は導入しやすいことです。AWS WAFはAmazon CloudfrontをはじめさまざまなAmazonサービスと連携しているので、それらのサービスを利用していれば数クリックだけでAWS WAFを導入できます。ハードウェアやソフトウェアの購入やシステム改修などの手間がかからず簡単に導入できるのがAWS WAFのメリットです。
さらに、AWS WAFの導入に初期費用がかかりません。ほかのWAF製品の場合初期費用だけでも数百万円かかる場合があるので、AWS WAFの導入ハードルが非常に低いです。
Cloudflareとは
CloudflareはCloudflare社が提供しているCDN（Content Delivery Network）サービスです。CDNとは、Webアプリケーションで表示する画像や文章を世界中にキャッシュしておくサービスのことです。
そもそもCDNとは
Cloudflareのいいところを説明する前に、CDNがどのようなものなのかを解説します。CDN（Contents Delivery Network）とは、Webアプリケーションで利用する画像やファイルなどのWebコンテンツを一時的に保存しておくことで、より迅速にユーザーに配信するネットワークです。
CDNを利用しない場合、Webアプリケーションの画像やファイルはWebサーバに保存することとなりそれを見たいユーザーがアクセスしたときにWebサーバから配信されますが、問題点が2点存在します。
1つ目は世界中にサーバを置いておかないと場所によっては反応が遅いことです。例えば日本のWebサーバにブラジルの人がアクセスする場合、少なくとも地球半周分のネットワークを経由して通信が行われます。その分Web画面の表示が遅くなってしまいます。そのため、Webサーバを世界中に配置しないと、利用する場所によってはWebアプリケーションの反応が非常に悪くなってしまうのです。
2つ目はWebサーバがダウンした際に画面などが見れなくなることです。Webサーバに画像やファイルを配置しておいた場合、Webサーバが障害などでダウンしてしまったらWebアプリケーションは一切使うことができなくなります。また、DDoS攻撃の標的にされた場合も同様にWebアプリケーションが使用不可になることがあります。
上記の問題を解消するのにCDNの導入がおすすめです。WebコンテンツがCDNに保存されるため、より効率的にユーザーに配信できます。また、直接ユーザーがWebサーバと通信をしないので、DDoS攻撃やWebサイト改ざん攻撃などの被害を抑える効果もあります。
Cloudflareの特徴とは
CloudflareはCDNの1つです。ここでは、Cloudflareの特徴を紹介します。
まずは利用料金が安いことです。CloudflareはFree、Pro、Business、Enterprizeの4種類のプランを提供しています。Freeプランであれば機能がかなり制限されますが無料で使うことができます。また、Proは月20ドルでBusinessは月200ドルで利用でき、手頃な値段で利用できます。
また、CDNだけでなく、WAFや負荷分散サービスを利用できるのもCloudflareの特徴です。もちろん、CloudflareのWAF機能ではAWS WAFのように自由にカスタマイズできませんが、ある程度の攻撃には十分に耐えることができます。
AWS WAF vs Cloudflare
AWS WAFとCloudflareについて、それぞれどのようなサービスなのかを記載しましたが、それぞれの具体的な比較やどちらを使えばいいのか、詳しく記載していきます。
それぞれの比較
AWS WAFとCloudflareについて、それぞれどのような違いがあるのか、項目別で詳しく記載していきます。
| AWS WAF | Cloudflare | |
| どういうサービスか | WAF。CDNとしての機能はAWS CloudFrontが持っているため、合わせて使用する必要がある。 | CDN。一部のプランにおいてWAF機能も利用可能。 |
| 値段 | 非常に安い | 非常に安い |
| 導入速度 | 早い。最速で数十秒の操作で導入が可能。 | ドメイン名を用意しておけばいいので、数分～数日で導入が完了する。 |
| カスタマイズ | AWS WAF単体で様々なカスタマイズが可能。また、AWS CloudFrontやAWS ShiledなどのAWSサービスを組み合わせて機能を追加することも可能。 | 追加オプションや上位のプランで機能追加等が可能。ただし、AWS WAFほどの詳細なカスタマイズはできない。 |
| 防げるセキュリティ攻撃 | アプリケーション層に対する攻撃のみ。追加でAWS Shield等を利用すればDDoS攻撃を防御できる。 | DDoS攻撃の緩和効果あり。追加でWAFの機能を利用すればアプリケーション層に対する攻撃を防御できる。 |
AWS WAFが向いている構成
AWSでアプリケーションを開発していれば、AWS WAFの利用がおすすめです。先述の通り、AWS WAFは自由にカスタマイズできるので、クレジットカード会社のシステムなど、より強力なセキュリティレベルが必要な場合でもAWS WAFで実現できます。
また、AWSではAWS WAFだけでなくAWS ShieldやAWS Identity and Access Management（AWS IAM）など、30種類以上のセキュリティサービスを提供しています。AWS WAFでは対処しきれない部分でもその他サービスの活用で対策できます。
AWSでのセキュリティについて詳しくはこちらの記事：
Cloudflareが向いている構成
AWS WAFはAWSが提供するWAFなので、AWS以外での利用はできません。そのため、オンプレミス環境でWebアプリケーションを構築する場合、CloudflareをはじめAWS WAF以外のセキュリティサービスを利用する必要があります。
まとめ
AWS WAFもCloudflareも非常に安いサービスで、機能も豊富です。AWSに構築しており、高度なセキュリティのレベルを確保したいのであればAWS WAFを利用してみましょう。オンプレミスでWebアプリケーションを構築している場合はCloudflareを検討するといいでしょう。
