ジー・プラン株式会社

当社は2022年頃から、全社的なAWS移行を本格的に推進していました。外部公開システムが多く、外部から攻撃を受けるリスクが高いので、AWSへの移行においてセキュリティ強化は避けて通れない重要な課題となっていました。

セキュリティ強化の対策として、AWS移行のタイミングでWAFの導入を検討していました。サードパーティーのクラウド型WAFも選択肢の1つでしたが、コスト面などの懸念があったため、最終的にはサードパーティーWAFではなくAWS WAFの導入を決めました。

AWS WAFは従量課金制であり、システム規模やリクエスト数に応じて料金を調整できるため、適切なコスト管理が実現できる点を評価しました。

AWS WAFの導入を決定したものの、運用面でいくつかの課題が見えてきました。AWS WAFには独自のマネージドルールが用意されていますが、そのルールの内容はブラックボックス化されており、どのような攻撃を防御できているのか把握できません。そのため、セキュリティ対策として十分なのか不安がありました。

また、AWS WAFの運用管理においては、新たな脆弱性が発見された際のルール更新や、誤検知が発生した場合の設定調整など、継続的な運用管理の工数も気になっていました。

そこで、より効率的な運用が可能なソリューションを探していたところ、AWS WAFを自動運用してくれる「WafCharm」の存在を知りました。運用管理の効率化と確実なセキュリティ対策の実現という観点から、WafCharmの導入を検討することにしました。

導入を検討するにあたり、まずは無料トライアルを実施しました。トライアルを通じて、WafCharmの機能や使い勝手を実際に検証し、誤検知や不具合などがないことを確認できました。また、UIが分かりやすく、スムーズに設定できた点も良かったです。

さらに、WafCharmコンソール（管理画面）のダッシュボードを活用することで、どのような攻撃を防御できているのかを把握できることも確認できました。

当初、新規脆弱性への対応スピードについて少し懸念がありましたが、WafCharmのサポートに問い合わせたところ、丁寧な説明を受け、迅速な対応が可能であることが分かりました。その結果、WafCharmの本導入を決定しました。

いまのところ特に問題なく安定稼働しており、期待通りの効果を感じています。

WafCharmを導入してからAWS WAFの運用作業はほとんど発生していないため、導入前の目的であった運用工数の削減という点においては、十分に満足できる結果となっています。

また、WafCharmの管理画面で、攻撃の種類や、どの国からのアクセスかを簡単に確認できるため、直面している脅威を把握することができ、WAFの効果も確認できる点も安心材料になっています。

さらに、社内のセキュリティ意識を高めるために、アカウント機能を活用し、各チームに閲覧権限を付与しています。これにより、各チームが検知状況やアラートを直接確認できるようになり、運用管理体制もより強化されました。

今後もWafCharmを継続して活用していきたいと考えています。

現在AWSへの移行プロジェクトは引き続き進行しており、今後より多くのシステムをAWS環境へ移行する予定です。セキュリティ対策の一環として、移行するシステムにもAWS WAFを導入する方針ですが、その際にはAWS WAFとWafCharmを組み合わせた運用を継続し、効率的かつ確実なセキュリティ対策を実現していきたいと考えています。