FWaaSとWAFaaSを連携！SASE時代に求められる多層防御セキュリティ構築法

クラウド化やリモートワークの急速な普及により、従来の「社内と社外」を明確に分ける境界型セキュリティは限界を迎えています。データやアプリケーションがクラウド上に分散し、働く場所も多様化する現代において、セキュリティの考え方そのものを変革する必要があります。

そこで注目されているのが「SASE（Secure Access Service Edge｜サシー）」という新しいセキュリティフレームワークです。このSASE時代において、セキュリティの核となるのが「FWaaS（Firewall-as-a-Service）」と「WAFaaS（Web Application Firewall-as-a-Service）」です。

これら2つの「as-a-Service」型セキュリティは、似ているようで全く異なる役割を持っています。私が実践している経験から言いますと、この2つを正しく理解し、連携させることが、現代の多層防御セキュリティを構築する上で最も重要です。

この記事では、FWaaSとWAFaaSそれぞれの役割と違い、そしてSASE時代に求められる最適な連携方法（多層防御の構築法）を、初心者の方にも分かりやすく徹底的に解説します。

ITセキュリティ・ゼロトラスト概論――本質を理解し現代的なITインフラを理解するために

著:齊藤 愼仁, 著:株式会社クラウドネイティブ

Amazon

メルカリ

ポチップ

SASE時代になぜ多層防御が必要なのか

現代のビジネス環境において、なぜ新しいセキュリティアプローチが求められているのでしょうか。それは、従来のセキュリティ対策が前提としていた「境界」が事実上、消滅したからです。

従来の境界型セキュリティの限界

従来、多くの企業は「城と堀」のモデルでセキュリティを構築していました。つまり、オフィスのネットワーク（城）をファイアウォール（堀）で囲み、内部は安全、外部は危険とみなすモデルです。

しかし、クラウドサービス（SaaS, IaaS）の利用が当たり前になり、従業員が自宅やカフェなど社外から業務を行うリモートワークが普及しました。これにより、守るべきデータやアクセスするユーザーが「堀」の外側に出てしまい、従来の境界型ファイアウォール（NGFWアプライアンスなど）だけでは対応しきれなくなりました。分散した環境全体に一貫したポリシーを適用したり、急激なトラフィック増に対応したりすることが難しくなったのです。

クラウドとリモートワークが変えたセキュリティの常識

クラウドとリモートワークは、セキュリティの運用管理方法を根本的に変えました。セキュリティ対策は、ハードウェアを購入して設置する「CAPEX（資本的支出）」モデルから、必要な機能をサービスとして利用する「OPEX（運用費）」モデルへと移行しています。

この変化に対応するのがSASEです。SASEは、ネットワーク機能（SD-WANなど）とセキュリティ機能（FWaaS, SWG, ZTNAなど）をクラウド上で一つに統合し、ユーザーやデバイスがどこにあっても一貫したセキュリティを提供するアーキテクチャです。このSASEの考え方こそが、境界のなくなった現代における多層防御の基盤となります。

FWaaS（Firewall-as-a-Service）とは？

多層防御を構築する上で、まず理解すべきがFWaaSです。これはネットワーク全体を守るための基本的なセキュリティサービスです。

あわせて読みたい

FWaaSの読み方は？ゼロトラストを実現する中核技術を解説

FWaaSの基本的な役割｜ネットワーク全体を守る

FWaaS（ファース）は、その名の通り、ファイアウォール機能をクラウドサービスとして提供するものです。従来のハードウェア型ファイアウォールを置き換えるか、補完する形で導入されます。

FWaaSは、主にOSI参照モデルのレイヤー3（ネットワーク層）やレイヤー4（トランスポート層）で動作します。すべてのネットワークトラフィック（社内、拠点間、クラウド、インターネット向け）をクラウド上のFWaaS経由に集約させ、そこで検査とポリシー適用を行います。これにより、場所を問わずネットワーク全体を包括的に保護します。

FWaaSの主な機能とメリット

FWaaSは、従来のファイアウォール機能に加えて、次世代ファイアウォール（NGFW）が持つ高度な機能もクラウドで提供します。

主な機能

• 統一されたセキュリティポリシー｜すべての拠点、ユーザー、デバイスに一貫したポリシーを集中管理
• 高度な脅威保護｜侵入防止システム（IPS）、ディープパケットインスペクション（DPI）
• トラフィック制御｜URLフィルタリング、DNSセキュリティ
• IDベースの認証｜ユーザーやデバイスに基づいたアクセス制御（ゼロトラスト原則の適用）

私がFWaaSを導入して感じた最大のメリットは、運用負荷の軽減と柔軟性です。

主なメリット

• スケーラビリティ｜ハードウェアの制約なく、トラフィックの増減に動的に対応
• 導入と管理の簡素化｜ベンダーがインフラ管理や更新を行うため、ITチームの負担が激減
• コスト効率｜初期投資（CAPEX）が不要で、サブスクリプション（OPEX）モデルで利用
• リモートワーク対応｜社外のユーザーにも社内と同様のセキュリティを容易に適用

WAFaaS（Web Application Firewall-as-a-Service）とは？

次に、FWaaSとは異なる層を守るWAFaaSです。これは、現代のビジネスに不可欠なWebアプリケーションとAPIを専門的に守るサービスです。

WAFaaSの基本的な役割｜WebアプリとAPIを守る

WAFaaS（ワファース）も、WAF（Web Application Firewall）機能をクラウドサービスとして提供するものです。FWaaSがネットワーク全体を守るのに対し、WAFaaSはOSI参照モデルのレイヤー7（アプリケーション層）に特化しています。

具体的には、Webサイト、Webアプリケーション、APIへのHTTP/HTTPSリクエストの内容を詳細に検査し、悪意のある通信がアプリケーションに到達する前にブロックします。FWaaSを「建物の警備員」とするなら、WAFaaSは「特定の重要室（Webアプリ）の入り口にいる専門の検査官」と言えます。

WAFaaSの主な機能とメリット

WAFaaSは、Webアプリケーションの脆弱性を突いたサイバー攻撃からシステムを守ることに特化しています。

主な機能

• Web攻撃からの保護｜OWASP Top 10（SQLインジェクション、XSSなど）の脆弱性対策
• API保護｜Webアプリだけでなく、ビジネスの根幹となるAPIを保護（WAAPへの進化）
• ボット管理｜悪意のあるボット（スクレイピング、ブルートフォース攻撃など）を識別しブロック
• データ損失防止（DLP）｜機密情報が外部に漏洩するのを防ぐ

WAFaaSの利点は、専門的な防御をアウトソースできる点にあります。

主なメリット

• 専門的なセキュリティ強化｜FWaaSでは防げないアプリケーション層の高度な攻撃に対応
• コンプライアンス対応｜PCI DSSなど、WAFの導入を求める規制要件に対応
• 管理のアウトソース｜専門知識が必要なシグネチャ更新やチューニングをベンダーに任せられる
• DevOpsとの親和性｜開発スピードを落とさずに、新たな脆弱性リスクを「仮想パッチ」で一時的に保護

FWaaSとWAFaaSの決定的な違いを比較

FWaaSとWAFaaSは、どちらもクラウド型セキュリティですが、その役割は明確に異なります。私が考える両者の違いと、どう使い分けるべきかを解説します。

守る対象とOSIレイヤーの違い

最大の違いは、保護対象のレイヤーです。この違いを理解することが、多層防御の第一歩です。

このように、FWaaSは「通信の経路」を、WAFaaSは「通信の中身（アプリケーションへの命令）」を検査します。

重複する機能と補完し合う関係性

一部、DDoS攻撃対策のように機能が重複するように見える領域もあります。しかし、これもレイヤーが異なります。FWaaSはネットワーク層のDDoS（大量のパケット送付など）を防ぎ、WAFaaSはアプリケーション層のDDoS（特定の処理に負荷をかけるリクエストなど）を防ぎます。

両者は競合するものではなく、お互いに補完し合う関係です。FWaaSがネットワークレベルで広範な脅威をブロックし、そこを通過した「正当に見える通信」の中から、WebアプリやAPIにとって有害なリクエストをWAFaaSがさらに詳細に検査してブロックします。この連携こそが多層防御です。

どちらを選ぶべきか？判断基準

では、自社にはどちらが必要なのでしょうか。

• FWaaSを優先すべきケース｜複数の拠点を持つ、リモートワーカーが多い、クラウドインフラ（IaaS）を利用している、従来の境界型ファイアウォールの運用に限界を感じている。
• WAFaaSを優先すべきケース｜eコマースサイトや会員制ポータルなど、公開Webアプリケーションがビジネスの核である、APIを外部に公開している、PCI DSSなどのコンプライアンス対応が必要。

ただし、私の経験上、現代のほとんどの企業はWebアプリケーションやSaaSを利用しており、リモートワークも導入しています。そのため、「どちらか一方」ではなく「両方を導入」し、連携させることが最適解となります。

FWaaSとWAFaaSを連携させる多層防御構築法

FWaaSとWAFaaSを連携させ、SASE時代に求められる多層防御を構築する具体的な方法と考え方を解説します。

SASEアーキテクチャにおける両者の位置づけ

SASEは、ネットワーク機能とセキュリティ機能をクラウド上で統合するアーキテクチャです。この中で、FWaaSはSASEの「コアコンポーネント」として位置づけられます。ネットワークセキュリティの基盤として、すべてのトラフィック制御の土台となります。

一方、WAFaaSは、SASEの枠組みの中でアプリケーションセキュリティを担う重要な要素です。最近では、API保護やボット対策も含めた「WAAP（Web Application and API Protection）」として、SASEプラットフォームに統合されたり、緊密に連携したりする形で提供されます。

ゼロトラストを実現する連携モデル

多層防御の核となる考え方が「ゼロトラスト」｜つまり「決して信頼せず、常に検証する」という原則です。FWaaSとWAFaaSの連携は、このゼロトラストを強力に実現します。

1. FWaaSによるアクセス検証｜ユーザーがリソース（Webアプリ含む）にアクセスしようとすると、FWaaSが「誰が、どのデバイスで、どこからアクセスしているか」を検証し、許可された最小限のアクセス（経路）だけを許可します（ゼロトラストの原則）。
2. WAFaaSによるリクエスト検証｜FWaaSを通過した通信がWebアプリケーションに到達する直前で、WAFaaSが「そのリクエスト（通信の中身）は本当に安全か」を検証します。たとえ認証されたユーザーからの通信であっても、SQLインジェクションのような悪意のある命令が含まれていればブロックします。

このように、FWaaSが「アクセスする人」を、WAFaaSが「アクセスの内容」をそれぞれ検証することで、信頼に基づかない強固なセキュリティが実現します。

実装時のベストプラクティスと注意点

連携させる際には、いくつかの実践的なポイントがあります。

ベストプラクティス

• FWaaSは「最小権限」で運用する｜基本的にすべての通信を拒否し、業務上必要な通信だけを許可する「デフォルトDeny」のポリシーを徹底します。
• WAFaaSは「継続的なチューニング」を行う｜導入直後は誤検知（正常な通信をブロック）が発生することがあります。アプリケーションの挙動に合わせて、ルールを継続的に調整することが不可欠です。
• トラフィックの流れを明確にする｜外部からの通信は、「インターネット → FWaaS（ネットワーク検査） → WAFaaS（アプリ検査） → Webアプリケーション」という流れを明確に設計します。

注意点

• 共有責任モデルを理解する｜クラウドサービスであるため、ベンダーがインフラを管理しますが、セキュリティポリシーの設定・管理は利用者（自社）の責任です。「導入して終わり」ではありません。
• 設定ミス（ヒューマンエラー）のリスク｜クラウドサービスは設定変更が容易な反面、一つの設定ミスが重大なセキュリティホールにつながる恐れがあります。変更管理のプロセスを徹底することが重要です。

まとめ

FWaaSとWAFaaSは、SASE時代におけるセキュリティの両輪です。FWaaSがネットワーク全体を広範に保護する「盾」となり、WAFaaSがWebアプリケーションとAPIという最も狙われやすい「急所」を専門的に守る「鎧」となります。

私が強調したいのは、これらは単なるセキュリティツールではなく、クラウドやリモートワークといった現代のビジネス戦略を安全に推進するための「イネーブラー（実現するもの）」であるという点です。

従来の境界型セキュリティに課題を感じている、あるいはクラウド移行を機にセキュリティ全体を見直したいと考えているなら、FWaaSとWAFaaSの連携による多層防御の構築は必須です。この記事が、貴社のセキュリティ体制を次のステージへ進めるための一助となれば幸いです。

ゼロトラストセキュリティ実践ガイド

著:津郷 晶也

Amazon

メルカリ

ポチップ